Como implementar controle de acesso e gestão de identidade usando IA

Visão geral

O controle de acesso e a gestão de identidade estão na interseção entre requisitos de conformidade e a engenharia de segurança do dia a dia. Todos os principais frameworks exigem controles sobre quem pode acessar o quê, sob quais condições e como esse acesso é governado ao longo do tempo. A ISO 27001 dedica os Anexos A.5.15 a A.5.18 (política de controle de acesso, gestão de identidade, autenticação, direitos de acesso) e A.8.2 a A.8.5 (acesso privilegiado, restrição de acesso, autenticação segura, acesso ao código-fonte) ao tema. Os Critérios de Serviços de Confiança SOC 2 CC6.1 a CC6.3 exigem controles de acesso lógico e físico, e o NIST CSF PR.AC abrange a gestão de identidade, autenticação e controle de acesso em todas as categorias de ativos.

Apesar da amplitude desses requisitos, a implementação é onde a maioria das organizações enfrenta dificuldades. Projetar hierarquias de funções, automatizar eventos do ciclo de vida da identidade, implementar autenticação multifator, gerenciar contas privilegiadas e realizar revisões de acesso exigem tanto conhecimento de conformidade quanto execução de engenharia. Este guia mostra como usar IA para preencher essa lacuna -- gerando designs, procedimentos e modelos compatíveis que você pode adaptar ao seu ambiente específico.

Para quem é este guia

• Engenheiros de segurança que projetam e implementam infraestrutura de IAM
• Gerentes de TI responsáveis pelo controle de acesso em toda a organização
• Profissionais de GRC que traduzem requisitos de frameworks em controles técnicos
• Consultores que implementam programas de controle de acesso para vários clientes

Pré-requisitos

• Um espaço de trabalho ativo no ISMS Copilot dedicado ao seu projeto de IAM
• Uma avaliação de riscos concluída identificando riscos relacionados ao acesso (ou acesso ao seu registro de riscos)
• Um entendimento da sua infraestrutura de identidade atual (serviços de diretório, IdP, provedor de SSO)
• Familiaridade com o escopo de conformidade da sua organização (quais frameworks se aplicam)

Projetando modelos RBAC/ABAC

O controle de acesso baseado em funções (RBAC) e o controle de acesso baseado em atributos (ABAC) são os dois modelos dominantes para aplicar o princípio do menor privilégio em escala. A ISO 27001 A.5.15 exige que as regras de controle de acesso sejam estabelecidas com base em requisitos de negócios e segurança da informação. O SOC 2 CC6.1 exige que a segurança de acesso lógico seja implementada usando o princípio do menor privilégio. Acertar o modelo na fase de projeto evita o acúmulo de privilégios e simplifica a coleta de evidências de auditoria posteriormente.

Usando IA para projetar seu modelo RBAC

Comece pedindo ao ISMS Copilot para analisar a estrutura organizacional e mapeá-la para funções:

"Somos uma empresa de [tamanho] do setor [indústria] usando [provedor de identidade]. Nossos departamentos incluem [listar departamentos]. Projete um modelo RBAC que aplique o princípio do menor privilégio. Para cada departamento, defina: funções básicas, funções elevadas, hierarquia de funções e regras de herança, restrições de segregação de funções (combinações de funções incompatíveis) e permissões padrão de negação. Mapeie o modelo para a ISO 27001 A.5.15 e o SOC 2 CC6.2."

Para organizações com requisitos de acesso mais complexos, o ABAC adiciona tomada de decisão baseada em contexto sobre as funções:

"Precisamos estender nosso modelo RBAC com controle de acesso baseado em atributos para [caso de uso, ex.: acesso a dados multi-inquilino, restrições geográficas, acesso baseado em classificação]. Defina: atributos do usuário (departamento, nível de autorização, localização, postura do dispositivo), atributos de recursos (classificação de dados, proprietário, nível de sensibilidade), atributos ambientais (hora do dia, zona de rede, nível de ameaça) e lógica de avaliação de políticas. Mapeie para o NIST SP 800-162 e a ISO 27001 A.5.15."

