Política de controle de acesso

Documento Normativo de Segurança da Informação

1. OBJETIVO

Esta Política estabelece as diretrizes e padrões necessários para garantir a proteção, integridade, confidencialidade e disponibilidade dos ativos de informação da organização. Seu propósito principal é assegurar que o acesso a dados, sistemas, redes e infraestruturas seja concedido estritamente a usuários e serviços devidamente autorizados, prevenindo acessos indevidos, incidentes de segurança e vazamentos de dados.

2. ALCANCE E APLICAÇÃO

As diretrizes contidas neste documento aplicam-se obrigatoriamente a:

• Todos os colaboradores diretos, estagiários, diretores e prestadores de serviços terceirizados;

• Todas as plataformas, sistemas corporativos, bancos de dados, redes e infraestruturas em nuvem ou locais (*on-premises*);

• Serviços e integrações automatizadas (*APIs*, *jobs*, contas de serviço).

3. PRINCÍPIOS FUNDAMENTAIS

O controle de acesso corporativo deve seguir rigorosamente os três princípios abaixo:

 

4. DIRETRIZES DE AUTENTICAÇÃO E IDENTIDADE

4.1. Credenciais Individuais e Intransferíveis

É expressamente proibido o compartilhamento de logins, senhas, chaves de API ou quaisquer outras credenciais de acesso entre colaboradores. Toda conta deve estar associada a uma identidade individual rastreável.

4.2. Autenticação Multi-Fator (MFA)

A utilização de Autenticação Multi-Fator (MFA) é obrigatória para todos os acessos a sistemas corporativos, plataformas em nuvem, ambientes de desenvolvimento e produção, sem exceções.

4.3. Requisitos de Senhas e Chaves

• As senhas corporativas devem atender aos requisitos mínimos de complexidade e tamanho estabelecidos pela equipe de TI;

• Chaves de acesso a ambientes de produção e APIs devem ser armazenadas em cofres de senhas corporativos e rotacionadas periodicamente.

5. GESTÃO DO CICLO DE VIDA DE ACESSOS

5.1. Concessão de Acesso

A liberação de acessos depende obrigatoriamente de solicitação formal realizada via canal oficial de TI, acompanhada da justificativa operacional e da aprovação expressa da liderança imediata e do responsável pelo recurso/sistema.

5.2. Revisão Periódica (Auditoria de Perfis)

A equipe de Segurança da Informação, conjuntamente com os gestores de área, realizará auditorias periódicas nos perfis de acesso para identificar e revogar privilégios desnecessários ou acumulados.

5.3. Movimentação e Desligamento

• Mudança de Cargo/Função: A área de Recursos Humanos deve notificar a TI sobre transferências internas para que os acessos anteriores sejam revogados e novos perfis ajustados.

• Desligamento: Em caso de encerramento do vínculo contratual, o bloqueio das contas e revogação das permissões devem ser executados imediatamente após a notificação oficial.

6. MONITORAMENTO, RASTREABILIDADE E AUDITORIA

Todos os sistemas, bancos de dados, aplicações e ativos de rede devem gerar registros de auditoria (*logs*) contendo:

• Identificação do usuário ou serviço;

• Data e hora exata do evento (*timestamp*);

• Tipo de tentativa de acesso (sucesso ou falha);

• Ação executada ou alteração efetuada em privilégios.

7. RESPONSABILIDADES E PENALIDADES

O descumprimento das normas estabelecidas nesta Política de Controle de Acesso sujeita o infrator às sanções disciplinares previstas em contrato de trabalho e no regimento interno da empresa, além de eventuais penalidades cíveis e criminais aplicáveis nos termos da legislação vigente.

8. DISPOSIÇÕES FINAIS

Esta política entra em vigor na data de sua publicação e deve ser revisada anualmente ou sempre que houver mudanças relevantes no ambiente tecnológico ou regulatório.