Políticas de acesso e segmentação

1) Propósito e princípios

O objetivo é minimizar o risco de vazamento/fraude e efeitos regulatórios através do controle rigoroso de «quem, o que e o porquê tem acesso», provável para a auditoria.
Princípios: Least Privilege (mínimo de direitos), Need-to-Know, Zero Trust, Segregation of Duties (SoD), Just-in-Time (JIT), rastreabilidade e retificação do acesso em um clique.

2) Classificação de dados e níveis de proteção

3) Modelo de acesso: RBAC + ABAC

RBAC (papéis): matriz básica «rol → resolução».
ABAC (atributos): regras contextuais (jurisdição do jogador/operador, segmento de ambiente, sensibilidade de marcação, mudança/hora, dispositivo, nível de verificação KYC, função/purpose).

• O analista de marketing só pode ler tabelas de 'events _' para países onde há consentimento para análise, somente na semana 08: 00-21: 00, apenas na rede corporativa/dispositivo MDM, sem campos PII (camuflagem incluída).

4) SoD - divisão de responsabilidades (antifrode e complacência)

5) JIT, break-glass и PAM

JIT (Just-in-Time): Os direitos elevados são emitidos por um intervalo limitado (15-120 min) para uma tarefa específica e automaticamente revertidos.
Break-glass: acesso de emergência através de procedimento separado (MFA + segunda confirmação + indicação de purpose obrigatória), gravação completa da sessão e revezamento pós-faturamento.
PAM: para contas admins - armazenamento de senhas, análise comportamental, rotação de chaves/segredos, proxy de sessão com gravação.

6) Segmentação: média, rede e lógica

6. 1 Ambiente: 'prod' ≠ 'stage' ≠ 'dave'. Os dados Prod não são copiados em estágio/dave; são usados conjuntos sintéticos ou pseudônimos.

• Edge/WAF/CDN → Área App → Zona de Dados (DWH/DB) → Segredos/KMS.
• O perímetro de pagamento (PSP/cartão) está isolado do total prod; O CUS/sanções é um segmento separado.
• 6. 3 Segmentação lógica: espaços de nomes (K8s), tenant-IDs, circuitos de base de dados/diretório de dados, chaves individuais de criptografia per tenant/região.
• 6. 4 Segmentação geo: armazenamento/processamento de acordo com a localização (EC/UK/...); Roda guídeos e chaves na região.

7) Acesso de vendedores e parceiros

Mecânica: Tenentes/contas B2B individuais, API mínima, mTLS, allow-list IP, tempo-janela.
Contratos: DPA/SLA (revistas, datas de armazenamento, geografia, incidentes, subprocessadores).
Offboarding: revisão das chaves, confirmação da remoção, acerto de encerramento.
Alertas para quantidades anormais, proibição de exportação em massa.

8) Processos (SOP)

8. 1 Pedido/Alteração de acesso

1. Solicitação para IDM/ITSM com purpose e prazo.
2. Máquina SoD/jurisdição/classe de dados.
3. Aprovação pelo dono do domínio + Security/Compliance (se Restricted +).
4. Emissão de JIT/Acesso permanente (conjunto mínimo).
5. Registro: quem/quando/o que foi emitido; Data de revisão.

8. 2 Revisão periódica (recertificação)

Trimestralmente, os proprietários confirmam os direitos dos grupos; permissão automática de direitos não utilizados (> 30/60 dias).

8. 3 Exportação de dados

Somente através de pipas/vitrines aprovadas, em listas brancas de formatos (CSV/Parquet/JSON), camuflagem padrão, assinatura/hash, registro de descarga.

9) Política de dispositivos e contexto

MDM/EMM: Acesso a Restricted/Highly Restricted somente a partir de dispositivos controlados.
Sinais contextuais: geo, dispositivo de risco, hora do dia, condição MFA, reputação IP - como atributos ABAC.
Extensões de navegador/captura de tela: controle e registro, proibição para consoles sensíveis.

