Introdução
Quando se fala em segurança da informação, é comum imaginar ataques altamente sofisticados, hackers explorando vulnerabilidades complexas ou tecnologias avançadas de defesa cibernética. No entanto, a realidade demonstra que muitos incidentes envolvendo dados pessoais têm origem em falhas muito mais simples e cotidianas, como o uso de senhas fracas ou reutilizadas, o compartilhamento de credenciais entre colaboradores, a manutenção de acessos de ex-funcionários, permissões concedidas além do necessário ou a ausência de mecanismos adicionais de autenticação, como a autenticação multifator (Multi-Factor Authentication – MFA).
Essas situações, frequentemente tratadas como meros detalhes operacionais, representam algumas das vulnerabilidades mais exploradas por agentes maliciosos e continuam figurando entre as principais causas de vazamentos de dados, comprometimento de sistemas, ataques de ransomware e outros incidentes de segurança. Em muitos casos, basta que uma única credencial seja comprometida para que informações estratégicas e grandes volumes de dados pessoais se tornem acessíveis de forma indevida, gerando impactos financeiros, operacionais, reputacionais e regulatórios para as organizações.
Sob a perspectiva da Lei Geral de Proteção de Dados (LGPD), esses controles deixam de ser apenas recomendações técnicas e passam a integrar o conjunto de medidas necessárias para assegurar a proteção dos dados pessoais. Embora a legislação não determine quais ferramentas ou tecnologias específicas devam ser adotadas, ela estabelece que controladores e operadores implementem medidas técnicas e administrativas aptas a proteger os dados pessoais contra acessos não autorizados e contra situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito.
Nesse contexto, a gestão de identidades e acessos assume papel central na estratégia de governança em proteção de dados. Controles relacionados à criação e revogação de usuários, definição de perfis de acesso, utilização de senhas robustas, autenticação multifator, monitoramento de acessos e aplicação do princípio do menor privilégio não representam apenas boas práticas de segurança da informação, mas mecanismos concretos para reduzir riscos, fortalecer a conformidade regulatória e demonstrar diligência perante a Autoridade Nacional de Proteção de Dados (ANPD).
Ao longo deste artigo, serão apresentados os principais controles de autenticação e gestão de acessos que toda organização deveria implementar, sua relação direta com as exigências da LGPD e os erros mais comuns observados no ambiente corporativo que, apesar de facilmente evitáveis, ainda expõem empresas a incidentes de segurança, prejuízos operacionais e potenciais responsabilizações decorrentes do tratamento inadequado de dados pessoais.
A LGPD realmente exige controles de acesso?
Uma dúvida recorrente entre organizações diz respeito ao nível de detalhamento da Lei Geral de Proteção de Dados (LGPD) em relação às medidas de segurança que devem ser implementadas para proteger os dados pessoais. Afinal, a legislação determina expressamente o uso de autenticação multifator (MFA)? Obriga a troca periódica de senhas? Exige determinados padrões tecnológicos ou ferramentas específicas?
A resposta é não. A LGPD adota uma abordagem baseada em princípios e na gestão de riscos, evitando estabelecer uma lista taxativa de controles técnicos que todas as organizações devam implementar. Em vez disso, a lei impõe um dever mais amplo: cabe aos agentes de tratamento adotar medidas compatíveis com os riscos inerentes às operações de tratamento de dados pessoais.
Essa obrigação encontra fundamento no artigo 46 da LGPD, que determina que controladores e operadores implementem medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais contra acessos não autorizados, bem como contra situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito. Trata-se de um comando legal que exige uma postura preventiva e contínua, orientada pela análise dos riscos envolvidos em cada contexto de tratamento.
Esse dever é reforçado pelo princípio da segurança, previsto no artigo 6º, inciso VII, da LGPD, segundo o qual o tratamento de dados pessoais deve observar a utilização de medidas técnicas e administrativas capazes de proteger as informações contra acessos não autorizados e contra eventos acidentais ou ilícitos. Da mesma forma, o princípio da prevenção (art. 6º, VIII) estabelece que os agentes de tratamento devem adotar medidas destinadas a evitar a ocorrência de danos em virtude do tratamento de dados pessoais, incentivando uma atuação antecipada e não apenas reativa diante de incidentes.
Além disso, a própria estrutura da LGPD é permeada pelo princípio da responsabilização e prestação de contas (accountability), previsto no artigo 6º, inciso X. Esse princípio impõe às organizações não apenas o dever de cumprir a legislação, mas também de serem capazes de demonstrar que adotaram medidas eficazes e aptas a comprovar a observância das normas de proteção de dados. Em outras palavras, não basta implementar controles de segurança; é igualmente necessário manter registros, políticas, procedimentos e evidências que demonstrem a diligência da organização na proteção dos dados pessoais.
É justamente nesse contexto que se inserem os controles de autenticação e gestão de acessos. Embora a LGPD não determine, por exemplo, que todas as empresas utilizem autenticação multifator, estabeleçam determinado tamanho mínimo para senhas ou realizem sua troca em intervalos fixos, ela exige que os mecanismos adotados sejam adequados aos riscos decorrentes da atividade desenvolvida. Uma organização que trata grandes volumes de dados pessoais, dados sensíveis ou informações estratégicas naturalmente deverá adotar controles mais robustos do que outra cujas operações apresentem menor potencial de impacto.
Essa lógica está alinhada às principais normas e referenciais internacionais de segurança da informação, como a ISO/IEC 27001:2022 e o NIST Cybersecurity Framework (CSF) 2.0, que também adotam uma abordagem baseada em riscos e na proporcionalidade das medidas de proteção. O objetivo não é impor soluções padronizadas, mas assegurar que cada organização avalie seu contexto operacional, identifique vulnerabilidades e implemente controles capazes de reduzir a probabilidade e os impactos de incidentes de segurança.
Na prática, isso significa que mecanismos como contas individuais de usuários, políticas de senhas, autenticação multifator, revisão periódica de acessos, revogação tempestiva de credenciais, segregação de funções e aplicação do princípio do menor privilégio deixam de representar apenas boas práticas recomendadas pela área de tecnologia e passam a constituir importantes instrumentos para o cumprimento das obrigações previstas na LGPD.
Sob a ótica fiscalizatória, essa distinção é igualmente relevante. Em eventual procedimento conduzido pela Autoridade Nacional de Proteção de Dados (ANPD), a análise dificilmente se limitará à existência ou não de um incidente. A autoridade poderá avaliar se a organização implementou controles compatíveis com os riscos da operação, se existiam políticas formais de controle de acesso, se os usuários possuíam apenas as permissões necessárias ao exercício de suas funções, se havia registros das concessões e revogações de acessos, se os colaboradores recebiam treinamentos periódicos e se a empresa era capaz de demonstrar, por meio de evidências, que adotava medidas razoáveis para prevenir acessos indevidos aos dados pessoais.
Em síntese, a LGPD não determina exatamente como uma organização deve proteger seus sistemas, mas deixa claro que ela é responsável por adotar controles proporcionais aos riscos de suas operações e por comprovar que atuou com diligência na proteção dos dados pessoais. Nesse cenário, a gestão de acessos deixa de ser uma questão exclusivamente tecnológica para assumir um papel estratégico na governança corporativa, na conformidade regulatória e na demonstração da responsabilidade da organização perante titulares, parceiros comerciais e órgãos fiscalizadores.
Por que senhas continuam sendo a principal porta de entrada para incidentes?
Apesar da evolução das tecnologias de segurança da informação e do surgimento de mecanismos cada vez mais sofisticados de proteção digital, as senhas continuam sendo um dos principais vetores de comprometimento de sistemas e dados pessoais. Isso ocorre porque, na maioria das vezes, os ataques não exploram falhas complexas de infraestrutura, mas sim comportamentos humanos previsíveis e práticas inadequadas de gestão de credenciais.
