Empresas devem comprovar acessos
Regras para garantir a segurança da identidade e do acesso
Para reduzir riscos, as empresas devem comprovar a existência de controles de identidade e acesso eficazes, além de demonstrar que esses controles operam de forma consistente. Isso inclui a comprovação de que cada acesso relevante está associado a uma identidade única, com proprietário definido, e que os direitos foram concedidos de acordo com a função, responsabilidade e necessidade operacional.
Comprovações necessárias
Identidades únicas e vinculadas a uma relação ativa
Para garantir a responsabilização e a qualidade da investigação forense, as empresas devem comprovar que cada acesso relevante está associado a uma identidade única, com proprietário definido. Isso inclui a integração entre RH, gestão de fornecedores e IAM, para garantir que colaboradores, terceiros e parceiros tenham acessos vinculados a uma relação ativa com a organização.
Concessão baseada em necessidade de negócio
As empresas devem comprovar que os direitos foram concedidos de acordo com a função, responsabilidade e necessidade operacional. Isso inclui a existência de uma matriz de acessos, papéis documentados e pedidos fora do padrão que passam por justificativa e aprovação.
Aprovação, revisão e revogação registradas
As empresas devem comprovar que a aprovação, revisão e revogação de acessos são registradas e preservadas de forma que não possa ser alterada informalmente após o fato. Isso inclui a existência de uma trilha de aprovação que identifique o solicitante, o gestor responsável, o dono do sistema, a justificativa e a data de validade quando aplicável.
Proteção adicional para privilégios elevados
As empresas devem comprovar que contas administrativas têm autenticação multifator, cofre de credenciais, elevação temporária de privilégio, monitoramento de sessões e segregação entre a conta de uso cotidiano e a conta administrativa.
Logs e monitoramento
Logs com valor
As empresas devem comprovar que os logs têm valor e podem ser investigados. Isso inclui a definição de quais eventos são coletados, por quanto tempo são retidos, quem pode consultá-los e como sua integridade é protegida.
Monitoramento contínuo de exceções
As empresas devem comprovar que o monitoramento contínuo de exceções é realizado. Isso inclui a existência de métricas que cheguem à gestão em linguagem objetiva, como percentual de acessos recertificados no prazo, contas privilegiadas sem MFA, tempo de remoção após desligamento, acessos temporários expirados e aplicações integradas ao provedor de identidade.
Conclusão
Comprovar controles de acesso é demonstrar disciplina operacional. Quando identidades, privilégios e registros são tratados como ativos de governança, a auditoria deixa de ser uma corrida por documentos e passa a revelar algo mais valioso: a capacidade da empresa de tomar decisões digitais com controle, responsabilidade e confiança.
Indicadores de governança
- Percentual de acessos recertificados no prazo
- Contas privilegiadas sem MFA
- Tempo de remoção após desligamento
- Acessos temporários expirados
- Aplicações integradas ao provedor de identidade
