Divisão de responsabilidades e níveis de acesso
1) Objetivos e princípios
Objetivos:- excluir o controle solitário de operações críticas (dinheiro/PII/complacência),
- reduzir o risco de fraude/erro,
- garantir a verificabilidade para reguladores e auditorias internas.
Princípios: Zero Trust\Least Priorege = Need-to-Know SoD (4-eyes) = Traceability = Revocability (Review Rápida).
2) Classificação de dados e níveis de acesso
3) Modelo de direitos: RBAC + ABAC
RBAC: Papéis de domínio (Apoio, VIP, Payments, AML, KYC, FRM, BI, DevOps, DPO, Legal).
ABAC: atributos contextuais (ambiente, geografia, classe de dados, dispositivo/MDM, tempo, nível KYC, propósito de acesso 'purpose', risco do dispositivo).
Um exemplo da condição ABAC é que o analista da BI só pode ler 'events _' sem PII, somente da rede corporativa/MDM, na semana 08: 00-21: 00, se tiver treinamento de privacidade ativo.
4) SoD - matriz de funções incompatíveis
5) Níveis e tipos de acesso
Read-only/Masked Read: padrão para BI/Apoio.
Scoped Write: alterações dentro do serviço/regulamento (por exemplo, digite notas sobre a mala).
Primeged Admin: somente através do PAM (cofre de senha, proxy de sessão, gravação de sessão, rotação de segredos).
API/Service Accounts: escopos mínimos, chaves individuais per integração, mTLS.
6) JIT и break-glass
JIT (Just-in-Time): promoções temporárias de direitos (15-120 min) sob tíquete específico, revisão automática, obrigatório 'purpose'.
Break-glass: acesso de emergência com MFA + segunda confirmação, gravação de sessão, pós-reversão Segurança + DPO, registro automático de violações.
7) Processos (SOP)
7. 1 Pedido/alteração de acesso (IDM/ITSM)
1. Solicitação com 'purpose', prazo e dono dos dados.
2. Máquina SoD/classe de dados/jurisdição.
3. Aprovação do dono de domínio + Segurança (para Restricted +).
4. Emissão de JIT/Acesso contínuo (compilação mínima).
5. Entrada no registro de direitos (data de revisão, SLA revogatório).
7. 2 Certificação de Direitos Re
Trimestralmente, os proprietários confirmam os direitos dos grupos/usuários.
Permissões não utilizadas (> 30/60 dias).
7. 3 Exportação de dados
Somente através de vitrines/pipas aprovadas; camuflagem padrão; listas brancas de destinatários/formatos; assinatura/hash; registro de descarregamentos.
8) Controle de vendedores/parceiros
Tenentes B2B individuais, API mínima, IP allow-list, janelas de tempo.
DPA/SLA: logs de acessibilidade, prazo de armazenamento, geografia, incidentes, subprocessadores.
Offboarding: revisão das chaves, confirmação da remoção, acerto de encerramento.
9) Integração com segurança e complicações
Audit trails: `READ_PII`, `EXPORT_DATA`, `ROLE_UPDATE`, `PAYMENT_APPROVE`, `BREAK_GLASS`.
SIEM/SOAR: alertas para volumes anormais/acesso sem 'purpose '/saída pela janela/geo.
GDPR/AML/PCI: Need-to-Know, compatibilidade DSAR, segregação do perímetro de pagamento, WORM para revistas.
10) Políticas de exemplos (fatias)
10. 1 Política de Gerente VIP
Visualização de perfil mascarado, proibição de exportação, JIT para visualização única de KYC através do tíquete.
10. 2 Políticas para analista de marketing
Apenas unidades sem PII; acesso, se houver consentimento (CMP), a partir do dispositivo MDM, durante o horário de trabalho.
10. 3 Pseudo-YAML ABAC
yaml policy: read_transactions_masked subject: role:bi_analyst resource: dataset:tx_
condition:
data_class: in [Confidential]
network: in [corp_vpn, office_mdm]
time: 08:00-21:00 workdays purpose: required effect: allow masking: on logging: audit_access + fields_scope11) RACI
12) Métricas e KRIs/KPIs
Coverage ABAC: ≥ 95% dos conjuntos críticos sob as regras de atributos.
JIT rate: ≥ 80% das promoções de direitos vão como JIT.
Offboarding TTR: Revogação de acesso ≤ 15 min desde a demissão/desativação.
Acessíveis anormais sem 'purpose': = 0 (KRI).
Quarterly recertificação: 100% dos papéis/grupos estão confirmados.
Export compliance: 100% das exportações estão assinadas/curadas.
13) Folhas de cheque
13. 1 Antes de dar acesso
- Definido 'purpose', prazo, dono dos dados
- Verificação de SoD/jurisdição/classe de dados superada
- Compilação mínima + camuflagem incluídas
- MFA/MDM/Condições de rede cumpridas
- Registros configurados e data de revisão
13. 2 Revisões Trimestrais
- Comparar grupos/papéis com organização
- Retirar direitos não utilizados
- Verificar break-glass e grandes exportações
- Confirmar treinamento (privacidade/segurança)
14) Cenários e medidas típicas
A) O engenheiro precisa de acesso temporário ao prod-BD
JIT 30-60 min, sessão gravada através de PAM, pós-revide, CAPA em violações.
B) Nova afiliada pede descarregamento dos jogadores
Apenas unidades/anonimato; se o PII for um contrato, base legal, lista branca de campos, registro/assinatura, prazo limitado de referência.
C) Gerente VIP quer ver documentos KYC
Proibição de acesso direto; uma consulta via AML/KYC, uma única emissão via JIT, um cronograma completo dos campos.
15) Mapa de trânsito de implementação
Semanas 1-2: inventário de sistemas/dados, classificação, matriz RBAC básica, tabela SoD primária.
Semanas 3-4: implementação da ABAC (ambiente/geo/classe/MDM), JIT e break-glass, lançamento da PAM, revistas de exportação.
Mês 2: segmentação de CUS/perímetro de pagamento, chaves individuais/KMS, alertas SOAR para violações de SoD/ABAC.
Mês 3 +: e-certificação trimestral, extensão de atributos (risco de dispositivo/hora), automação de camuflagem, exercícios regulares tabletop.
TL; DR
Modelo de acesso confiável = classificação de dados → RBAC + ABAC → SoD com 4-eyes → JIT/PAM e auditoria rígida → certificação regular e controle de exportação. Isso reduz a possibilidade de abuso e acelera a realização de auditorias/verificações regulatórias.