Diversos estudos publicados por organizações especializadas em segurança cibernética demonstram que credenciais comprometidas permanecem entre as principais causas de incidentes de segurança em todo o mundo. Em vez de investir tempo e recursos para explorar vulnerabilidades técnicas, criminosos frequentemente obtêm acesso aos sistemas simplesmente utilizando senhas descobertas em vazamentos anteriores, capturadas por meio de campanhas de phishing ou fornecidas involuntariamente pelos próprios usuários em ataques de engenharia social.
Um dos hábitos mais comuns e perigosos é a reutilização de senhas em diferentes sistemas e serviços. É frequente que um colaborador utilize a mesma senha para acessar o e-mail corporativo, plataformas internas, sistemas financeiros e até serviços pessoais. O problema é que, caso essa credencial seja exposta em um vazamento envolvendo qualquer um desses serviços, ela poderá ser utilizada por criminosos para tentar acessar outros ambientes da organização, prática conhecida como credential stuffing. Em razão da reutilização de credenciais, um incidente inicialmente restrito a um serviço externo pode rapidamente se transformar em uma invasão aos sistemas corporativos.
Outro problema recorrente está na utilização de senhas simples ou previsíveis. Combinações como sequências numéricas, datas de aniversário, nomes próprios, palavras de fácil associação ou pequenas variações de senhas antigas continuam sendo amplamente utilizadas, apesar dos riscos conhecidos. Essas credenciais podem ser descobertas por ataques automatizados de força bruta (brute force), ataques baseados em dicionários (dictionary attacks) ou por simples tentativas fundamentadas em informações públicas disponíveis sobre o usuário.
Também é comum encontrar organizações nas quais colaboradores compartilham credenciais de acesso entre si para facilitar atividades do dia a dia. Contas genéricas utilizadas por departamentos, usuários administrativos compartilhados e senhas anotadas em planilhas, mensagens instantâneas ou até mesmo em papéis próximos aos computadores ainda fazem parte da realidade de muitas empresas. Além de aumentar significativamente o risco de acessos indevidos, essas práticas eliminam a rastreabilidade das ações realizadas nos sistemas, dificultando auditorias, investigações internas e a própria responsabilização em caso de incidentes.
As credenciais vazadas representam outro fator crítico. Grandes bases de usuários e senhas provenientes de incidentes ocorridos ao redor do mundo circulam constantemente em fóruns clandestinos e mercados ilegais da internet. Essas informações são utilizadas em campanhas automatizadas que testam milhões de combinações de usuários e senhas em diferentes serviços, explorando justamente o hábito da reutilização de credenciais. Assim, mesmo que a empresa nunca tenha sofrido um incidente próprio, ela pode ser impactada pelo vazamento ocorrido em uma plataforma completamente distinta utilizada por seus colaboradores.
Além das vulnerabilidades técnicas, ataques de phishing e de engenharia social continuam entre as estratégias mais eficazes para obtenção de credenciais. No phishing, o atacante induz a vítima a acessar páginas falsas que simulam sistemas legítimos, como provedores de e-mail, plataformas corporativas ou instituições financeiras, levando-a a informar espontaneamente seu usuário e sua senha. Já na engenharia social, a manipulação psicológica é utilizada para convencer colaboradores a fornecer informações sensíveis, redefinir senhas, aprovar autenticações ou executar ações que permitam o acesso indevido aos sistemas da organização. Em ambos os casos, a tecnologia pode estar plenamente protegida, mas o fator humano acaba sendo explorado como a principal vulnerabilidade.
O grande problema é que uma única credencial comprometida pode ser suficiente para desencadear um incidente de grandes proporções. Dependendo do nível de privilégio associado à conta, um invasor pode acessar bancos de dados contendo milhares de registros de dados pessoais, visualizar documentos confidenciais, alterar informações, excluir arquivos, movimentar recursos financeiros ou expandir sua presença para outros sistemas internos. Em ambientes nos quais não há segregação adequada de acessos ou aplicação do princípio do menor privilégio, o comprometimento de um único usuário pode representar o comprometimento de toda a infraestrutura corporativa.
As consequências desse cenário vão muito além do acesso indevido às informações. Credenciais comprometidas frequentemente são utilizadas como ponto de partida para ataques de ransomware, nos quais os criminosos criptografam servidores, estações de trabalho e bases de dados, tornando os sistemas indisponíveis e exigindo pagamento para sua liberação. Além disso, podem resultar no vazamento de dados pessoais, interrupção das operações, perda de informações estratégicas, danos reputacionais, prejuízos financeiros expressivos e responsabilização da organização perante titulares, parceiros comerciais e órgãos reguladores.
Sob a perspectiva da LGPD, esses riscos assumem especial relevância. O acesso indevido decorrente de credenciais comprometidas pode configurar incidente de segurança envolvendo dados pessoais, exigindo da organização a adoção de medidas de contenção, investigação, remediação e, quando aplicável, a comunicação à Autoridade Nacional de Proteção de Dados (ANPD) e aos titulares afetados. Por essa razão, a gestão adequada de senhas e credenciais não deve ser encarada como uma mera rotina operacional da área de tecnologia, mas como um dos pilares da governança em proteção de dados e da estratégia de prevenção de incidentes.
Em um cenário em que ataques cibernéticos se tornam cada vez mais frequentes e sofisticados, a senha continua sendo, paradoxalmente, um dos elementos mais simples e ao mesmo tempo mais críticos da segurança da informação. Fortalecer sua gestão, conscientizar colaboradores e adotar mecanismos adicionais de autenticação representam algumas das medidas mais eficazes para reduzir significativamente a superfície de ataque das organizações e proteger os dados pessoais sob sua responsabilidade.
Os erros mais comuns que as empresas cometem no dia a dia
Quando um incidente de segurança ocorre, é comum imaginar que ele tenha sido causado por uma vulnerabilidade altamente sofisticada ou por um ataque cibernético extremamente complexo. Na prática, entretanto, grande parte dos problemas decorre de falhas operacionais presentes na rotina das organizações e que, muitas vezes, passam despercebidas justamente por serem consideradas “normais” no dia a dia.
Esses comportamentos acabam ampliando significativamente a superfície de ataque da empresa e comprometem a efetividade dos controles exigidos pela LGPD. Mais do que questões exclusivamente técnicas, tratam-se de falhas de governança, gestão de acessos e cultura organizacional que podem resultar em acessos indevidos, vazamentos de dados pessoais e interrupções das operações.
A seguir, destacam-se algumas das situações mais recorrentes observadas em organizações de diferentes portes e segmentos.
A mesma senha para diversos sistemas
A reutilização de senhas continua sendo um dos erros mais frequentes no ambiente corporativo. Não é incomum que um colaborador utilize exatamente a mesma credencial para acessar seu e-mail institucional, o sistema de gestão empresarial (ERP), plataformas de armazenamento em nuvem, sistemas financeiros, ferramentas de recursos humanos e diversos outros serviços utilizados pela organização.
Embora essa prática seja conveniente para o usuário, ela representa um risco significativo para a segurança da informação. Caso essa senha seja comprometida em decorrência de um vazamento externo, de um ataque de phishing ou de qualquer outro incidente, o invasor poderá tentar reutilizá-la em diferentes sistemas da empresa. Se não houver mecanismos adicionais de proteção, como autenticação multifator ou políticas de bloqueio de tentativas de acesso, uma única credencial comprometida poderá abrir caminho para diversos ambientes corporativos.
Além disso, a reutilização dificulta a contenção de incidentes. A simples necessidade de redefinir uma senha pode exigir alterações simultâneas em diversos sistemas, aumentando a probabilidade de falhas operacionais e atrasando a resposta ao incidente.