Matriz de segregação de funções

Um resultado crítico do projeto de RBAC é a matriz de segregação de funções (SoD), que impede que qualquer indivíduo controle todas as fases de um processo crítico. Peça ao ISMS Copilot:

"Gere uma matriz de segregação de funções para nosso [sistema/ambiente]. Identifique pares de funções que criam conflito (ex.: aprovação de pagamento e execução de pagamento, provisionamento de usuário e revisão de acesso, implantação de código e acesso a banco de dados de produção). Para cada par de conflito, especifique: o risco se combinados, o controle compensatório se a separação não for viável e a referência de controle da ISO 27001/SOC 2."

Gestão do ciclo de vida da identidade

A gestão do ciclo de vida da identidade -- o processo de entrada/movimentação/saída -- é onde a política de controle de acesso encontra a realidade operacional. A ISO 27001 A.5.16 (gestão de identidade) e A.5.18 (direitos de acesso) exigem processos formais para provisionamento, modificação e revogação de acesso. O SOC 2 CC6.2 exige que o novo acesso lógico seja autorizado, que o acesso existente seja modificado quando as funções mudam e que o acesso seja removido quando não for mais necessário. O NIST PR.AC-1 exige que identidades e credenciais sejam emitidas, gerenciadas, verificadas, revogadas e auditadas.

Processo de entrada

Use IA para projetar fluxos de trabalho automatizados de integração que se integrem ao seu sistema de RH:

"Projete um processo automatizado de entrada para nossa organização. Usamos [HRIS, ex.: Workday/BambooHR] como fonte da verdade e [IdP, ex.: Okta/Azure AD/Google Workspace] para gestão de identidade. Inclua: eventos de gatilho do HRIS, mapeamento de função para acesso por departamento e cargo, criação automática de contas em [listar sistemas], requisitos de inscrição no MFA, configurações de segurança padrão, etapas de notificação e verificação do gestor e o registro de auditoria capturado em cada etapa. Alinhe com a ISO 27001 A.5.16 e o SOC 2 CC6.2."

Processo de movimentação

Mudanças de função são o evento do ciclo de vida mais comumente negligenciado e o principal impulsionador do acúmulo de privilégios:

"Projete um processo de movimentação acionado quando um funcionário muda de departamento, cargo ou gestor. Inclua: detecção automática do evento de mudança, comparação entre o acesso antigo e o novo necessário, revogação do acesso não mais necessário, provisionamento de novo acesso para a nova função, fluxo de trabalho de aprovação do gestor para a mudança líquida e uma janela de transição de 30 dias com monitoramento. Referencie a ISO 27001 A.5.18 e o SOC 2 CC6.2."

Processo de saída

A revogação oportuna do acesso no desligamento é um controle crítico e uma constatação frequente em auditorias:

"Crie um processo abrangente de saída cobrindo tanto o desligamento voluntário quanto o involuntário. Inclua: ações imediatas dentro de [prazo] após a notificação, sequência de desativação de contas em todos os sistemas (SSO, VPN, nuvem, SaaS, acesso físico, e-mail), backup de dados e transferência para o gestor, procedimentos de devolução de equipamentos e limpeza de dispositivos, rotação de credenciais compartilhadas, remoção de associação a listas de distribuição e grupos, término de acesso de contratados e terceiros, e etapas de verificação pós-revogação. Mapeie para a ISO 27001 A.5.10, A.5.18 e o SOC 2 CC6.2."

Estratégia de autenticação multifator

A MFA é um dos controles de maior impacto disponíveis para prevenir acesso não autorizado. A ISO 27001 A.8.5 (autenticação segura) exige que a força da autenticação seja proporcional à classificação das informações sendo acessadas. O SOC 2 CC6.1 exige autenticação multifator para acesso remoto e contas privilegiadas. O NIST PR.AC-7 especifica que os mecanismos de autenticação devem ser compatíveis com o risco.