10) Exemplos de políticas (fatias)

10. 1 YAML (pseudo) - ABAC para analista de marketing

yaml policy: read_analytics_no_pii subject: role:marketing_analyst resource: dataset:events_
condition:
consent: analytics == true data_class: not in [Restricted, HighlyRestricted]
network: in [corp_vpn, office_mdm]
time: between 08:00-21:00 workdays effect: allow masking: default logging: audit_access + fields_scope

10. 2 camuflagem SQL (ideia)

sql
SELECT user_id_hash,
CASE WHEN has_priv('pii_read') THEN email ELSE mask_email(email) END AS email_view
FROM dwh. users;

11) Monitoramento, registros e alertas

Audit trails: `READ_PII`, `EXPORT_DATA`, `ROLE_UPDATE`, `BREAK_GLASS`, `PAYMENT_APPROVE`.
KRIs: acessíveis sem 'purpose' = 0; tentativas para Highly Restricted fora da janela; Proporção de verificações SoD falhadas; descarregamentos anormais.
KPI:% das consultas com JIT ≥ 80%; tempo médio de acesso ≤ 4h; cobertura de ré-certificação 100%.
Playbooks SOAR: Reversão automática de ameaças, tíquetes de investigação.

12) Conformidade (cartão curto)

GDPR/UK GDPR: Minimização, Need-to-Know, compatibilidade DSAR, auditoria PII.
AML/KYC: Acesso a CUS/sanções - somente para papéis treinados, registro de soluções.
PCI DSS (se aplicável): segregação de área de pagamento, proibição de armazenamento PAN/CSC, chaves/hospedagem individuais.
ISO/ISMS: políticas de acesso formalizadas, auditorias anuais e testes.

13) PACI

14) Métricas de maturidade

A cobertura das regras ABAC dos conjuntos de dados críticos ≥ 95%.
Sessão de JIT/todos os aumentos de direitos ≥ 90%.

Tempo de retificação por offboarding ≤ 15 min

0 incidentes «função ≠ papel» (SoD).
100% dos registros disponíveis e verificados (assinatura/hash).

15) Folhas de cheque

15. 1 Antes de dar acesso

• Definida purpose, prazo e dono dos dados
• Verificação de SoD/jurisdição superada
• Compasso/disfarce mínimo incluído
• MFA/MDM/Condições de rede cumpridas
• Registro e data de revisão configurados

15. 2 Revisão Trimestral

• Conciliação de grupos e papéis com organização
• Permissão automática pendurada
• Verificação de exportações anormais e break-glass
• Treinamento e alertas de teste

16) Cenários e medidas típicas

A) Novo papel «gerente VIP»

Acesso a perfis VIP (camuflado), proibição de exportação, JIT para visualização única de KYC por tíquete.

B) Auditoria de venda BI

read-only para vitrines sem PII, temporária VPN + allow-list, proibição de armazenamento local, registro de descarga.

C) Acesso de emergência do DevOps ao prod-BD

break-glass ≤ 30 min, gravação de sessão, pós-revide com DPO/Compliance, CAPA em violações.

17) Mapa de trânsito de implementação

Semanas 1-2: inventário de dados/sistemas, classes de dados, matriz RBAC básica, SoD.
Semanas 3-4: implementar ABAC (primeiros atributos: ambiente, geo, classe de dados), fluxo IDM, JIT/break-glass, PAM.
Mês 2: segmentação do perímetro de pagamento e KYC, chaves individuais/KMS, revistas de exportação, alertas SOAR.
Mês 3 +: e-certificação trimestral, extensão de atributos (dispositivo/risco), automação de disfarce, exercícios regulares.

TL; DR

Modelo de acesso confiável = classificação de dados → RBAC + ABAC → SoD+JIT/PAM → segmentação rígida → revistas e alertas. Isso reduz a possibilidade de vazamento e abuso, acelera a auditoria e mantém a plataforma nos limites GDPR/AML/PCI e padrões internos.