Contas compartilhadas entre equipes
Outro problema bastante recorrente é a utilização de contas genéricas compartilhadas por vários colaboradores. Endereços como financeiro@, comercial@, atendimento@ ou até mesmo usuários administrativos utilizados por toda uma equipe ainda fazem parte da realidade de inúmeras organizações.
Embora, em alguns casos, caixas de e-mail funcionais sejam necessárias para o recebimento de comunicações, a utilização de um único usuário e senha para acesso a sistemas corporativos compromete um dos pilares da segurança da informação: a rastreabilidade.
Quando várias pessoas utilizam a mesma credencial, torna-se praticamente impossível identificar quem realizou determinada ação, como a consulta a um banco de dados, a alteração de um cadastro, a exclusão de um documento ou a exportação de informações pessoais. Em eventual investigação interna, auditoria ou fiscalização, a organização perde a capacidade de atribuir responsabilidades e reconstruir os eventos que antecederam um incidente de segurança.
Por esse motivo, as boas práticas de governança recomendam que cada colaborador possua uma conta individual, ainda que desempenhe atividades em conjunto com outros membros da equipe.
Funcionário desligado continua com acesso
Entre as vulnerabilidades mais negligenciadas pelas organizações está a permanência de acessos ativos após o desligamento de colaboradores, prestadores de serviço ou terceiros.
Em muitos casos, o contrato de trabalho é encerrado, mas as credenciais de acesso permanecem válidas por dias ou até semanas. Contas de e-mail continuam ativas, acessos a sistemas internos permanecem disponíveis e permissões concedidas anteriormente não são revogadas de forma tempestiva.
Esse problema normalmente está relacionado à ausência de um processo estruturado de offboarding, isto é, de procedimentos formais destinados à revogação imediata dos acessos quando ocorre o desligamento de um usuário. Falhas de comunicação entre Recursos Humanos, gestores e equipe de Tecnologia da Informação frequentemente resultam na existência de contas esquecidas, consideradas “órfãs”, que permanecem habilitadas mesmo sem um responsável legítimo.
Essas contas representam um risco elevado, pois podem ser exploradas por pessoas mal-intencionadas sem despertar suspeitas imediatas, uma vez que correspondem a usuários anteriormente autorizados pela própria organização.
Planilhas compartilhadas sem controle
O uso de plataformas colaborativas, como Google Drive, Microsoft OneDrive e Dropbox, trouxe ganhos significativos de produtividade e facilitou o compartilhamento de documentos entre equipes. Entretanto, quando utilizadas sem critérios adequados de segurança, essas ferramentas podem se transformar em importantes fontes de exposição de dados pessoais.
Um dos erros mais comuns consiste na configuração de permissões excessivamente amplas, especialmente por meio da opção “qualquer pessoa com o link”. Embora essa funcionalidade facilite o compartilhamento de arquivos, ela também elimina mecanismos de autenticação e restringe o controle sobre quem efetivamente acessa o conteúdo.
Planilhas contendo dados de clientes, colaboradores, fornecedores, informações financeiras ou documentos internos podem acabar sendo compartilhadas com pessoas não autorizadas, encaminhadas a terceiros ou até indexadas inadvertidamente, ampliando significativamente o risco de vazamentos.
Além disso, muitas organizações deixam de revisar periodicamente os acessos concedidos aos documentos armazenados em nuvem, permitindo que ex-colaboradores ou terceiros continuem visualizando informações que já não deveriam estar ao seu alcance.
Excesso de privilégios
Outro erro bastante comum ocorre quando colaboradores possuem acesso a informações e sistemas que não são necessários para o desempenho de suas atividades.
É relativamente frequente encontrar profissionais do setor comercial acessando bases completas de recursos humanos, colaboradores do marketing visualizando dados financeiros, prestadores de serviço utilizando contas administrativas ou usuários com permissões de exclusão e alteração em sistemas que apenas consultam informações.
Esse cenário contraria o chamado princípio do menor privilégio (Least Privilege), amplamente reconhecido pelas normas internacionais de segurança da informação. Segundo esse princípio, cada usuário deve possuir exclusivamente os acessos estritamente necessários para executar suas funções, nada além disso.
A limitação de privilégios reduz significativamente a superfície de ataque da organização. Caso uma credencial seja comprometida, os impactos tendem a permanecer restritos ao conjunto reduzido de permissões daquele usuário, dificultando a movimentação lateral do invasor e reduzindo o potencial de comprometimento de outros sistemas e bases de dados.
Ausência de autenticação multifator (MFA)
Mesmo com a crescente disponibilidade de soluções de autenticação multifator (Multi-Factor Authentication – MFA), muitas organizações ainda dependem exclusivamente do modelo tradicional de usuário e senha para autenticar seus colaboradores.
A autenticação multifator acrescenta uma camada adicional de verificação ao processo de acesso, exigindo que o usuário apresente, além da senha, um segundo fator de autenticação. Esse fator pode consistir em um código temporário gerado por aplicativos autenticadores, uma notificação enviada ao dispositivo móvel, um token físico, uma chave criptográfica (security key) ou até mesmo mecanismos biométricos, como reconhecimento facial ou impressão digital.
Na prática, isso significa que, mesmo que um criminoso obtenha a senha de determinado usuário por meio de um vazamento, ataque de phishing ou engenharia social, o acesso ao sistema permanecerá bloqueado caso ele não possua também o segundo fator de autenticação.
Por essa razão, a autenticação multifator deixou de ser considerada um controle avançado para se tornar um dos mecanismos mínimos de proteção recomendados pelas principais autoridades e referenciais internacionais de segurança da informação. Sua implementação apresenta baixo custo quando comparada aos potenciais prejuízos decorrentes de um incidente e reduz significativamente o risco de invasões baseadas em credenciais comprometidas.
Em conjunto, essas situações demonstram que muitos dos riscos enfrentados pelas organizações decorrem menos da ausência de tecnologias sofisticadas e mais da falta de controles básicos, processos bem definidos e cultura de segurança. Corrigir essas falhas normalmente exige muito mais organização, governança e conscientização do que grandes investimentos financeiros, sendo justamente esse conjunto de medidas que fortalece a conformidade com a LGPD e reduz de forma significativa a probabilidade de incidentes envolvendo dados pessoais.
O princípio do menor privilégio: acesso somente ao que realmente é necessário
Um dos conceitos mais importantes da segurança da informação e da gestão de acessos é o princípio do menor privilégio (Principle of Least Privilege – PoLP). Embora sua aplicação seja amplamente recomendada por normas e frameworks internacionais, como a ISO/IEC 27001:2022 e o NIST Cybersecurity Framework (CSF) 2.0, sua lógica é bastante simples: cada usuário deve possuir apenas os acessos estritamente necessários para desempenhar suas atividades, pelo tempo necessário e nada além disso.
Na prática, esse princípio busca limitar a exposição das informações e reduzir a quantidade de pessoas que podem visualizar, alterar, excluir ou compartilhar determinados dados. Quanto menor o número de usuários com acesso a informações sensíveis ou privilegiadas, menor também será a superfície de ataque da organização e menores serão os impactos caso uma credencial seja comprometida.
Sob a perspectiva da LGPD, essa abordagem está diretamente relacionada à adoção de medidas técnicas e administrativas aptas a proteger os dados pessoais contra acessos não autorizados, conforme determina o artigo 46 da legislação. Também dialoga com os princípios da segurança, da prevenção e da necessidade, uma vez que restringe o acesso aos dados pessoais apenas às pessoas cuja atuação efetivamente justifique esse tratamento.
