Capítulo 13 — Identidade e acesso
Mapa da aula
Aula 13 publicada. Mapa, exemplo, EX037.
flowchart TD
N0["13.1 Ciclo de vida"]
N1["13.2 Menor privilégio"]
N2["13.3 Revisão de acessos"]
N3["Síntese"]
N0 --> N1 --> N2 --> N3
N3 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX037"]
Desenho lógico
flowchart LR
N0["13.1 Ciclo de vida"]
N1["13.2 Menor privilégio"]
N2["13.3 Revisão de acessos"]
N3["Síntese"]
N0 --> N1 --> N2 --> N3 --> Q["EX037"]
[13.1 Ciclo de vida]
|
v
[13.2 Menor privilégio]
|
v
[13.3 Revisão de acessos]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX037]
Objetivos de aprendizagem
Você vai (1) gerir as identidades na admissão, na movimentação e no desligamento; (2) aplicar o menor privilégio; (3) conduzir uma revisão de acessos simples.
13.1 Ciclo de vida
Sofia mapeia o ciclo de vida das identidades na Elmfield. O RH avisa a TI quando alguém entra, e as contas são criadas. Quando os funcionários mudam de equipe, pedem novos acessos, mas raramente perdem os antigos. Quando saem, as contas deveriam ser desativadas no último dia, mas a lista de desligamentos chega atrasada à TI. Ela encontra quatro contas ativas de desligados. Propõe que o RH envie os avisos de desligamento automaticamente antes do último dia e que a TI confirme cada desativação num ticket. Os acessos antigos de quem mudou de equipe são outra lacuna, que a revisão de acessos da seção 13.3 foi pensada para apanhar.
13.2 Menor privilégio
Menor privilégio significa que cada pessoa tem só os acessos de que seu papel precisa. Sofia revisa o sistema de gestão habitacional e descobre que todos os agentes de habitação veem o registro completo de qualquer inquilino, incluindo necessidades de apoio e anotações de proteção (safeguarding). Só a equipe especializada de apoio precisa dessas anotações. Ela recomenda acesso baseado em papéis que restrinja os campos sensíveis. A ISO/IEC 27002:2022 traz orientações sobre controle de acesso e direitos de acesso que apoiam isso, e os inquilinos, cuja situação pode expô-los a riscos se for vista amplamente, têm forte interesse nessa restrição.
13.3 Revisão de acessos
Sofia conduz a primeira revisão de acessos da Elmfield, no sistema financeiro. Envia a cada gestor uma lista dos acessos de sua equipe e pede que confirme ou remova cada item. A maioria responde em uma semana; dois precisam de lembretes. Sete direitos de acesso são removidos. Ela registra a data, o revisor e as mudanças como evidência. Aprende que as revisões funcionam melhor quando as listas são curtas, claras e enviadas a quem realmente sabe o que sua equipe faz. Os sete direitos removidos mostram que os acessos tinham se acumulado com o tempo, e por isso a revisão deve ser repetida regularmente.
Exemplo resolvido
Sofia corrige o processo de desligamento, restringe por papel as anotações sensíveis dos inquilinos e conduz uma revisão de acessos financeiros que remove sete direitos.
Caso sintético. As contas e as revisões são sintéticas; a ISO/IEC 27002:2022 é real.
Erros e limites
Os gestores podem aprovar sem conferir. O desenho de papéis leva tempo.
Exercícios
- EX037 — Correção do desligamento. Como Sofia corrigiu os avisos de desligamento atrasados? Rubrica: 3 = avisos automáticos do RH antes do último dia, com confirmação em ticket;; 2 = automação;; 1 = vago;; 0 = nenhuma.
- EX038 — Campos sensíveis. Quem deve ver as anotações de proteção? Rubrica: 3 = só a equipe especializada de apoio;; 2 = equipe de apoio;; 1 = todos os agentes;; 0 = nenhuma.
- EX039 — Resultado da revisão. Quantos direitos de acesso a revisão removeu? Rubrica: 3 = sete;; 2 = 7;; 1 = vago;; 0 = nenhuma.
Síntese
A governança de identidades gerencia as transições do ciclo de vida, o menor privilégio e a revisão periódica.
Continue estudando — aula 13 (capítulo 13 de 40)
← Capítulo 12 · Índice das aulas · Capítulo 14 →
Continue para a próxima aula já escrita.