BLOG VENNX

• NIST – O instituto americano de normas e tecnologias, por meio dos controles AC-1 e AC-2 de sua publicação especial 800-53, reconhece a importância e exige a aplicação de revisões periódicas de acessos e políticas.
• PCI DSS – O padrão global de segurança para organizações que processam dados de cartões de crédito, por meio do Requirement 7, exige a aplicação mandatória de medidas de controles de acesso, que incluem os princípios de least privilege e a revisão periódica de perfis e permissões de usuários.
• SOX – A Lei Sarbanes-Oxley, aplicável a toda empresa de capital aberto que negocia ações nos EUA, exige na Section 404 que as empresas listadas implementem controles internos, entre os quais estão incluídos os controles de acesso. Entre outras ações, é exigida a revisão periódica dos usuários.
• Auditorias Independentes – Regularmente, auditores independentes exigem das empresas auditadas que executem controles de revisão periódica de acessos de usuários, de forma a garantir que camadas de proteção a acessos indevidos foram implementadas e contribuem para a segurança dos números reportados.

Como realizar uma campanha eficiente de revisão de usuários?

Há diversas maneiras e ferramentas para se executar uma boa campanha de revisão de usuários. Independentemente da forma como sua organização executará, há práticas que contribuem para o sucesso da certificação:

• Possua políticas atualizadas de gestão de acessos;
• Defina claramente os agentes da revisão (quem dispara a campanha, quem aprova, quem executa etc.);
• Crie um procedimento formal para execução da campanha;
• Implemente uma cultura de acessos orientados à função do usuário (RBAC);
• Não renuncie ao princípio de menor privilégio possível;
• Envolva a Administração e as áreas de negócio na revisão.

Partindo das premissas acima, deve-se seguir os passos listados abaixo para que o controle seja bem-sucedido:

1. Definir prazos – Uma campanha de revisão de usuário, diferentemente da operação regular de concessão e revogação de acessos, deve possuir início e fim claramente definidos. Neste sentido, a condução do controle assemelha-se à condução de um projeto. Como o cumprimento de prazos depende de pessoas, buscar o engajamento das partes interessadas é fundamental. Se for possível realizar uma reunião de kickoff, não abra mão deste recurso!
2. Extrair dados de usuários – Obtenha a relação de recursos atribuídos aos usuários por meio de extrações de dados. Documente o processo de extração (ou o script de extração), de forma que o procedimento possa ser realizado novamente, obtendo-se o mesmo resultado. Revise a extração para garantir a totalidade e a integridade dos dados.
3. Organização e Distribuição dos Recursos para Validação
   Após extrair os dados, identifique os responsáveis pelos acessos atribuídos aos usuários e encaminhe as informações para que avaliem a validade desses acessos.
4. Coleta de Validações
   Solicite respostas dos responsáveis sobre quais acessos são válidos. Se um acesso for reprovado, obtenha o motivo da revogação.
5. Revogação de Acessos Indevidos
   Remova rapidamente os acessos considerados indevidos. Cada dia em que um acesso não validado é mantido representa uma vulnerabilidade.
6. Revisão e Documentação
   Verifique se todos os acessos foram avaliados e que as revogações foram implementadas. Compile e documente todas as informações relacionadas à campanha.