Apesar de sua relevância, é comum encontrar organizações que adotam uma lógica inversa: concedem acessos amplos no momento da admissão do colaborador e raramente revisam essas permissões ao longo do tempo. Alterações de cargo, promoções, mudanças de departamento e novas atribuições acabam acumulando privilégios sem que os acessos anteriormente concedidos sejam removidos. Como resultado, colaboradores passam a visualizar informações que não possuem qualquer relação com suas atividades atuais.
Alguns exemplos ilustram bem essa situação. Um profissional do setor de Recursos Humanos, responsável por processos de recrutamento e administração de pessoal, normalmente não necessita acessar sistemas financeiros que contenham fluxo de caixa, planejamento orçamentário ou informações bancárias da organização. Da mesma forma, colaboradores da área de Marketing dificilmente precisam consultar prontuários médicos, dados de saúde de empregados ou outras informações classificadas como dados pessoais sensíveis, cujo tratamento exige cuidados ainda mais rigorosos nos termos da LGPD.
A aplicação do princípio do menor privilégio também se mostra essencial na gestão de terceiros, consultores, fornecedores e prestadores de serviços. Em muitas organizações, empresas contratadas para executar atividades específicas recebem credenciais permanentes e com elevado nível de privilégio, permanecendo habilitadas mesmo após o encerramento do contrato ou da atividade que justificou sua concessão. O cenário mais seguro consiste em disponibilizar acessos temporários, limitados às funções necessárias para a execução do serviço e automaticamente revogados ao término da demanda ou do vínculo contratual.
Essa limitação não deve ser interpretada como uma barreira ao desempenho das atividades profissionais, mas como um mecanismo de proteção para a própria organização. Quanto menor o conjunto de permissões concedidas a cada usuário, menores serão as possibilidades de acesso indevido, erros operacionais, alterações acidentais ou exploração maliciosa das credenciais em caso de comprometimento da conta.
Além disso, a adoção do menor privilégio contribui significativamente para a contenção de incidentes de segurança. Imagine que um colaborador tenha sua senha obtida por meio de um ataque de phishing. Se esse usuário possuir acesso irrestrito a diversos sistemas corporativos, o invasor poderá movimentar-se livremente pela infraestrutura, acessar bases de dados distintas, exportar informações confidenciais e ampliar rapidamente o impacto do incidente. Em contrapartida, quando os acessos são rigorosamente limitados, o potencial de movimentação do atacante também é reduzido, dificultando a escalada de privilégios e restringindo os danos causados.
Outro aspecto relevante é que a adoção do princípio do menor privilégio facilita auditorias internas, revisões periódicas de acessos e demonstrações de conformidade perante a Autoridade Nacional de Proteção de Dados (ANPD). Organizações que mantêm matrizes de perfis bem definidas, critérios objetivos para concessão de permissões e processos formais de revisão de acessos conseguem demonstrar maior maturidade em sua governança de dados e maior diligência na implementação das medidas de segurança exigidas pela LGPD.
Em última análise, o princípio do menor privilégio não se resume à administração de permissões em sistemas computacionais. Ele representa uma estratégia de gestão de riscos que busca assegurar que cada usuário tenha acesso apenas às informações indispensáveis ao exercício de suas funções. Essa abordagem reduz significativamente a probabilidade de vazamentos de dados pessoais, limita os impactos de credenciais comprometidas, fortalece a segurança da informação e contribui para que a organização atenda às exigências legais de proteção de dados de forma mais eficiente e sustentável.
Gestão de identidade e ciclo de vida dos acessos
Quando se fala em controle de acessos, é comum associar o tema apenas à criação de um usuário e à definição de uma senha para que o colaborador consiga utilizar os sistemas da organização. No entanto, uma gestão eficaz de identidades vai muito além desse momento inicial. O controle de acessos deve acompanhar todo o ciclo de vida do usuário dentro da empresa, desde o seu ingresso até o encerramento definitivo de seu vínculo, passando por todas as alterações que possam impactar as permissões concedidas ao longo do tempo.
Essa abordagem é conhecida como gestão do ciclo de vida das identidades (Identity Lifecycle Management) e representa um dos pilares da governança de identidades e acessos (Identity and Access Management – IAM). Seu objetivo é garantir que cada usuário possua os acessos corretos, no momento adequado, durante o tempo estritamente necessário e de acordo com as responsabilidades efetivamente exercidas.
Sob a perspectiva da LGPD, essa prática contribui diretamente para o cumprimento do artigo 46, ao assegurar que os dados pessoais sejam protegidos contra acessos não autorizados por meio de medidas técnicas e administrativas compatíveis com os riscos das operações de tratamento. Além disso, fortalece os princípios da segurança, da prevenção e da responsabilização (accountability), uma vez que permite à organização demonstrar que possui processos estruturados para administrar o acesso às informações ao longo de toda a relação com seus colaboradores e terceiros.
O ciclo de vida dos acessos tem início ainda no processo de admissão. Antes mesmo de o colaborador iniciar suas atividades, é necessário definir quais sistemas ele utilizará, quais perfis de acesso serão atribuídos e quais informações serão indispensáveis para o exercício de suas funções. A criação de contas deve ocorrer de forma padronizada, observando critérios previamente definidos pela organização e evitando a concessão automática de privilégios excessivos.
Entretanto, a gestão de acessos não termina com a criação do usuário. Ao longo da permanência do colaborador na empresa, diversas situações podem exigir a revisão das permissões inicialmente concedidas. Uma movimentação interna, por exemplo, pode alterar completamente o conjunto de informações necessárias ao desempenho das atividades. Um profissional promovido para um cargo de liderança poderá necessitar de novos acessos relacionados à gestão de equipes, enquanto permissões vinculadas à função anteriormente exercida talvez deixem de fazer sentido e precisem ser removidas. Quando essa revisão não ocorre, é comum que os usuários acumulem privilégios ao longo dos anos, ampliando desnecessariamente os riscos de acesso indevido.
Situações temporárias também merecem atenção. Durante períodos de férias, licenças médicas, afastamentos ou outras hipóteses de ausência prolongada, determinadas credenciais podem demandar monitoramento adicional ou até mesmo suspensão temporária, especialmente quando envolvem contas administrativas, acessos privilegiados ou atividades críticas para a organização. Embora nem toda ausência justifique o bloqueio das credenciais, a empresa deve avaliar os riscos associados a cada contexto e estabelecer procedimentos compatíveis com sua realidade operacional.
As mudanças de função representam outro momento crítico. Muitas organizações concentram esforços na concessão de novos acessos, mas negligenciam a revogação daqueles que deixaram de ser necessários. Esse acúmulo progressivo de permissões, conhecido como privilege creep, faz com que colaboradores mantenham acesso a sistemas, documentos e bases de dados relacionados a funções que não exercem mais. Com o passar do tempo, esse cenário aumenta significativamente a superfície de ataque da organização e dificulta a aplicação efetiva do princípio do menor privilégio.
A gestão do ciclo de vida também deve abranger os terceirizados, consultores, fornecedores e prestadores de serviços. Esses usuários frequentemente necessitam acessar sistemas corporativos para executar atividades específicas, mas suas credenciais não devem permanecer ativas indefinidamente. O ideal é que os acessos sejam limitados ao escopo contratual, concedidos apenas durante o período necessário para a execução do serviço e revogados imediatamente após o término da atividade ou do contrato. Além disso, sempre que possível, esses usuários devem possuir contas individualizadas, permitindo a rastreabilidade de todas as ações realizadas.
O momento mais sensível desse ciclo ocorre no desligamento do colaborador ou do terceiro. A revogação tempestiva dos acessos é uma das medidas mais importantes para reduzir riscos de incidentes de segurança. Contas de e-mail, sistemas corporativos, plataformas em nuvem, VPNs, aplicações internas, dispositivos móveis e quaisquer outros recursos tecnológicos devem ter suas permissões removidas ou bloqueadas imediatamente após o encerramento do vínculo. A permanência de credenciais ativas após o desligamento representa uma vulnerabilidade significativa, pois cria oportunidades para acessos indevidos e dificulta a identificação de eventuais atividades maliciosas.
