1. Objetivo
Estabelecer diretrizes para o controle de acesso aos sistemas, dados e recursos tecnológicos da organização, garantindo que o acesso seja concedido com base no princípio do privilégio mínimo e na necessidade de negócio.
2. Escopo
Esta política aplica-se a todos os colaboradores, terceiros, parceiros e prestadores de serviço que tenham acesso aos sistemas, informações e ativos tecnológicos da organização.
3. Diretrizes Gerais
3.1 Princípio do Privilégio Mínimo
Os acessos aos sistemas e dados devem ser concedidos exclusivamente de acordo com a função exercida pelo usuário, limitando-se ao mínimo necessário para o desempenho de suas atividades.
3.2 Concessão de Acesso
- Todo acesso deve ser formalmente solicitado e aprovado pelo gestor responsável.
- Os acessos devem estar vinculados à função do usuário.
- O acesso de terceiros deve possuir prazo determinado.
3.3 Revisão de Acessos
- Os privilégios de acesso devem ser revisados, no mínimo, uma vez por ano.
- Revisões adicionais devem ocorrer em caso de mudança de função ou desligamento.
- No desligamento do colaborador, o acesso deve ser revogado imediatamente.
3.4 Monitoramento e Logs
- Os sistemas devem manter registros (logs) de acesso.
- Os logs devem ser armazenados conforme a política de retenção da empresa.
- Eventos suspeitos devem ser analisados pela área responsável.
3.5 Autenticação
- É obrigatória a utilização de credenciais individuais e intransferíveis.
- Sempre que aplicável, deve ser adotada autenticação multifator (MFA).
- Senhas devem seguir os requisitos mínimos definidos na Política de Segurança da Informação.
4. Responsabilidades
- Gestores: Aprovar e revisar acessos de suas equipes.
- TI/Security: Implementar controles técnicos, manter registros e realizar revisões periódicas.
- Usuários: Utilizar os acessos de forma responsável e não compartilhar credenciais.
5. Penalidades
O descumprimento desta política pode resultar em medidas disciplinares, conforme normas internas da organização.
6. Vigência
Esta política entra em vigor na data de sua publicação e deve ser revisada anualmente.