Planejamento da implementação de MFA

Uma implementação faseada evita a sobrecarga de suporte e a resistência dos usuários de uma abordagem big-bang:

"Projete um plano de implementação faseada de MFA para nossa organização de [tamanho]. Atualmente, usamos [método de autenticação atual] e nosso IdP é [provedor]. Inclua: escopo da Fase 1 (contas privilegiadas, equipe de TI), escopo da Fase 2 (todo o acesso remoto, aplicações em nuvem), escopo da Fase 3 (todos os usuários, todas as aplicações), métodos de MFA recomendados por população de usuários (aplicativo autenticador, tokens de hardware, chaves de acesso), fluxo de trabalho de inscrição e modelos de comunicação com o usuário, procedimentos de escalonamento do suporte, período de carência e cronograma de aplicação por fase, e processo de tratamento de exceções com documentação de aceitação de risco. Mapeie cada fase para a ISO 27001 A.8.5 e o SOC 2 CC6.1."

Avaliação de métodos de autenticação

Nem todos os métodos de MFA oferecem o mesmo nível de garantia de segurança. Use IA para avaliar opções de acordo com o perfil de risco da sua organização:

"Compare métodos de MFA para nossa organização: aplicativos autenticadores TOTP, chaves de hardware FIDO2/WebAuthn, notificações push, SMS OTP e autenticação baseada em certificado. Para cada método, avalie: resistência a phishing (crítica para nosso modelo de ameaça), usabilidade e atrito na adoção pelo usuário, custo por usuário em [escala], requisitos de dispositivo, opções de recuperação e fallback, e alinhamento com os níveis AAL do NIST SP 800-63B. Recomende qual método usar para qual população."

Tratamento de exceções

Toda implementação de MFA encontra casos de borda -- contas de serviço, sistemas legados, requisitos de acessibilidade. Documente-os antes que se tornem constatações em auditorias:

"Crie um procedimento de tratamento de exceções para MFA. Defina: categorias válidas de exceção (incompatibilidade com sistemas legados, requisito de acessibilidade, conta de serviço, acesso de emergência), documentação necessária para cada tipo de exceção, controles compensatórios quando a MFA não puder ser aplicada (restrição de IP, monitoramento aprimorado, limites de tempo de sessão), autoridade de aprovação e escalonamento, frequência de revisão de exceções (trimestral) e critérios de encerramento para remoção de exceções. Alinhe com a ISO 27001 A.5.1 (exceções de política) e o SOC 2 CC6.1."

Gestão de acesso privilegiado

Contas privilegiadas representam o maior risco em qualquer programa de controle de acesso. Uma única credencial de administrador comprometida pode burlar todos os outros controles de segurança. A ISO 27001 A.8.2 aborda especificamente os direitos de acesso privilegiado com requisitos para alocação restrita, autorização formal e registro de atividades. O SOC 2 CC6.3 exige que o acesso a recursos do sistema seja gerenciado por meio de controles de acesso baseados em funções. O NIST PR.AC-4 exige que as permissões de acesso sejam gerenciadas com o princípio do menor privilégio.

Projeto de política de PAM

Use IA para criar uma política abrangente de PAM adaptada ao seu ambiente:

"Projete uma política de gestão de acesso privilegiado para nossa organização. Temos aproximadamente [número] contas de administrador em [listar sistemas: nuvem, local, SaaS]. Inclua: definição e inventário de contas privilegiadas (root, administrador de domínio, administrador de banco de dados, administrador de IAM em nuvem, contas de serviço com permissões elevadas), fluxo de trabalho de aprovação para conceder acesso privilegiado, duração máxima do privilégio e expiração automática, requisitos de gravação e monitoramento de sessão, agendamento de rotação de credenciais e cofre, separação de contas de administrador das contas de uso diário, e requisitos de registro de auditoria. Mapeie para a ISO 27001 A.8.2, o SOC 2 CC6.3 e o NIST AC-6."

Acesso just-in-time

Privilégios permanentes -- acesso de administrador que está sempre ativo -- criam exposição desnecessária. O acesso just-in-time (JIT) reduz a superfície de ataque ao conceder privilégios elevados apenas quando necessário e por um período definido:

"Projete um modelo de acesso privilegiado just-in-time para nosso [ambiente]. Inclua: fluxo de trabalho de solicitação e justificativa (vinculado a ticket de mudança ou incidente), regras de aprovação automatizadas (ex.: pré-aprovado para engenheiros de plantão durante incidente), duração máxima da sessão por nível de privilégio (ex.: 4 horas para administrador de nuvem, 1 hora para administrador de banco de dados), revogação automática de privilégios ao final da sessão, registro de atividades durante sessões elevadas, integração com [ferramenta de PAM ou IdP, ex.: Azure PIM, CyberArk, HashiCorp Boundary], e métricas de relatório (duração média da sessão, tempo de aprovação, frequência de uso). Referencie a ISO 27001 A.8.2 e o NIST SP 800-53 AC-2(5)."

