O Desafio

A Ipiranga enfrentava um cenário de governança fragilizada sobre contas genéricas, decorrente de um inventário desatualizado e do fluxo de concessão descentralizado de acessos não nominais.

A ausência de padronização e controle dificultava a rastreabilidade, aumentava a exposição a riscos de segurança e comprometia a conformidade com os controles exigidos pela Lei Sarbanes-Oxley (SOx).

Objetivo do Projeto

‍

O projeto teve como foco a atualização do inventário de usuários não nominais (contas genéricas e de serviço), com a finalidade de:

• Diagnosticar riscos associados a essas contas por meio de análise SoD (Segregation of Duties) e permissões críticas;
• Fortalecer a rastreabilidade e segurança de acessos em ambientes sensíveis;
Reduzir riscos de uso indevido ou acessos desnecessários;
• Apoiar a conformidade com os requisitos SOx por meio de governança estruturada;
• Complementar a frente de processos de gestão de identidades conduzida anteriormente pela Vennx.
‍

Abordagem e entregas

‍

• Atualização do inventário completo de usuários não nominais, com foco nos sistemas classificados como críticos ou dentro do escopo SOx;
• Identificação de acessos não catalogados anteriormente;
• Inclusão da informação “log on to” em contas de serviço no Active Directory (AD), garantindo que os usuários genéricos sejam limitados aos servidores específicos autorizados;
• Mapeamento e validação dos perfis junto aos responsáveis técnicos;
• Execução de revogações de acessos obsoletos ou indevidos, com base em análise de risco.
‍

Resultados alcançados

‍

• Inventário de Usuários Não Nominais atualizado, com regularização de dados ausentes e padronização de informações;
• Redução de riscos relacionados a contas compartilhadas ou sem identificação clara de uso;
• Maior controle sobre permissões críticas em sistemas legado;
• Fortalecimento da governança de acessos, em alinhamento com os pilares de segurança da informação e compliance regulatório.
‍

A iniciativa consolidou uma camada essencial da governança de acessos da Ipiranga, possibilitando visibilidade, controle e segurança sobre contas genéricas em ambientes críticos. A atuação preventiva reforça o compromisso com boas práticas de TI, proteção de ativos sensíveis e conformidade com auditorias externas.

‍