Auditoria – Revisão de acessos: rodar e comprovar

Revisão de acessos é um dos controles mais cobrados em auditoria e um dos mais desagradáveis de comprovar à mão. A plataforma trata isso como campanhas periódicas de recertificação de acesso da força de trabalho.

A pergunta que o controle responde: as pessoas que têm acesso hoje deveriam ter?

Por que este controle aparece em toda norma

Porque o acesso acumula sozinho. Alguém muda de área e mantém o acesso antigo. Alguém pega um acesso temporário para um projeto e o projeto termina. Alguém sai e um sistema é esquecido.

Nenhuma dessas situações é falha de segurança no momento em que acontece. Todas viram exposição com o tempo, e a única forma de descobrir é olhar periodicamente.

Um auditor sabe disso, e é por isso que ele pede a evidência da revisão em vez de acreditar na política.

Como uma campanha funciona

Use Iniciar recertificação, informando:

E há um aviso no início que define completamente o comportamento, e que vale ler com atenção:

A campanha captura o seu quadro de colaboradores ativos naquele momento, e colaboradores adicionados depois entram no próximo ciclo.

O que essa captura significa na prática

É um retrato, e isso tem duas consequências:

A campanha é estável. Ela não muda enquanto você a conduz. Isso é essencial: uma lista que muda durante a revisão nunca termina, e a evidência não descreveria nada.

Quem entrou depois não está nela. E isso é correto. A pessoa que entrou ontem não precisa de recertificação; ela precisa de provisionamento adequado, que é outro controle.

A implicação para o seu planejamento: inicie a campanha quando o quadro estiver estável, e não no meio de uma onda de contratações. E não se preocupe com quem entra depois: eles entram no ciclo seguinte, por desenho.

Revisar cada item

Cada linha traz o colaborador, o e-mail, o departamento e a decisão.

As decisões possíveis são três:

Ao sinalizar, existe um campo de motivo ou nota de remediação, com a pergunta direta: o que precisa mudar?

Um indicador de progresso mostra quantos foram revisados do total e quantos foram sinalizados.

Como revisar de verdade, e não por reflexo

Aqui está o risco real deste controle: certificar tudo em dez minutos sem olhar. O registro fica bonito e o controle não fez nada.

Três perguntas que fazem a revisão valer:

Esta pessoa ainda está na empresa? Parece óbvio e é o achado mais comum. Cruzar a lista com o seu sistema de RH resolve em minutos.

O acesso dela corresponde ao que ela faz hoje? Quem mudou de área é o segundo caso mais frequente. O acesso antigo raramente é removido no momento da mudança.

Ela precisa desse nível de acesso, ou de menos? Privilégio administrativo concedido “temporariamente” há um ano é o terceiro padrão.

Uma prática que melhora muito o resultado: envolva os líderes de área. Ninguém do time de conformidade sabe se a pessoa do time de dados ainda precisa daquele acesso; o líder dela sabe. Levar a lista dividida por departamento para cada liderança transforma um exercício formal em uma revisão real.

Sinalizar não é acusar

A nota de remediação é o que dá utilidade ao sinalizador. Exemplos do que escrever:

• “Mudou para o time comercial em março, remover acesso ao repositório.”
• “Acesso administrativo concedido para migração, migração concluída, reduzir para leitura.”
• “Desligada em janeiro, conta ainda ativa no sistema de atendimento.”

Repare que as três descrevem o que fazer, e não apenas que algo está errado. É isso que transforma a campanha em ação.

Concluir a campanha

Concluir revisão encerra o ciclo, e existe um bloqueio: se houver itens pendentes, a plataforma informa quantos ainda faltam e não permite concluir.

É a trava correta. Uma revisão de acessos concluída com metade da lista sem análise não é uma revisão, e um auditor que percebe isso desconsidera o registro inteiro.

Ao concluir, a plataforma informa algo importante: um registro de evidência foi gerado.

Este é o ponto que faz o trabalho valer

Vale destacar. A campanha concluída gera evidência automaticamente para os controles correspondentes.

Ou seja, você não precisa exportar planilha, tirar captura de tela nem montar um documento. O ato de conduzir a revisão na plataforma é a produção da evidência, com data, com o nome de quem decidiu cada item e com o registro do que foi sinalizado.

É a diferença entre um controle que você comprova com esforço e um que se comprova ao ser executado.

Com que frequência rodar

A resposta depende do que a sua norma exige e do seu contexto, e o padrão de mercado é:

A recomendação prática: escolha uma frequência que você vai cumprir. Uma revisão semestral feita duas vezes por ano vale muito mais que uma trimestral prometida e executada uma vez.

E declare essa frequência em uma política publicada. Sem prazo declarado, não existe atraso a demonstrar nem cumprimento a comprovar.

O que fazer com o que foi sinalizado

A campanha registra o que precisa mudar; ela não muda nada nos sistemas. O trabalho de remoção e ajuste acontece nas ferramentas.

Duas recomendações:

Trate os sinalizados como itens de trabalho com prazo. Sinalizado e não corrigido, aparecendo de novo na campanha seguinte, é um achado pior que o original.

Confira o resultado na campanha seguinte. Se os mesmos nomes voltam sinalizados, o problema não é a revisão, é o processo de desprovisionamento.

Problemas comuns

Ainda há itens pendentes de revisão. A conclusão é bloqueada até todos terem decisão. A mensagem informa quantos faltam.

Não foi possível iniciar a revisão. Tente novamente; se persistir, confira se você tem permissão para a área.

Não foi possível salvar a decisão. Falha momentânea. Repita a ação.

Alguém que entrou recentemente não está na lista. É o comportamento esperado: a campanha captura o quadro no início e quem entra depois vai para o ciclo seguinte.

Certifiquei tudo e o auditor questionou. Uma revisão sem nenhum sinalizado em uma empresa com movimentação de pessoas é implausível. Vale rodar de novo com as lideranças envolvidas.

A campanha ficou grande demais. Considere usar o escopo para dividir por recorte, e conduzir em partes.