Como controlar quem tem acesso aos sistemas da empresa

Em muitas pequenas empresas, o acesso aos sistemas cresce de forma desordenada. Um funcionário recebe permissão de administrador para instalar um programa e continua com ela anos depois. Um ex-colaborador ainda tem a conta de e-mail ativa. Todos usam a mesma senha para acessar o sistema financeiro. Nenhuma dessas situações parece grave isoladamente, mas juntas ampliam muito o impacto de uma senha vazada ou de um computador comprometido.

Por que o controle de acesso importa

Grande parte dos incidentes envolve, em algum momento, o uso de uma credencial legítima: uma senha obtida por golpe de phishing, reutilizada de outro serviço ou simplesmente fraca. Quando isso acontece, o que o atacante consegue fazer depende dos acessos daquela conta.

Uma conta com acesso restrito limita o estrago. Uma conta de administrador, usada no dia a dia para ler e-mails e navegar, pode entregar o controle de todo o ambiente. Esse controle existe para reduzir esse impacto e é um dos cinco controles técnicos do esquema britânico Cyber Essentials.

Princípios básicos

Uma conta por pessoa

Cada usuário deve ter sua própria conta, com senha individual. Logins compartilhados impedem saber quem fez o quê e dificultam remover o acesso de uma pessoa sem afetar as demais.

Privilégio mínimo

Cada pessoa deve ter acesso apenas ao que precisa para sua função. O time comercial não precisa acessar a folha de pagamento; o estagiário não precisa de permissão para instalar programas.

Contas administrativas separadas

Quem precisa de privilégios de administrador deve ter duas contas: uma comum, para o trabalho do dia a dia, e outra administrativa, usada somente para tarefas de administração. Essa conta não deve ser usada para ler e-mails ou navegar na internet, justamente as atividades em que o risco de contato com conteúdo malicioso é maior.

Autenticação: senhas e multifator

Senhas continuam sendo a forma mais comum de autenticação, e a qualidade delas faz diferença. Algumas orientações práticas:

Preferir senhas longas, como frases, a combinações curtas e complexas difíceis de lembrar.
Não reutilizar a senha corporativa em outros serviços.
Adotar um gerenciador de senhas para facilitar o uso de senhas diferentes.
Trocar imediatamente todas as senhas padrão de sistemas e equipamentos.
Limitar tentativas de login ou aplicar bloqueio temporário após erros repetidos.

A autenticação multifator (MFA) acrescenta uma segunda verificação, como um código em aplicativo ou uma chave física. Mesmo que a senha seja descoberta, o acesso depende de algo que o atacante normalmente não tem. O Cyber Essentials exige MFA em serviços em nuvem, como e-mail corporativo, armazenamento de arquivos e sistemas de gestão acessados pela internet.

Na prática: se a empresa só puder fazer uma coisa agora, ativar a autenticação multifator no e-mail corporativo é uma das medidas com melhor relação entre esforço e redução de risco. Ele costuma ser a porta de entrada para redefinir senhas de quase todos os outros serviços.

Ciclo de vida das contas

O controle de acesso não termina na criação da conta. Ele precisa acompanhar a trajetória de cada pessoa na empresa:

Entrada: criar a conta com os acessos necessários para a função, e nada além disso.
Mudança de função: revisar os acessos, retirando o que não é mais necessário. Acumular permissões ao longo do tempo é um problema frequente.
Saída: remover ou desativar as contas assim que a pessoa deixa a empresa, incluindo serviços em nuvem e sistemas de terceiros.

Contas que não são mais usadas, inclusive de fornecedores, testes ou antigos projetos, também devem ser removidas ou desativadas. Uma revisão periódica, trimestral ou semestral, ajuda a encontrar esses casos. Vale integrar esse processo ao RH, para que a TI seja avisada sempre que houver admissão, transferência ou desligamento.

Relação com a LGPD

Restringir o acesso a dados pessoais apenas a quem precisa deles é uma das formas mais concretas de aplicar as medidas de segurança previstas na LGPD. Um bom controle de acesso reduz o número de pessoas e sistemas envolvidos em um eventual vazamento, tema explorado em cibersegurança e LGPD. Ele também é um dos pilares descritos em os cinco controles básicos de cibersegurança.

Checklist

Cada pessoa tem sua própria conta, sem logins compartilhados.
Contas de administrador são separadas e usadas só para administração.
Autenticação multifator ativa no e-mail e nos demais serviços em nuvem.
Senhas padrão de sistemas e equipamentos foram trocadas.
Contas de ex-funcionários e contas sem uso são removidas ou desativadas.
Os acessos são revisados periodicamente, com apoio do RH.