Para que esse processo funcione de forma eficiente, é indispensável que exista integração entre diferentes áreas da organização. A gestão do ciclo de vida dos acessos não é uma responsabilidade exclusiva da Tecnologia da Informação. O Recursos Humanos desempenha papel fundamental ao comunicar admissões, afastamentos, movimentações internas e desligamentos. Os gestores das áreas de negócio são responsáveis por definir quais acessos cada colaborador realmente necessita para desempenhar suas funções e por solicitar revisões sempre que houver mudanças nas atividades exercidas. Já a Tecnologia da Informação executa tecnicamente a criação, alteração, monitoramento e revogação das credenciais, garantindo que as permissões concedidas estejam alinhadas às políticas internas de segurança.
Essa atuação integrada reduz falhas de comunicação, evita a manutenção de acessos desnecessários e fortalece a governança corporativa. Organizações que estabelecem fluxos formais para gerenciamento do ciclo de vida das identidades conseguem responder com maior rapidez às mudanças organizacionais, minimizar riscos operacionais e demonstrar, de forma objetiva, que adotam controles consistentes para proteger os dados pessoais sob sua responsabilidade.
Em um cenário no qual as empresas utilizam dezenas de sistemas internos, aplicações em nuvem e plataformas compartilhadas, controlar quem acessa cada informação deixou de ser uma atividade meramente administrativa para se tornar um requisito essencial de segurança, conformidade e proteção de dados. A gestão do ciclo de vida dos acessos permite que a organização mantenha suas permissões sempre alinhadas às necessidades reais do negócio, reduzindo vulnerabilidades, fortalecendo a conformidade com a LGPD e contribuindo para uma cultura de segurança baseada na prevenção e na gestão contínua de riscos.
MFA: um dos controles mais simples e mais eficazes
À medida que ataques baseados no roubo de credenciais se tornam cada vez mais frequentes, confiar exclusivamente em uma combinação de usuário e senha deixou de ser suficiente para proteger os sistemas corporativos. Ainda que uma senha seja forte e atenda aos requisitos estabelecidos pela organização, ela pode ser descoberta em vazamentos de dados, capturada por ataques de phishing, reutilizada indevidamente ou obtida por técnicas de engenharia social. Nesse cenário, um único fator de autenticação representa um ponto único de falha.
É justamente para reduzir esse risco que a autenticação multifator (Multi-Factor Authentication – MFA) se tornou um dos controles mais recomendados pelas principais autoridades de segurança da informação e um dos mecanismos mais eficazes para proteger contas corporativas contra acessos indevidos.
A autenticação multifator consiste na exigência de dois ou mais fatores independentes para confirmar a identidade do usuário antes da concessão do acesso. Em vez de depender exclusivamente da senha, o processo combina diferentes categorias de autenticação, tornando significativamente mais difícil que um terceiro consiga utilizar uma credencial comprometida.
Tradicionalmente, esses fatores são classificados em três grupos. O primeiro corresponde a algo que o usuário conhece, como uma senha ou um PIN. O segundo refere-se a algo que o usuário possui, como um smartphone, um token físico ou uma chave criptográfica. O terceiro está relacionado a algo que o usuário é, abrangendo mecanismos biométricos, como impressão digital, reconhecimento facial ou leitura da íris. Quanto mais independentes forem esses fatores, maior será o nível de proteção oferecido pelo processo de autenticação.
Na prática, o funcionamento do MFA é bastante simples. Após informar seu usuário e senha, o colaborador precisa confirmar sua identidade utilizando um segundo fator previamente cadastrado. Somente após essa segunda verificação o acesso é efetivamente autorizado. Dessa forma, ainda que um criminoso descubra ou obtenha a senha da vítima, ele continuará impedido de acessar o sistema caso não possua também o segundo fator de autenticação.
Hoje existem diferentes tecnologias capazes de implementar esse controle. Entre as mais utilizadas estão os aplicativos autenticadores, como Microsoft Authenticator, Google Authenticator e outros aplicativos compatíveis com o padrão TOTP (Time-based One-Time Password). Esses aplicativos geram códigos temporários que mudam automaticamente em intervalos curtos ou enviam notificações para aprovação da tentativa de acesso, oferecendo um elevado nível de segurança sem a necessidade de equipamentos adicionais.
Outra alternativa bastante difundida é a utilização de tokens físicos, dispositivos dedicados que geram códigos de autenticação ou armazenam credenciais criptográficas para validação da identidade do usuário. Em ambientes que demandam maior nível de proteção, também são amplamente utilizadas chaves de segurança compatíveis com os padrões FIDO2 e WebAuthn, consideradas atualmente uma das formas mais resistentes a ataques de phishing.
Além disso, diversas organizações vêm incorporando métodos biométricos, como reconhecimento facial, impressão digital e leitura da íris, especialmente em dispositivos móveis e estações de trabalho. Embora a biometria também constitua um segundo fator de autenticação bastante conveniente para o usuário, sua adoção deve observar cuidados específicos relacionados ao tratamento de dados biométricos, classificados pela LGPD como dados pessoais sensíveis.
A importância do MFA não é apenas teórica. Diversos estudos demonstram sua efetividade na redução de incidentes envolvendo credenciais comprometidas. Pesquisa publicada pela Microsoft identificou que contas protegidas por autenticação multifator permaneceram seguras em mais de 99,99% dos casos analisados durante o período da pesquisa, reduzindo o risco de comprometimento em aproximadamente 99,22% na população analisada e em 98,56% mesmo quando as credenciais já haviam sido previamente vazadas.
No mesmo sentido, a Cybersecurity and Infrastructure Security Agency (CISA) destaca que a implementação do MFA representa uma das medidas mais simples e eficazes para bloquear ataques comuns e reduzir significativamente o risco de comprometimento de contas corporativas, recomendando sua utilização especialmente para e-mails, acessos remotos, contas administrativas e sistemas que tratem informações sensíveis.
Outro aspecto relevante é que a implementação do MFA costuma apresentar uma excelente relação entre custo e benefício. Ao contrário da percepção de muitas organizações, sua adoção normalmente não exige investimentos elevados em infraestrutura ou projetos complexos de tecnologia. Grande parte das plataformas de correio eletrônico, serviços em nuvem, sistemas corporativos e soluções de identidade já disponibiliza mecanismos de autenticação multifator nativamente ou mediante simples ativação das funcionalidades existentes.
Além disso, a implementação pode ocorrer de forma gradual, priorizando inicialmente contas administrativas, usuários com privilégios elevados, colaboradores que trabalham remotamente e áreas que tratam grandes volumes de dados pessoais ou informações sensíveis. Essa abordagem permite aumentar significativamente o nível de segurança da organização sem comprometer a continuidade das operações ou gerar impactos relevantes na experiência dos usuários.
Sob a perspectiva da LGPD, embora a legislação não determine expressamente a adoção da autenticação multifator, sua implementação representa um exemplo claro de medida técnica proporcional aos riscos das operações de tratamento de dados pessoais. Organizações que lidam com informações estratégicas, grandes bases de titulares ou dados pessoais sensíveis dificilmente conseguirão justificar a ausência desse controle caso ocorra um incidente decorrente do comprometimento de credenciais.
Por essa razão, a autenticação multifator deixou de ser um recurso destinado apenas a grandes empresas ou ambientes altamente críticos. Atualmente, ela é reconhecida como um dos controles mínimos de proteção de identidades, capaz de reduzir significativamente a probabilidade de acessos não autorizados, fortalecer a governança de acessos e demonstrar que a organização adota medidas técnicas compatíveis com os riscos inerentes às suas atividades de tratamento de dados pessoais.
