Checklist para inventariar e priorizar as contas de acesso numa PME

Gerir os acessos não consiste apenas em escolher senhas seguras: implica saber quem tem uma conta, como demonstra sua identidade, o que pode fazer e como se retira seu acesso quando muda sua relação com a empresa. Para uma PME, começar por essas perguntas permite organizar os controles sem confundi-los com um inventário geral de aplicativos ou com uma avaliação de fornecedores.

O objetivo é converter a gestão de identidades e acessos —conhecida como IAM— em um processo que cubra todo o ciclo de vida de cada conta: criação, mudanças de permissões, revisões e exclusão. Este checklist serve como guia operacional; não substitui uma avaliação de riscos nem determina por si só o cumprimento normativo.

1. Identificar as contas e atribuir responsáveis

Antes de decidir quem precisa de acesso, reúna em um inventário as identidades e contas que já existem. Não se limite às de funcionários: considere também contratistas, fornecedores e outras pessoas externas com acesso a sistemas da empresa.

Para cada conta, registre, no mínimo:

• Pessoa ou identidade associada e sua relação com a empresa.
• Sistema ou serviço ao qual acessa.
• Função da conta e nível de permissões.
• Responsável interno que autoriza ou revisa esse acesso.
• Estado: ativa, temporária ou pendente de exclusão.

Relacionar as contas com uma pessoa ou identidade ajuda a localizar contas órfãs —sem um responsável claro— e a evitar que os acessos sobrevivam a uma mudança de cargo ou ao fim de um contrato. Se houver contas compartilhadas, anote quem as utiliza e quem responde por elas; quando viável, priorize contas individuais para melhorar a rastreabilidade.

2. Priorizar as contas que podem abrir mais portas

Nem todas as contas requerem a mesma ordem de revisão. Comece pelas que controlam outros acessos ou permitem chegar a informações e sistemas sensíveis:

• Administração de sistemas, dispositivos, redes ou plataformas na nuvem.
• E-mail, que pode intervir em redefinições de senhas e acesso a documentos.
• Finanças, pelo acesso a operações e informações financeiras.
• Acesso remoto e armazenamento na nuvem.
• Contas com acesso a dados sensíveis ou a ferramentas de segurança e cópias de segurança.

A prioridade é uma forma de organizar o trabalho, não uma garantia de que as demais contas careçam de risco. Inclua também as identidades de fornecedores e contratistas, e verifique se seu acesso continua sendo necessário e quem dentro da empresa o patrocina.

3. Verificar como cada identidade se autentica

A autenticação verifica que quem inicia a sessão é quem afirma ser. Para as contas de maior impacto, habilite autenticação multifator (MFA) sempre que o serviço permitir. As fontes destacam em particular o e-mail, as contas administrativas, o acesso remoto, as finanças e os recursos na nuvem ou com dados sensíveis.

O inventário deveria deixar constância de qual método de autenticação protege cada conta e apontar as contas críticas que ainda não contam com MFA. Assim, a empresa pode identificar lacunas concretas e dar prioridade à sua correção. O MFA reforça a verificação, mas não substitui a revisão de permissões nem o processo de exclusão.

4. Revisar o que cada conta pode fazer

A autorização define quais ações uma pessoa pode realizar uma vez dentro. Revise se as permissões correspondem às suas tarefas atuais e elimine as que já não precisa. Aplicar o princípio do menor privilégio significa conceder apenas o acesso necessário para o trabalho, em vez de manter permissões amplas por conveniência.

Quando os cargos e responsabilidades permitirem, o controle de acesso baseado em papéis (RBAC) ajuda a atribuir permissões segundo funções definidas. Verifique se os papéis refletem as responsabilidades reais e revise as exceções: uma mudança de cargo, uma tarefa temporária ou um projeto podem justificar um ajuste, mas não necessariamente uma permissão permanente.

Preste especial atenção às contas privilegiadas. Registre quem pode usá-las, para quais sistemas e com qual justificativa; evite que esses direitos fiquem associados a pessoas que já não desempenham a função correspondente. Se uma tarefa apenas requer elevar privilégios durante um período limitado, avalie que o acesso seja temporário quando os sistemas e processos da empresa permitirem.

5. Estabelecer um processo de criação, mudança e exclusão

Um controle de acesso pontual perde eficácia se não for atualizado quando mudam as pessoas ou suas funções. Defina quem comunica e quem executa cada passo nessas situações:

1. Criação: autorizar a conta e as permissões necessárias para a função.
2. Mudança: revisar os acessos quando alguém muda de cargo, assume outras tarefas ou deixa um projeto.
3. Exclusão: desativar ou retirar as contas quando termina a relação laboral ou contratual, e revogar os acessos que já não correspondem.

Inclua no processo as contas de terceiros e as sessões ativas quando pertinente. As responsabilidades e os prazos concretos dependerão da operação de cada empresa; as fontes disponíveis não estabelecem um prazo universal para executar as exclusões.

6. Programar revisões e conservar a rastreabilidade

Atribua a uma pessoa responsável a revisão periódica do inventário e a confirmação de que as contas, as permissões e seus proprietários continuam corretos. A frequência pode ser definida segundo a criticidade dos acessos e a capacidade da empresa, mas deve ficar estabelecido quando se revisa e quem resolve as discrepâncias.

Conservar registros das criações, modificações, aprovações e exclusões, além da atividade disponível nos sistemas. Essa rastreabilidade permite reconstruir quem tinha acesso e quais mudanças foram realizadas. Também pode facilitar auditorias e apoiar a gestão de requisitos aplicáveis, embora manter registros ou implementar IAM não demonstre por si só o cumprimento de uma norma.

Checklist operacional

• Existe um inventário de contas vinculado a pessoas ou identidades.
• Cada conta tem um sistema associado e um responsável interno.
• Estão identificadas as contas administrativas, de e-mail, finanças, acesso remoto e dados sensíveis.
• Sabe-se qual método de autenticação protege cada conta crítica.
• O MFA está habilitado para as contas prioritárias quando o serviço permite.
• As permissões correspondem às funções atuais e são limitadas ao necessário.
• As contas privilegiadas têm proprietário e uso justificado.
• Há um processo para criações, mudanças de cargo ou tarefa, e exclusões de funcionários e terceiros.
• Revisam-se periodicamente contas, permissões e acessos de fornecedores.
• Conservam-se registros suficientes para identificar mudanças e responsáveis.

Um processo contínuo, não uma limpeza pontual

A gestão de acessos funciona como uma cadeia: identidade, autenticação, autorização e revogação. Se uma dessas partes ficar desatendida, podem persistir contas sem dono, permissões excessivas ou acessos que já não fazem falta. Para uma PME, um inventário com responsáveis, prioridades claras e revisões periódicas oferece uma base prática para manter esse ciclo sob controle.

Normas e marcos como NIS2 e ISO 27001 podem contemplar requisitos relacionados com a segurança e a gestão de acessos. Sua aplicação concreta depende do âmbito, da entidade e dos requisitos pertinentes; este checklist não é uma interpretação jurídica nem uma declaração de conformidade.