Política de Gestão de Contas de Utilizador e Privilégios

A Política de Gestão de Contas de Utilizador e Privilégios (Documento P11) fornece um quadro estruturado e obrigatório para controlar a forma como as contas de utilizador e os privilégios são geridos em todos os sistemas de informação da organização e tecnologias. O seu objetivo central é garantir que os recursos da organização são acedidos apenas por indivíduos autorizados, de acordo com funções validadas e necessidades operacionais. A política reconhece e aplica princípios-chave de segurança da informação, como o princípio do menor privilégio e a segregação de funções, e impõe processos auditáveis para o provisionamento de acessos, gestão, monitorização e revogação de acessos de contas de utilizador. Aplicável a todos os utilizadores, incluindo trabalhadores, contratados, prestadores de serviços terceiros e consultores, esta política rege qualquer sistema onde exista autenticação do utilizador. Este âmbito abrangente cobre aplicações empresariais, ambientes de nuvem e SaaS, sistemas administrativos e ferramentas de acesso remoto, bem como plataformas de Gestão de Identidades e Acessos (IAM). Tanto as contas padrão como as contas privilegiadas estão abrangidas pelos seus requisitos, com forte ênfase na identificação única de cada conta e na prevenção da utilização de credenciais partilhadas ou contas partilhadas/genéricas (exceto em cenários de emergência rigorosamente controlados). Os principais objetivos da política incluem impor contas de utilizador únicas, justificáveis e rastreáveis; implementar controlos do princípio do menor privilégio para proteger contra direitos de acesso excessivos; exigir alterações imediatas ao estado das contas após alterações de funções ou cessação; e centralizar as atividades de gestão do ciclo de vida dos acessos para consistência e auditabilidade. Estão previstas disposições para a deteção proativa de credenciais de utilizador inativas ou contas utilizadas indevidamente através de revisões regulares e da utilização de ferramentas automatizadas. A política foi explicitamente concebida para se alinhar com normas de segurança líderes (como ISO/IEC 27001:2022, 27002:2022, NIST SP 800-53 Rev.5, EU NIS2, EU DORA, GDPR e COBIT 2019) para cumprir requisitos regulamentares e de melhores práticas. As funções e responsabilidades são claramente definidas, desde o papel de supervisão e gestão de exceções do CISO até às ações técnicas dos administradores de controlo de acesso, autorizações de acesso dos chefes de departamento e integração de RH com processos de integração/desvinculação. Os procedimentos garantem que a criação, modificação e desativação de contas são rigorosamente governadas, com o acesso privilegiado sujeito a escrutínio adicional, aprovações, restrições de tempo e registo de auditoria reforçado. Os controlos de autenticação, incluindo políticas obrigatórias de palavras-passe, autenticação multifator para contas-chave, bloqueio de sessão e protocolos seguros de acesso remoto, constituem um requisito central, garantindo que a verificação de identidade não pode ser contornada. Medidas robustas de monitorização, registo de auditoria e revisão periódica ajudam a manter inventários de contas precisos e a impor o cumprimento da política. O tratamento de exceções é baseado no risco e controlado, com cenários de acesso de emergência ("break-glass") a receberem atenção procedimental específica. A conformidade obrigatória é sublinhada por um modelo de aplicação progressiva, incluindo desativação de acesso, retreino, medidas disciplinares e escalonamento jurídico-regulatório para violações. A integração com políticas organizacionais relacionadas assegura uma abordagem coerente em todos os domínios de segurança da informação, e o requisito de revisões anuais (ou acionadas por eventos) da política garante alinhamento contínuo com sistemas, modelos de negócio e panoramas regulamentares em evolução. A Política de Gestão de Contas de Utilizador e Privilégios é fundamental para a estratégia de gestão de riscos da organização, reforçando a segurança operacional e a conformidade regulamentar.