Procedimentos de acesso de emergência

Procedimentos de acesso de emergência devem existir para situações em que os canais normais de acesso não estão disponíveis:

"Crie procedimentos de acesso de emergência para [sistemas críticos]. Inclua: inventário de contas de emergência e armazenamento seguro (envelope lacrado em cofre, divisão de credenciais entre duas pessoas, token de hardware em armário trancado), critérios de ativação (falha do sistema afetando [limite], falha do IdP, incidente de segurança crítico), processo de autorização (quem pode aprovar a ativação e por qual canal), monitoramento e alertas (notificação imediata à equipe de segurança sobre qualquer uso de conta de emergência), ações pós-uso (revisão completa da atividade em 24 horas, rotação de credenciais, documentação do incidente), cronograma de testes (simulação anual de acesso de emergência) e documentação de conformidade. Mapeie para a ISO 27001 A.8.2 e o SOC 2 A1.2."

Revisão e recertificação de acesso

Revisões periódicas de acesso verificam se os direitos de acesso permanecem apropriados ao longo do tempo. A ISO 27001 A.5.18 exige que os direitos de acesso sejam revisados em intervalos definidos. O SOC 2 CC6.2 exige que o acesso seja periodicamente revisado e validado. Sem revisões regulares, o acúmulo de privilégios, contas órfãs e permissões obsoletas se acumulam, criando tanto lacunas de conformidade quanto riscos de segurança.

Projetando seu programa de revisão de acesso

Use IA para criar um programa de revisão calibrado para a sensibilidade do acesso sendo revisado:

"Projete um programa de revisão periódica de acesso para nossa organização. Temos [número] funcionários em [número] sistemas. Inclua: frequência de revisão por tipo de acesso (trimestral para acesso privilegiado e a dados sensíveis, semestral para acesso padrão, mensal para acesso de terceiros/fornecedores), lógica de atribuição de revisor (gestor direto revisa acesso padrão, proprietário do recurso revisa acesso específico de aplicações, equipe de segurança revisa acesso privilegiado), fluxo de trabalho de revisão com escalonamento para não resposta, escopo por ciclo de revisão (todos os usuários e permissões vs. abordagem por amostragem) e integração com [ferramenta de IGA ou processo manual]. Mapeie para a ISO 27001 A.5.18 e o SOC 2 CC6.2."

Modelos de revisão e evidências

Os auditores precisam ver que as revisões foram realizadas, quais decisões foram tomadas e que a correção foi concluída:

"Gere um modelo de revisão de acesso que capture: nome e ID do usuário, sistema ou aplicação, permissões e funções atuais, justificativa comercial para cada permissão, decisão do revisor (confirmar, modificar, revogar), nome e data do revisor, e acompanhamento de correção para acesso revogado. Crie também um modelo de relatório resumido da revisão que mostre: total de contas revisadas, percentual confirmado vs. modificado vs. revogado, tempo médio para concluir a revisão, itens de correção pendentes e dados de tendência em comparação com ciclos de revisão anteriores."

Fluxos de trabalho de correção

A revisão em si é apenas metade do processo. O acesso revogado deve ser realmente removido, e essa remoção deve ser verificada:

"Projete um fluxo de trabalho de correção para as constatações da revisão de acesso. Inclua: criação automática de ticket para cada decisão de revogação, atribuição à equipe de provisionamento apropriada, SLA para correção (ex.: 5 dias úteis para padrão, 24 horas para privilegiado), etapa de verificação confirmando que o acesso foi realmente removido, caminho de escalonamento para SLAs não cumpridos, processo de exceção para acesso que não pode ser revogado imediatamente (com controles compensatórios) e documentação de encerramento para evidência de auditoria. Referencie a ISO 27001 A.5.18 e o SOC 2 CC6.2."

