A governança de identidades é um conjunto de processos e tecnologias que garantem que as pessoas certas tenham acesso aos recursos certos, nos momentos certos, pelos motivos certos. Ela é fundamental para a segurança da informação, pois controla quem pode acessar sistemas, dados e aplicações, reduzindo riscos de vazamentos, fraudes e violações de compliance.

Nesta aula, exploraremos três pilares essenciais da governança de identidades: segregação de funções, revisão periódica de acessos e provisioning. Cada um desses tópicos contribui para um ambiente mais seguro e auditável, alinhado com frameworks como COBIT, ITIL e ISO 27001.

Segregação de funções

Segregação de funções (SoD – Segregation of Duties) é um princípio de controle interno que visa evitar que uma única pessoa tenha controle total sobre um processo crítico. Isso reduz o risco de erros, fraudes e abusos de poder. Por exemplo, em um sistema financeiro, a mesma pessoa não deve criar um fornecedor, aprovar uma compra e autorizar o pagamento.

Para implementar SoD, é necessário mapear funções conflitantes, definir políticas claras e utilizar ferramentas de IAM (Identity and Access Management) que permitam configurar regras de SoD. Exemplos comuns de conflitos incluem:

  • Criação de usuário vs. aprovação de acesso
  • Registro de pedido vs. aprovação de crédito
  • Desenvolvimento de código vs. promoção para produção

Ferramentas como SAP GRC, Oracle Identity Governance e Microsoft Identity Manager oferecem funcionalidades específicas para SoD, como detecção de conflitos e geração de relatórios.

Exemplo de regra SoD em linguagem de política (pseudocódigo):

SE usuário tem papel 'Criar Fornecedor' 
E usuário tem papel 'Aprovar Pagamento'
ENTÃO 'Conflito detectado'

Revisão periódica

A revisão periódica de acessos é o processo de auditar regularmente as permissões dos usuários para garantir que ainda sejam apropriadas. Com o tempo, funcionários mudam de cargo, deixam a empresa ou acumulam acessos desnecessários. Sem revisões, o risco de acesso excessivo aumenta.

As revisões devem ser realizadas em intervalos definidos (por exemplo, trimestralmente) e envolver os gestores dos usuários, que confirmam ou revogam acessos. É importante documentar cada revisão para fins de auditoria e compliance. Boas práticas incluem:

  • Automatizar o processo com ferramentas de IAM
  • Priorizar revisões de contas privilegiadas
  • Estabelecer métricas como % de acessos revistos e tempo médio de conclusão

Frameworks como ISO 27001 e SOX exigem revisões periódicas de acesso. Ferramentas como SailPoint, Okta e Azure AD oferecem workflows de recertificação.

Exemplo de cronograma de revisão:

- Contas de usuário comuns: a cada 6 meses
- Contas privilegiadas: a cada 3 meses
- Contas de terceiros: a cada 30 dias

Provisioning

Provisioning é o processo de criar, modificar e desabilitar contas de usuário e seus acessos em sistemas e aplicações. O objetivo é garantir que novos funcionários recebam os acessos necessários rapidamente (onboarding), que mudanças de cargo sejam refletidas (movimentação) e que ex-funcionários tenham seus acessos removidos imediatamente (offboarding).

O provisioning pode ser manual, mas é altamente recomendado automatizá-lo com ferramentas de IAM. Isso reduz erros, acelera processos e melhora a segurança. Um sistema de provisioning geralmente se integra a um diretório corporativo (como Active Directory) e a sistemas alvo via conectores.

Etapas típicas do provisioning automatizado:

  1. Solicitação de acesso via portal de autoatendimento
  2. Aprovação por gestor ou comitê
  3. Provisionamento automático nos sistemas
  4. Notificação ao usuário e gestor

Ferramentas como Microsoft Identity Manager, Oracle Identity Governance e FreeIPA suportam provisioning automático. O padrão SCIM (System for Cross-domain Identity Management) facilita a integração entre sistemas.

Exemplo de fluxo de offboarding:

1. RH atualiza status do funcionário para 'desligado'
2. Sistema de IAM detecta a mudança
3. Remove o usuário do AD
4. Revoga licenças de software
5. Desabilita contas em sistemas críticos
6. Envia relatório de conclusão ao gestor

Boas práticas e observações finais

Para uma governança de identidades eficaz, combine os três pilares: segregação de funções, revisão periódica e provisioning. Estabeleça políticas claras, automatize processos sempre que possível e realize auditorias regulares. Lembre-se de que a governança de identidades não é um projeto único, mas um programa contínuo de melhoria.

Referências

Exercícios

  1. Explique com suas palavras o que é segregação de funções e dê um exemplo prático de conflito em um sistema de RH.

    ✓ Resposta: Segregação de funções é um princípio de controle que evita que uma única pessoa execute tarefas conflitantes, reduzindo riscos de fraude e erro. Exemplo em RH: a mesma pessoa não deve cadastrar um novo funcionário e também aprovar o seu acesso aos sistemas, pois poderia criar um acesso não autorizado.

  2. Por que a revisão periódica de acessos é importante? Cite dois benefícios.

    ✓ Resposta: A revisão periódica é importante porque garante que os acessos dos usuários estejam sempre alinhados com suas funções atuais, evitando acúmulo de privilégios desnecessários. Benefícios: (1) reduz o risco de vazamento de dados por contas inativas; (2) atende a requisitos de compliance (ex.: SOX, LGPD).

  3. Descreva o processo de provisioning de um novo funcionário em uma empresa que utiliza ferramentas de IAM.

    ✓ Resposta: O processo típico: (1) RH cadastra o novo funcionário no sistema de RH; (2) o IAM detecta a criação e dispara um workflow de provisionamento; (3) baseado nas regras de negócio, o IAM cria a conta no Active Directory, atribui grupos de acesso, provisiona e-mail e sistemas; (4) envia notificação ao gestor e ao funcionário com instruções de acesso.

  4. Qual a diferença entre provisioning manual e automatizado? Dê vantagens da automação.

    ✓ Resposta: No provisioning manual, um administrador cria contas e atribui acessos manualmente, o que é lento e sujeito a erros. No automatizado, o processo é executado por ferramentas de IAM com regras predefinidas. Vantagens da automação: agilidade, redução de erros, consistência, trilha de auditoria e conformidade com políticas.

  5. Cite três exemplos de conflitos de segregação de funções em um sistema financeiro.

    ✓ Resposta: Exemplos: (1) criar um fornecedor e aprovar o pagamento a ele; (2) registrar uma venda e aprovar o desconto concedido; (3) emitir uma nota fiscal e autorizar o estorno da mesma.