Governanca de identidade e acesso privilegiado

Por que governanca de identidade importa

Conceder acesso e facil; garantir que o acesso continue apropriado ao longo do tempo e o verdadeiro desafio. Com o tempo, usuarios acumulam permissoes de projetos antigos, mudam de funcao mas mantem acessos anteriores e contas privilegiadas se multiplicam. Esse fenomeno, conhecido como acumulo de privilegios, amplia silenciosamente a superficie de ataque.

A governanca de identidade e a disciplina que garante que as pessoas certas tenham o acesso certo, pelo tempo certo, com visibilidade e controle. No Microsoft Entra ID, ela se materializa em um conjunto de capacidades integradas.

Os pilares da governanca no Entra

Acesso privilegiado com PIM

O Privileged Identity Management (PIM) e a pedra angular do acesso privilegiado seguro. Em vez de conceder funcoes administrativas permanentemente, o PIM torna essas funcoes elegiveis, exigindo ativacao explicita quando necessarias.

Quando um administrador precisa de acesso, ele o ativa por um periodo limitado, podendo exigir:

• Justificativa documentada.
• Aprovacao de um responsavel.
• MFA no momento da ativacao.
• Duracao maxima limitada, com expiracao automatica.

Os beneficios sao diretos. O acesso permanente de alto privilegio, alvo preferido de atacantes, deixa de existir. Cada ativacao gera trilha de auditoria. E o principio de privilegio minimo passa a ser aplicado no tempo, e nao apenas no escopo.

Revisoes de acesso

Mesmo com PIM, permissoes permanentes a grupos, aplicativos e recursos precisam de recertificacao. As revisoes de acesso automatizam esse processo, pedindo periodicamente que gestores ou os proprios usuarios confirmem se o acesso ainda e necessario.

Um programa de revisoes eficaz:

1. Prioriza acessos de alto risco, como funcoes privilegiadas e acesso de convidados.
2. Define revisores apropriados, geralmente o gestor direto ou o dono do recurso.
3. Aplica recorrencia adequada ao risco, mais frequente para acessos sensiveis.
4. Remove automaticamente acessos nao aprovados.
5. Documenta decisoes para fins de auditoria.

Gerenciamento de direitos

O gerenciamento de direitos organiza o acesso em pacotes de acesso que agrupam grupos, aplicativos e sites relacionados a uma funcao ou projeto. Um usuario solicita um pacote, o fluxo de aprovacao e acionado e o acesso e concedido com data de expiracao definida.

Isso resolve dois problemas de uma vez: simplifica a solicitacao de acesso para os usuarios e garante que o acesso expire automaticamente, evitando o acumulo. E especialmente valioso para colaboracao com parceiros externos, em que convidados recebem acesso temporario e controlado.

Ciclo de vida de identidade

A governanca comeca na admissao e termina no desligamento. O ciclo de vida de identidade automatiza o provisionamento quando alguem entra, o ajuste de acesso quando muda de funcao e o desprovisionamento imediato quando sai. Contas orfas de ex-funcionarios sao um risco classico, e a automacao do desligamento e uma das defesas mais subestimadas.

Integrar o provisionamento com o sistema de recursos humanos garante que as identidades reflitam a realidade organizacional em tempo quase real.

Contas de emergencia e monitoramento

Toda estrategia de acesso privilegiado precisa de contas break-glass para emergencias, excluidas das restricoes que poderiam trancar os administradores para fora. Essas contas devem ter senhas longas, ser armazenadas com seguranca e gerar alertas a cada uso. O monitoramento continuo de atividade privilegiada e a rede de seguranca final.

Checklist de governanca

• Funcoes administrativas configuradas como elegiveis no PIM, nao permanentes.
• Ativacao privilegiada exige justificativa, aprovacao e MFA.
• Revisoes de acesso periodicas para funcoes de alto risco e convidados.
• Pacotes de acesso com aprovacao e expiracao para projetos e parceiros.
• Provisionamento e desprovisionamento integrados ao RH.
• Contas break-glass monitoradas com alertas dedicados.

A RHC, Microsoft Solutions Partner, implementa governanca de identidade com Entra ID, aplicando acesso just-in-time e revisoes que mantem o privilegio minimo ao longo do tempo.