Como a ANPD pode analisar esses controles durante uma fiscalização?
Um equívoco bastante comum é acreditar que a atuação fiscalizatória da Autoridade Nacional de Proteção de Dados (ANPD) se limita à investigação de incidentes de segurança já ocorridos. Na realidade, a fiscalização em matéria de proteção de dados possui um caráter muito mais amplo. Além de apurar eventuais vazamentos ou tratamentos irregulares, a autoridade pode avaliar se a organização adotou medidas preventivas compatíveis com os riscos de suas atividades e se é capaz de comprovar, por meio de evidências objetivas, que implementou controles efetivos para proteger os dados pessoais.
Essa abordagem está diretamente relacionada ao princípio da responsabilização e prestação de contas (accountability), previsto no artigo 6º, inciso X, da LGPD. Mais do que cumprir a legislação, os agentes de tratamento devem demonstrar que possuem mecanismos de governança capazes de assegurar a conformidade e reduzir os riscos inerentes ao tratamento de dados pessoais. Em outras palavras, a simples alegação de que a empresa adota boas práticas de segurança não é suficiente; é necessário apresentar documentos, registros e evidências que comprovem essa atuação.
Nesse contexto, os controles relacionados à autenticação, gestão de identidades e administração de acessos assumem papel relevante durante uma eventual fiscalização. A ANPD poderá solicitar informações que demonstrem como a organização controla o acesso aos dados pessoais, quais critérios utiliza para conceder permissões, de que forma monitora essas autorizações e quais procedimentos adota para prevenir acessos indevidos.
Entre os documentos que podem evidenciar essa maturidade está a Política de Controle de Acesso, responsável por estabelecer as diretrizes para criação, utilização, revisão e revogação de credenciais de acesso aos sistemas corporativos. Esse documento normalmente define responsabilidades, critérios para concessão de permissões, níveis de acesso, usuários privilegiados e regras para revisão periódica das autorizações concedidas.
Da mesma forma, a Política de Senhas demonstra que a organização possui regras formais relacionadas à criação, utilização e proteção das credenciais utilizadas por seus colaboradores. Aspectos como requisitos mínimos de complexidade, proibição de compartilhamento de senhas, utilização de gerenciadores de credenciais, bloqueio após tentativas sucessivas de autenticação e diretrizes para utilização de autenticação multifator costumam integrar esse tipo de documento.
Outro elemento frequentemente analisado diz respeito aos processos de gestão de usuários. A organização deve ser capaz de demonstrar como ocorre a criação de novas contas, quem aprova os acessos, quais critérios são utilizados para definir os perfis de usuários e como são realizadas as alterações decorrentes de promoções, mudanças de função ou movimentações internas. A existência de processos padronizados reduz falhas operacionais e evidencia que o gerenciamento de acessos não ocorre de forma improvisada.
Nesse mesmo contexto, a matriz de perfis e permissões representa uma importante evidência de governança. Trata-se de um instrumento que relaciona cargos, funções ou grupos de usuários aos respectivos níveis de acesso autorizados em cada sistema da organização. Essa documentação facilita auditorias internas, revisões periódicas e demonstra que a concessão de privilégios observa critérios objetivos, alinhados ao princípio do menor privilégio.
Os procedimentos de admissão e desligamento também podem ser objeto de análise. Durante uma fiscalização, a ANPD poderá verificar se existem fluxos formais que assegurem a criação tempestiva das contas de novos colaboradores e, principalmente, a revogação imediata dos acessos quando ocorre o encerramento do vínculo empregatício ou contratual. A permanência de contas ativas após o desligamento de usuários constitui uma vulnerabilidade recorrente e frequentemente associada a incidentes de segurança.
Além dos procedimentos formais, os registros de concessão, alteração e revogação de acessos desempenham papel fundamental. Esses registros permitem demonstrar quando determinado acesso foi concedido, quem autorizou sua criação, quais alterações foram realizadas ao longo do tempo e em que momento as permissões foram removidas. Essas evidências reforçam a rastreabilidade das decisões relacionadas ao gerenciamento de identidades e auxiliam na reconstrução de eventos em caso de investigações.
Outro aspecto relevante refere-se às evidências de utilização da autenticação multifator (MFA). Embora a LGPD não imponha expressamente sua adoção, a existência de registros que comprovem a implementação desse mecanismo em contas críticas, administrativas ou que tratem dados pessoais sensíveis demonstra a adoção de medidas técnicas proporcionais aos riscos da operação. Em um cenário de crescente exploração de credenciais comprometidas, a utilização do MFA pode representar um importante indicativo de diligência por parte da organização.
Os registros de autenticação (logs) também possuem papel estratégico. Esses registros permitem identificar quem acessou determinado sistema, em qual data e horário, a partir de qual dispositivo ou endereço de rede, bem como detectar tentativas malsucedidas de autenticação, acessos fora do padrão habitual e outras atividades potencialmente suspeitas. Além de contribuírem para a resposta a incidentes, os logs constituem importante fonte de evidências para auditorias, investigações internas e processos fiscalizatórios.
Por fim, a ANPD poderá analisar as iniciativas de conscientização e treinamento em segurança da informação promovidas pela organização. Afinal, controles tecnológicos somente são plenamente eficazes quando acompanhados por uma cultura organizacional voltada à proteção de dados. Registros de treinamentos periódicos, campanhas de conscientização sobre phishing, orientações sobre criação e proteção de senhas, procedimentos para reporte de incidentes e ações educativas demonstram que a empresa busca reduzir riscos também por meio da capacitação de seus colaboradores.
Em conjunto, esses documentos e registros evidenciam que a proteção de dados não depende apenas da implementação de ferramentas tecnológicas, mas da existência de um sistema estruturado de governança, composto por políticas, processos, controles e mecanismos de monitoramento contínuo. É justamente essa capacidade de produzir evidências que diferencia organizações que apenas afirmam estar em conformidade daquelas que efetivamente conseguem demonstrar, de forma objetiva, sua diligência no cumprimento das obrigações previstas na LGPD.
Sob essa perspectiva, uma eventual fiscalização da ANPD não se limitará à pergunta “houve um incidente?”. Em muitos casos, a questão central será outra: a organização adotou medidas razoáveis, proporcionais aos riscos e devidamente documentadas para evitar que esse incidente ocorresse? A resposta a essa pergunta dependerá, em grande medida, da qualidade da governança de identidades e acessos implementada pela empresa e da capacidade de comprovar, por meio de evidências concretas, que a proteção dos dados pessoais faz parte de sua rotina operacional.
Quais documentos fortalecem a governança de acessos?
A implementação de controles de segurança não se resume à configuração de sistemas ou à adoção de ferramentas tecnológicas. Para que esses controles sejam efetivos e possam ser aplicados de forma consistente em toda a organização, é indispensável que estejam respaldados por políticas, procedimentos e registros formais que estabeleçam responsabilidades, critérios de atuação e mecanismos de acompanhamento.
Sob a perspectiva da LGPD, essa documentação possui um papel estratégico. Além de orientar as atividades internas, ela permite demonstrar que a organização adota medidas técnicas e administrativas estruturadas para proteger os dados pessoais, atendendo ao dever de responsabilização e prestação de contas (accountability). Em uma auditoria ou fiscalização conduzida pela Autoridade Nacional de Proteção de Dados (ANPD), a existência de documentos atualizados e efetivamente implementados pode representar um importante indicativo da maturidade da governança em proteção de dados.
Nesse contexto, alguns documentos merecem especial atenção.