Exemplos de prompts

Os seguintes prompts estão prontos para uso no ISMS Copilot. Substitua os placeholders entre colchetes pelos seus detalhes específicos.

Modelo RBAC para uma organização nativa em nuvem

Design an RBAC model for a cloud-native SaaS company with 200 employees across engineering, product, sales, customer success, and finance departments. We use Google Workspace for identity, AWS for infrastructure, and Okta for SSO. For each department, define: standard role, elevated role, admin role, permitted resources in AWS (using IAM policy patterns), and segregation of duties constraints. Ensure the model satisfies ISO 27001 A.5.15, SOC 2 CC6.1-CC6.2, and NIST PR.AC-4. Output as a role matrix with permission details.

Procedimento completo de entrada/movimentação/saída

Create a complete identity lifecycle management procedure covering joiner, mover, and leaver events. Our HRIS is BambooHR, IdP is Azure AD, and we use SCIM for automated provisioning to [list SaaS apps]. For each lifecycle event, define: trigger, automated actions, manual steps, approval requirements, SLA, audit trail captured, and compliance mapping to ISO 27001 A.5.16, A.5.18, SOC 2 CC6.2, and NIST PR.AC-1. Include a RACI matrix for each process.

Plano de implementação de MFA com tratamento de exceções

Create a three-phase MFA rollout plan for a 500-person organization currently using password-only authentication. Phase 1: IT and privileged users (month 1-2). Phase 2: all remote and cloud access (month 3-4). Phase 3: all users and applications (month 5-6). For each phase, include: scope, recommended MFA methods, enrollment process, communication plan, support procedures, and success metrics. Also create an exception handling procedure with compensating controls for legacy systems that cannot support MFA. Map to ISO 27001 A.8.5 and NIST SP 800-63B.

Modelo de acesso privilegiado just-in-time

Design a just-in-time privileged access model for our AWS and Azure environments. We have 15 infrastructure engineers who currently have standing admin access. Define: JIT request workflow integrated with ServiceNow, automated approval rules for common scenarios (on-call incident response, scheduled maintenance), maximum session durations by privilege level, session recording requirements, automatic revocation process, and monthly reporting metrics. Include a comparison of current state (standing access) versus target state (JIT) risk levels. Map to ISO 27001 A.8.2, SOC 2 CC6.3, and NIST AC-2(5).

Programa de revisão trimestral de acesso

Design a quarterly access review program for an organization with 300 users across 25 SaaS applications, 3 cloud environments, and 2 on-premises systems. Define: review scope and scheduling, reviewer assignment by system type, review workflow with automated reminders and escalation, decision criteria (confirm, modify, revoke), remediation process with 5-day SLA, evidence collection for audit, and KPIs to track program effectiveness over time. Include templates for the review form and summary report. Map to ISO 27001 A.5.18 and SOC 2 CC6.2.

Governança de acesso de fornecedores e terceiros

Create a third-party access governance framework for managing vendor, contractor, and partner access. We have approximately 40 vendors with system access. Include: access request and risk assessment process, dedicated account requirements (no shared credentials), network segmentation for vendor access, MFA enforcement, time-limited access with automatic expiry, activity monitoring and logging, monthly access reviews, termination procedures at contract end, and annual vendor access audit process. Map to ISO 27001 A.5.19-A.5.22, SOC 2 CC6.2-CC6.3, and NIST PR.AC-3.

Recursos relacionados

• Prompts de controle de acesso e gestão de identidade -- modelos de prompts prontos para uso em tarefas de engenharia de IAM
• Visão geral da biblioteca de prompts de engenharia de GRC -- índice completo de coleções de prompts para conformidade em engenharia
• Prompts de segurança de infraestrutura e nuvem -- baselines de IAM em nuvem e prompts de segurança de rede
• Visão geral da biblioteca de prompts da ISO 27001 -- orientações mais amplas para implementação da ISO 27001
• Visão geral de engenharia de prompts -- técnicas para obter melhores resultados do ISMS Copilot