O princípio dos direitos mínimos necessários
1) Objetivo e definição
O objetivo é permitir que o usuário/serviço apenas os recursos que são rigorosamente necessários para realizar uma tarefa específica por tempo mínimo suficiente e em volume mínimo.
Definição: «mínimo de amplitude (recursos), profundidade (operações), tempo (TTL), contexto (geo/dispositivo/turno), sensibilidade (PII/finanças)».
2) Princípios básicos de implementação
1. Need-to-Know: cada direito está associado a uma causa específica.
2. Time-Bound: permissões elevadas com TTL (JIT); permissões permanentes - apenas read/masked.
3. Scope-Bound: acesso limitado por renda/região/marca/projeto (tenant/region scoping).
4. Data-Minimization: O PII padrão é mascarado; de-mask - apenas com base clara.
5. Traceability: qualquer acesso → registro + 'purpose '/' card _ id'.
6. Revocability: revisão rápida (offboarding de 15 minutos, JIT de recesso automático).
3) Comunicação com outros controladores
RBAC: especifica quem pode (papel básico).
ABAC: especifica em que condições (geo, dispositivo/MDM, tempo, nível KYC, risco).
SoD: proíbe combinações perigosas de papéis, requer 4-eyes para ações sensíveis.
Segmentação: perímetros de rede/lógico (pagamentos, KYC, DWH, segredos).
PAM/JIT/break-glass: concessão e gravação de privilégios temporários seguros.
4) Classificação de recursos e operações
Operações: 'READ', 'MASKED _ READ' (padrão para PII), 'WRITE' (scoped), 'APPREVE _' (4-eyes), 'EXPORT' (somente por meio de vitrines, assinatura/registro).
5) Engenharia de direitos «de tarefa para acesso»
1. User Story → Purpose: «O analista precisa construir um relatório de conversão para a UE sem PII».
2. Lista de recursos: vitrine 'agg _ conversions _ eu'.
3. Operações: 'READ' (sem PII), proibição 'EXPORT _ RAW'.
4. Contexto ABAC: horas de trabalho, corp-VPN/MDM, região = EU.
5. TTL: masked-read permanente; JIT para desmascaração única (se necessário).
6. Revistas: 'READ '/' EXPORT' s 'purpose' e 'fields _ scope'.
6) Camuflagem e desmascaração seletiva
Camuflar e-mail/telefone/IBAN/PAN padrão;
Acesso não escalado ('pii _ unmask') - apenas JIT + 'purpose' + confirmação do dono do domínio/Compliance;
Os relatórios incluem agregados/a-anonimato e a proibição de «pequenas amostras» (private thresholds).
7) Privilégios temporários: JIT e break-glass
JIT: 15-120 minutos, por baixo do tíquete, auto-entrega, auditoria completa.
Break-glass: acesso de emergência (MFA + segunda confirmação, gravação de sessão, pós-review Segurança + DPO).
PAM, cofre de segredos, proxy de sessão, rotação de privilégios.
8) Processos (SOP)
8. 1 Emissão de acesso (IDM/ITSM)
1. Candidatura com 'purpose', recursos, TTL/permanência.
2. Máquina SoD/jurisdição/classe de dados/contextos.
3. Aprovação do dono do domínio; для Restricted+ — Security/Compliance.
4. Emissão de escopo mínimo (muitas vezes masked-read).
5. Inscrição no registro de direitos: data de revisão, SLA revogação.
8. 2 Certificação Re (quarterly)
O dono do domínio confirma cada papel/grupo; direitos não utilizados (> 30/60 dias) - permissão automática.
8. 3 Exportação de dados
Apenas através das vitrines aprovadas; listas brancas de formatos; assinatura/hash; registro de descarregamentos; PII - por omissão impessoal.
9) Controle de vendedores/subprocessadores
Apps de API mínimos, chaves individuais per integração, allow-list IP, janelas de tempo.
DPA/SLA: papéis, revistas de acessibilidade, retenções, geografia, incidentes, subprocessadores.
Offboarding: revisão das chaves, confirmação da remoção, acerto de encerramento.
10) Auditoria e monitorização
Журналы: `ROLE_ASSIGN/REVOKE`, `JIT_GRANT`, `READ_PII`, `EXPORT_DATA`, `PAYMENT_APPROVE`, `BREAK_GLASS`.
SIEM/SOAR: alertas de acesso sem 'purpose', volumes anormais, saída por janela de tempo/geo, violação de SoD.
WORM: cópia imutável dos registros + cadeia de hash/assinatura.
11) Métricas de maturidade (KPI/KRI)
Coverage:% dos sistemas críticos sob RBAC/ABAC ≥ 95%.
Masked Reads Ratio: ≥ 95% dos acessos ao PII são camuflados.
JIT Rate: ≥ 80% das promoções de direitos vão como JIT.
Offboarding TTR: Rever direitos ≤ 15 min
Exports Signed: 100% das exportações estão assinadas e curtidas.
SoD Violations: = 0; tentativas - bloco automático/tíquete.
Dormant Access Cleanup: ≥ 98% das permissões pendentes são removidas em até 24 h.
12) Cenários típicos
A) Visualização única do KYC para o cliente VIP
Basico: masked-read em um gerente VIP.
Acção: Acesso JIT 'pii _ unmask' por 30 minutos por tíquete, gravação de campos/screen-logs, pós-revezamento.
B) O engenheiro precisa de acesso ao prod-BD
Somente através de PAM + JIT ≤ 60 min, sessão gravada, proibição de «SELECT» por PII, pós-revo e CAPA em violações.
C) relatório BI com corte nacional
Acesso a unidades sem PII; filtro ABAC: 'region in [EEA]', corp-VPN/MDM, hora 08: 00-21: 00.
13) Anti-pattern e como evitá-los
«Superroly «/herança sem limites → fracionar em papéis de domínio, incluir ABAC.
Privilégios permanentes «por precaução» → JIT + autuação.
Cópia de dados prod em dave/estágio → pseudônimo/sintético.
Exportar PII fora das vitrines → listas brancas, assinatura, registro, camuflagem.
Falta de 'purpose' → bloco rígido e tíquete automático.
14) RASI (acentuado)
15) Folhas de cheque
15. 1 Antes de dar acesso
- Especificado 'purpose' e TTL
- Verificação de SoD/jurisdição superada
- Camuflagem padrão, montagem mínima
- Termos ABAC: rede/dispositivo/hora/região
- Registro e data de revisão configurados
15. 2 Trimestralmente
- Revisão de papéis/grupos, autodeclaração de direitos pendentes
- Verificação de exportações anormais e break-glass
- Treinamento de privacidade/segurança confirmado
16) Mapa de trânsito de implementação
Semanas 1-2: inventário de dados/sistemas, classificação, matriz básica de papéis, camuflagem padrão.
Semanas 3-4: ABAC (quarta-feira/geo/MDM/hora), JIT e PAM, listas brancas de exportação, revistas 'purpose'.
Mês 2: automação offboarding, alertas SOAR (sem 'purpose '/anomalia), e-certificação trimestral.
Mês 3 +: extensão de atributos (nível de CUS/risco do dispositivo), privacidade thresholds, ensinamentos regulares tabletop.
TL; DR
Least Priorege = cúmulo mínimo + camuflagem PII + contexto ABAC + JIT/PAM + auditoria rígida e revisão rápida. Torna o acesso controlado, reduz o risco de vazamento/fraude e acelera a realização de áudios.