A Política de Segurança da Informação constitui o principal instrumento de direcionamento das práticas de segurança da organização. Ela estabelece os princípios, objetivos, responsabilidades e diretrizes gerais relacionados à proteção das informações, servindo como base para os demais normativos internos. É nesse documento que normalmente são definidos aspectos como classificação da informação, responsabilidades dos usuários, uso aceitável dos recursos tecnológicos, gestão de riscos, resposta a incidentes e proteção dos ativos informacionais.
Complementando essa estrutura, a Política de Controle de Acesso disciplina especificamente a forma como usuários, sistemas e dispositivos podem acessar os recursos tecnológicos da organização. O documento deve estabelecer critérios para criação, alteração, revisão e revogação de acessos, definir responsabilidades dos gestores e da equipe de Tecnologia da Informação, disciplinar a utilização de contas privilegiadas e incorporar princípios como segregação de funções e menor privilégio.
Outro documento indispensável é a Política de Senhas, responsável por definir regras relacionadas à criação, utilização e proteção das credenciais de autenticação. Entre os temas normalmente abordados estão os requisitos mínimos de complexidade, a utilização de frases-senha (passphrases), a vedação ao compartilhamento de credenciais, a utilização de gerenciadores de senhas, procedimentos para redefinição de credenciais e a obrigatoriedade da autenticação multifator em ambientes críticos, quando aplicável. Mais do que impor regras, essa política deve refletir práticas alinhadas aos riscos da organização e às recomendações atuais de segurança da informação.
Também merece destaque o Procedimento de Gestão de Identidades, que descreve operacionalmente como ocorre todo o ciclo de vida dos acessos. Esse procedimento estabelece os fluxos para criação de contas, aprovação de permissões, alteração de perfis, revisão periódica de acessos, suspensão temporária de credenciais e exclusão definitiva de usuários. Ao padronizar essas atividades, a organização reduz falhas operacionais e assegura maior uniformidade na administração dos acessos.
De forma complementar, o Procedimento de Admissão e Desligamento garante que a gestão de acessos esteja integrada aos processos de Recursos Humanos. O documento deve definir, por exemplo, quais áreas são responsáveis por comunicar admissões, promoções, afastamentos e desligamentos, bem como os prazos para criação ou revogação das credenciais. Essa integração é fundamental para evitar que novos colaboradores iniciem suas atividades sem os acessos necessários ou, em sentido oposto, que ex-colaboradores permaneçam com contas ativas após o encerramento do vínculo.
Outro elemento importante da governança é o Inventário de Ativos, que permite identificar quais sistemas, aplicações, bases de dados, servidores, plataformas em nuvem e demais recursos tecnológicos armazenam ou processam informações da organização. Sem conhecer os ativos existentes, torna-se extremamente difícil controlar quem possui acesso a eles e avaliar se as permissões concedidas permanecem adequadas.
No mesmo sentido, o Inventário de Usuários Privilegiados representa um mecanismo essencial para o gerenciamento de riscos. Usuários administrativos possuem capacidade ampliada para alterar configurações, conceder permissões, excluir registros e acessar informações críticas. Por esse motivo, a organização deve manter um registro atualizado de quem são esses usuários, quais privilégios possuem, qual a justificativa para sua concessão e quando essas permissões foram revisadas pela última vez.
A governança de acessos também depende da realização de revisões periódicas das permissões concedidas. Não basta conceder acessos adequados no momento da admissão; é necessário verificar, em intervalos regulares, se esses acessos continuam compatíveis com as atribuições exercidas pelo usuário. Os registros dessas revisões constituem importantes evidências de que a organização monitora continuamente seus ambientes e busca corrigir privilégios excessivos, contas inativas ou acessos desnecessários antes que eles se transformem em vulnerabilidades.
Por fim, recomenda-se manter registros das concessões excepcionais de acesso. Em determinadas situações, pode ser necessário conceder temporariamente privilégios superiores aos normalmente previstos para determinado usuário, seja para atender uma demanda emergencial, executar uma atividade de manutenção ou solucionar um incidente operacional. Nessas hipóteses, é fundamental documentar a justificativa da exceção, o responsável pela autorização, o período de vigência do acesso e a confirmação de sua revogação após o encerramento da atividade. Esse controle reduz riscos associados ao uso indevido de privilégios elevados e fortalece a rastreabilidade das decisões administrativas.
Mais do que um conjunto de documentos formais, essas políticas, procedimentos e registros constituem a base de uma governança estruturada de identidades e acessos. Eles promovem padronização, distribuem responsabilidades, reduzem a dependência de decisões informais e permitem que os controles de segurança sejam aplicados de forma consistente em toda a organização.
Além disso, a documentação fortalece significativamente a capacidade de demonstrar conformidade perante clientes, parceiros comerciais, auditores e órgãos reguladores. Em vez de depender exclusivamente de declarações de boa-fé, a organização passa a dispor de evidências objetivas de que suas práticas de gestão de acessos são planejadas, documentadas, monitoradas e continuamente aprimoradas. Essa maturidade de governança não apenas reduz a probabilidade de incidentes envolvendo dados pessoais, como também reforça a confiança na capacidade da empresa de proteger adequadamente as informações sob sua responsabilidade, em consonância com os princípios e obrigações estabelecidos pela LGPD.
Checklist: 12 controles que sua empresa deveria revisar hoje
A implementação de uma gestão eficiente de identidades e acessos não depende, necessariamente, de projetos complexos ou de investimentos elevados em tecnologia. Em grande parte das organizações, o fortalecimento da segurança começa pela revisão de controles básicos que, embora frequentemente negligenciados, exercem papel decisivo na prevenção de incidentes envolvendo dados pessoais.
Nesse contexto, realizar avaliações periódicas sobre a efetividade desses controles é uma prática indispensável. Além de reduzir vulnerabilidades operacionais, esse processo permite identificar oportunidades de melhoria, fortalecer a governança da informação e demonstrar que a organização adota medidas técnicas e administrativas compatíveis com os riscos de suas atividades de tratamento de dados, conforme preconiza a LGPD.
A seguir, apresentam-se doze pontos que merecem atenção especial e que podem servir como um importante diagnóstico da maturidade da gestão de acessos na organização.
O primeiro aspecto consiste em verificar se todos os colaboradores, prestadores de serviços e demais usuários utilizam contas individuais para acessar os sistemas corporativos. A utilização de credenciais compartilhadas compromete a rastreabilidade das atividades e dificulta a identificação de responsabilidades em caso de incidentes de segurança.
Também é recomendável avaliar se a autenticação multifator (MFA) está implementada, especialmente para contas administrativas, acessos remotos e sistemas que armazenam ou tratam dados pessoais. A adoção desse mecanismo representa uma das medidas mais eficazes para reduzir o risco de acessos indevidos decorrentes do comprometimento de credenciais.
Outro ponto fundamental é verificar se a organização possui uma política formal de senhas, contendo diretrizes claras sobre criação, utilização, armazenamento, compartilhamento e proteção das credenciais de acesso. A existência de regras documentadas contribui para padronizar procedimentos e reduzir práticas inseguras entre os usuários.
Da mesma forma, é importante confirmar se as senhas são armazenadas de maneira segura pelos sistemas utilizados pela organização. Credenciais jamais devem permanecer armazenadas em texto simples, planilhas compartilhadas, documentos desprotegidos ou quaisquer outros meios que facilitem seu acesso por pessoas não autorizadas.
A empresa também deve verificar se realiza revisões periódicas das permissões concedidas aos usuários. Com o passar do tempo, mudanças de função, promoções e reorganizações internas podem fazer com que colaboradores mantenham acessos que já não são mais necessários, ampliando desnecessariamente a superfície de ataque da organização.
