Política de controle de acesso
Documento Normativo de Segurança da Informação
|
Código do Documento: POL-SEC-001 |
Versão: 1.0 |
|
Data de Aprovação: Janeiro de 2026 |
Classificação de Informação: Uso Interno |
|
Área Gestora: Segurança da Informação / TI |
Aplica-se a: Todos os Colaboradores e Prestadores de Serviço |
1. OBJETIVO
Esta Política estabelece as diretrizes e padrões necessários para garantir a proteção, integridade, confidencialidade e disponibilidade dos ativos de informação da organização. Seu propósito principal é assegurar que o acesso a dados, sistemas, redes e infraestruturas seja concedido estritamente a usuários e serviços devidamente autorizados, prevenindo acessos indevidos, incidentes de segurança e vazamentos de dados.
2. ALCANCE E APLICAÇÃO
As diretrizes contidas neste documento aplicam-se obrigatoriamente a:
-
Todos os colaboradores diretos, estagiários, diretores e prestadores de serviços terceirizados;
-
Todas as plataformas, sistemas corporativos, bancos de dados, redes e infraestruturas em nuvem ou locais (*on-premises*);
-
Serviços e integrações automatizadas (*APIs*, *jobs*, contas de serviço).
3. PRINCÍPIOS FUNDAMENTAIS
O controle de acesso corporativo deve seguir rigorosamente os três princípios abaixo:
|
Princípio |
Descrição Operacional
|
|---|---|
|
Menor Privilégio (Least Privilege) |
Todo usuário ou serviço receberá apenas o nível mínimo de permissões indispensável para a execução regular de suas atribuições. |
|
Necessidade de Conhecer (Need-to-Know) |
A concessão de acesso a informações restritas ou sensíveis fundamenta-se na necessidade técnica ou operacional, e não no nível hierárquico do solicitante. |
|
Segregação de Funções (Separation of Duties - SoD) |
Processos críticos que envolvam riscos operacionais ou financeiros devem exigir a atuação/aprovação de pessoas distintas, evitando a concentração de privilégios. |
4. DIRETRIZES DE AUTENTICAÇÃO E IDENTIDADE
4.1. Credenciais Individuais e Intransferíveis
É expressamente proibido o compartilhamento de logins, senhas, chaves de API ou quaisquer outras credenciais de acesso entre colaboradores. Toda conta deve estar associada a uma identidade individual rastreável.
4.2. Autenticação Multi-Fator (MFA)
A utilização de Autenticação Multi-Fator (MFA) é obrigatória para todos os acessos a sistemas corporativos, plataformas em nuvem, ambientes de desenvolvimento e produção, sem exceções.
4.3. Requisitos de Senhas e Chaves
-
As senhas corporativas devem atender aos requisitos mínimos de complexidade e tamanho estabelecidos pela equipe de TI;
-
Chaves de acesso a ambientes de produção e APIs devem ser armazenadas em cofres de senhas corporativos e rotacionadas periodicamente.
5. GESTÃO DO CICLO DE VIDA DE ACESSOS
5.1. Concessão de Acesso
A liberação de acessos depende obrigatoriamente de solicitação formal realizada via canal oficial de TI, acompanhada da justificativa operacional e da aprovação expressa da liderança imediata e do responsável pelo recurso/sistema.
5.2. Movimentação e Desligamento
-
Mudança de Cargo/Função: A área de Recursos Humanos deve notificar a TI sobre transferências internas para que os acessos anteriores sejam revogados e novos perfis ajustados.
-
Desligamento: Em caso de encerramento do vínculo contratual, o bloqueio das contas e revogação das permissões devem ser executados imediatamente após a notificação oficial.
6. MONITORAMENTO, RASTREABILIDADE E AUDITORIA
Todos os sistemas, bancos de dados, aplicações e ativos de rede devem gerar registros de auditoria (*logs*) contendo:
-
Identificação do usuário ou serviço;
-
Data e hora exata do evento (*timestamp*);
-
Tipo de tentativa de acesso (sucesso ou falha);
-
Ação executada ou alteração efetuada em privilégios.
7. RESPONSABILIDADES E PENALIDADES
O descumprimento das normas estabelecidas nesta Política de Controle de Acesso sujeita o infrator às sanções disciplinares previstas em contrato de trabalho e no regimento interno da empresa, além de eventuais penalidades cíveis e criminais aplicáveis nos termos da legislação vigente.