Outro controle essencial consiste em identificar se contas inativas ou sem utilização continuam habilitadas nos sistemas corporativos. Usuários que não acessam determinado ambiente há longos períodos ou contas pertencentes a ex-colaboradores representam vulnerabilidades que podem ser exploradas por agentes maliciosos caso permaneçam ativas.
Também merece atenção a existência de um processo estruturado para garantir que todos os acessos sejam revogados imediatamente após o desligamento de colaboradores, terceiros ou prestadores de serviços. A integração entre Recursos Humanos, gestores e Tecnologia da Informação é indispensável para assegurar que nenhuma credencial permaneça ativa após o encerramento do vínculo.
Outro aspecto relevante diz respeito ao controle sobre usuários privilegiados. Contas administrativas devem possuir tratamento diferenciado, com critérios rigorosos para concessão, revisão periódica das permissões e monitoramento constante das atividades realizadas, considerando seu elevado potencial de impacto sobre os sistemas e as informações corporativas.
Além disso, recomenda-se avaliar se planilhas, documentos e demais arquivos compartilhados em plataformas colaborativas, como Google Drive, Microsoft OneDrive e Dropbox, possuem permissões adequadamente restritas. Configurações excessivamente permissivas, como a opção “qualquer pessoa com o link”, aumentam significativamente o risco de exposição indevida de dados pessoais.
Outro ponto importante consiste em verificar se os sistemas registram logs de autenticação e eventos relacionados ao controle de acessos. Esses registros permitem identificar quem acessou determinado ambiente, quando o acesso ocorreu, quais operações foram realizadas e se houve tentativas malsucedidas de autenticação, constituindo importante fonte de evidências para auditorias e investigações de incidentes.
Também é recomendável confirmar se terceirizados, consultores e fornecedores recebem apenas acessos temporários e compatíveis com as atividades contratadas, assegurando que essas permissões sejam automaticamente revisadas ou revogadas após a conclusão dos serviços prestados.
Por fim, nenhum controle tecnológico será plenamente eficaz se as pessoas não compreenderem sua importância. Por essa razão, a organização deve verificar se os colaboradores recebem treinamentos periódicos sobre segurança da informação, incluindo temas como criação e proteção de senhas, autenticação multifator, identificação de tentativas de phishing, engenharia social, uso adequado dos sistemas corporativos e procedimentos para comunicação de incidentes.
Embora esse checklist não seja suficiente, por si só, para assegurar a conformidade com a LGPD, ele representa um excelente ponto de partida para avaliar a maturidade da gestão de identidades e acessos da organização. A revisão contínua desses controles permite reduzir vulnerabilidades, fortalecer a governança da informação e demonstrar que a proteção dos dados pessoais está incorporada à rotina operacional da empresa, refletindo uma postura preventiva e alinhada aos princípios de segurança, prevenção e responsabilização previstos na legislação.
Conclusão
Quando se fala em proteção de dados e segurança da informação, muitas organizações ainda associam a conformidade à aquisição de ferramentas sofisticadas, soluções baseadas em inteligência artificial ou investimentos elevados em tecnologia. Embora esses recursos possam fortalecer a postura de segurança, a realidade demonstra que grande parte dos incidentes envolvendo dados pessoais continua tendo origem em falhas básicas de gestão de acessos e autenticação.
Senhas reutilizadas, credenciais compartilhadas, acessos mantidos após o desligamento de colaboradores, permissões excessivas e a ausência de autenticação multifator permanecem entre as vulnerabilidades mais exploradas por agentes maliciosos e, ao mesmo tempo, figuram entre as mais simples de serem corrigidas. Isso demonstra que a efetividade da segurança da informação depende, antes de tudo, da adoção consistente de controles fundamentais e de uma governança capaz de garantir que esses controles sejam aplicados, monitorados e continuamente aprimorados.
Sob essa perspectiva, a LGPD não exige que todas as organizações adotem as mesmas tecnologias ou implementem soluções específicas. O que a legislação determina é que controladores e operadores adotem medidas técnicas e administrativas compatíveis com os riscos de suas operações e sejam capazes de demonstrar, de forma objetiva, que atuam com diligência na proteção dos dados pessoais. A conformidade, portanto, não se resume à existência de políticas ou ferramentas, mas envolve a construção de processos estruturados, responsabilidades claramente definidas e evidências que comprovem a efetividade das medidas implementadas.
Nesse contexto, a gestão de identidades e acessos deixa de ser uma atribuição exclusivamente da área de Tecnologia da Informação e passa a integrar a estratégia de governança, gestão de riscos e proteção de dados da organização. Recursos Humanos, gestores, Segurança da Informação, Compliance, Jurídico e o Encarregado pelo Tratamento de Dados Pessoais (DPO) desempenham papéis complementares na criação de um ambiente em que apenas as pessoas autorizadas tenham acesso às informações necessárias para o desempenho de suas funções.
Mais do que reduzir a probabilidade de incidentes, fortalecer controles como contas individuais, autenticação multifator, revisão periódica de acessos, revogação tempestiva de permissões e aplicação do princípio do menor privilégio contribui para consolidar uma cultura organizacional baseada na prevenção, na responsabilidade e na confiança. Em um cenário em que os dados pessoais assumem valor estratégico para os negócios e as exigências regulatórias se tornam cada vez mais rigorosas, investir nesses controles deixa de ser apenas uma medida de segurança e passa a representar um compromisso concreto com a privacidade, a conformidade e a sustentabilidade das organizações.
Referências
https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm.
https://www.cisa.gov/secure-our-world/use-strong-passwords
https://www.cisa.gov/secure-our-world/implement-multifactor-authentication
https://www.nist.gov/cyberframework
https://pages.nist.gov/800-63-4/sp800-63b.html
https://cheatsheetseries.owasp.org/cheatsheets/Authentication_Cheat_Sheet.html
https://cheatsheetseries.owasp.org/cheatsheets/Password_Storage_Cheat_Sheet.html
https://cheatsheetseries.owasp.org/cheatsheets/Authorization_Cheat_Sheet.html
O Papel da DPO Expert na Governança e Prevenção de Riscos
Diante do aumento dos incidentes cibernéticos decorrentes do comprometimento de credenciais, do fortalecimento da atuação fiscalizatória da Autoridade Nacional de Proteção de Dados (ANPD) e da crescente necessidade de demonstrar conformidade com a Lei Geral de Proteção de Dados (LGPD), a DPO Expert atua como parceira estratégica na implementação de programas estruturados de Governança em Privacidade, Proteção de Dados e Segurança da Informação, apoiando organizações na definição de controles de autenticação, gestão de identidades e acessos, políticas de segurança e mecanismos de prevenção compatíveis com os riscos de suas operações.
Em um ambiente corporativo cada vez mais digital, conectado e orientado por dados, proteger informações pessoais vai muito além da adoção de ferramentas tecnológicas. As organizações precisam estabelecer processos estruturados para gestão do ciclo de vida dos acessos, aplicação do princípio do menor privilégio, autenticação multifator (MFA), revisão periódica de permissões, monitoramento de usuários privilegiados e conscientização contínua dos colaboradores. Aliada à elaboração de políticas, procedimentos e registros que evidenciem a efetividade dos controles implementados, essa abordagem fortalece a conformidade com a LGPD, reduz a probabilidade de incidentes de segurança, aumenta a maturidade da governança corporativa e permite que a organização demonstre diligência perante auditorias, clientes e órgãos reguladores.
Dessa forma, a DPO Expert não apenas viabiliza a conformidade com a LGPD, mas contribui diretamente para o aumento da maturidade organizacional em proteção de dados, posicionando a empresa de forma mais segura, competitiva e preparada para os desafios do ambiente digital.
Clique aqui e veja como a DPO Expert pode proteger sua empresa.
