Uma política de acesso privilegiado é o documento que define quais profissionais podem acessar sistemas críticos da empresa, sob quais condições e por quanto tempo. Ela transforma decisões informais de TI em regras auditáveis, reduzindo a superfície de ataque e sustentando a conformidade com a LGPD.
Existe uma pergunta que quase nenhuma diretoria consegue responder com precisão: quem, exatamente, tem a chave do cofre?
Não é uma pergunta retórica. Em ambientes corporativos de médio e grande porte, o acesso administrativo costuma ser concedido sob pressão — um chamado urgente, uma migração de servidor, um fornecedor que precisa “resolver rápido”. A permissão é liberada, o incidente é contornado, e o acesso permanece ali. Indefinidamente.
Meses depois, ninguém lembra por que aquela conta existe. E é justamente essa conta esquecida que o invasor encontra primeiro.
A tecnologia para controlar esse cenário já existe e está madura. O que costuma faltar é anterior à ferramenta: a decisão formal sobre quem deve ter acesso a quê. Sem esse desenho, qualquer plataforma de segurança apenas automatiza a desordem existente.
Este material foi construído para gestores de TI, CIOs e executivos que precisam sair do controle informal e estruturar uma governança de identidades defensável diante de auditorias, clientes e da ANPD.
O Essencial
- Uma política de acesso privilegiado é documento de governança, não configuração técnica — ela define regras de decisão, não parâmetros de software.
- O critério correto não é hierarquia nem cargo, mas necessidade operacional comprovada dentro de uma janela de tempo definida.
- A matriz de acessos é o instrumento central: ela cruza nível de privilégio, responsável pela aprovação e prazo de revisão.
- A LGPD não exige a política de forma literal, mas cobra a capacidade de demonstrar quem acessou quais dados pessoais — o que é impossível sem ela.
O que é uma política de acesso privilegiado?
Uma política de acesso privilegiado é o conjunto formal de regras que determina quem recebe permissões elevadas em sistemas corporativos, quem autoriza essa concessão, por qual prazo ela vale e como o acesso é registrado e revisado. É um documento de governança — vive antes e acima de qualquer ferramenta.
A distinção importa mais do que parece. Muitas empresas adquirem plataformas robustas de controle de identidade e, meses depois, descobrem que continuam expostas. O motivo é simples: a ferramenta automatizou exatamente as permissões frouxas que já existiam.
Acesso privilegiado é todo acesso capaz de alterar o comportamento de um sistema, e não apenas de consultá-lo. Contas de administrador de domínio, credenciais de banco de dados, acessos root em servidores, painéis de configuração de firewall, consoles de nuvem e chaves de API com permissão de escrita entram nessa categoria.
A camada técnica que executa essas regras é o gerenciamento de acesso privilegiado (PAM), assunto que já detalhamos anteriormente. Aqui, o foco é o que vem antes da implantação: a decisão humana.
Uma política madura responde a quatro perguntas de forma inequívoca:
- Quem pode solicitar privilégio elevado e com qual justificativa formal.
- Quem tem autoridade para aprovar — e quem não tem, mesmo sendo sênior.
- Por quanto tempo a permissão permanece válida antes de expirar automaticamente.
- Como o uso é registrado, auditado e revisado em ciclos definidos.
Enquanto essas respostas não estiverem escritas, revisadas e assinadas, o que existe é prática informal. E prática informal não sobrevive a uma auditoria nem a um incidente.
Por que quase toda empresa concede acesso demais?
O excesso de privilégio raramente nasce de negligência. Ele é subproduto de decisões operacionais razoáveis, tomadas sob urgência, que nunca foram revisitadas. O acúmulo é silencioso e progressivo.
O padrão se repete com uma regularidade quase previsível. Um analista assume um projeto e recebe acesso amplo para não travar a entrega. Um fornecedor externo precisa configurar um ambiente e ganha credencial administrativa temporária — que ninguém revoga. Um colaborador muda de área e mantém as permissões antigas somadas às novas.
Esse fenômeno tem nome técnico: privilege creep, o acúmulo gradual de permissões ao longo da trajetória de um profissional na empresa. Depois de alguns anos, o mapa real de acessos não guarda semelhança com o organograma.
Há ainda um fator cultural relevante. Negar acesso a um colega é socialmente desconfortável, especialmente quando ele é sênior ou está sob pressão de prazo. Sem uma política escrita para servir de anteparo, a recusa parece pessoal — e a equipe de TI cede.
O resultado é uma superfície de ataque muito maior do que a diretoria imagina. Como já abordamos ao tratar de credenciais roubadas e movimentação lateral, o invasor moderno não arromba o perímetro: ele entra autenticado, usando um acesso legítimo que nunca deveria estar ativo.
Os vetores mais comuns de exposição incluem:
- Contas órfãs: perfis de ex-colaboradores ou de projetos encerrados que permanecem ativos no diretório.
- Credenciais compartilhadas: múltiplos técnicos usando o mesmo login administrativo, o que destrói qualquer rastreabilidade individual.
- Acessos de terceiros sem prazo: fornecedores e consultorias com permissão permanente a ambientes críticos.
- Senhas padrão de fábrica: equipamentos de rede e appliances instalados e nunca reconfigurados.
- Contas de serviço super-privilegiadas: integrações automatizadas rodando com permissões muito acima do necessário.
Quem realmente precisa de acesso crítico na sua empresa?
O critério correto nunca é o cargo, o tempo de casa ou a senioridade. É a necessidade operacional comprovada, limitada ao escopo da tarefa e a uma janela de tempo definida. Um diretor de tecnologia que não executa manutenção em servidores não precisa de acesso root — precisa de relatórios.
Essa é a inversão de lógica mais difícil de implantar, porque contraria a intuição hierárquica que rege a maior parte das organizações brasileiras. Mas é ela que separa uma governança real de um organograma disfarçado de política de segurança.
Na prática, a triagem começa mapeando funções, e não pessoas. Uma função é uma responsabilidade técnica concreta: restaurar backup, aplicar patch em servidor de produção, alterar regra de firewall, consultar base de dados de clientes. Cada função recebe o privilégio mínimo que a viabiliza — nada além.
Só depois as pessoas são associadas às funções. Quando alguém muda de área, a associação é desfeita; quando um projeto termina, a função é encerrada. Esse desenho evita que permissões colem à pessoa e a acompanhem pela carreira inteira.
O passo anterior a tudo isso é saber o que existe na rede. Não se protege o que não se enxerga, e por isso a visibilidade granular sobre ativos e dispositivos é pré-requisito de qualquer matriz de acessos confiável.
A escala de privilégio: quem aprova e por quanto tempo
A tabela abaixo consolida o modelo de referência que recomendamos como ponto de partida. Os prazos devem ser calibrados conforme a criticidade real de cada ambiente:
| Nível de acesso | Quem normalmente se enquadra | Quem aprova | Prazo até revisão |
|---|---|---|---|
| Consulta (somente leitura) | Analistas, auditoria interna, gestores de área | Gestor imediato | 12 meses |
| Operacional | Suporte técnico, service desk, infraestrutura | Coordenação de TI | 6 meses |
| Administrativo | Administradores de rede, DBAs, engenheiros de nuvem | Gestor de TI + Segurança da Informação | 3 meses |
| Crítico (root / domain admin) | Escopo restrito, sob demanda e por tarefa | Comitê de Segurança ou CIO | Expiração automática ao fim da tarefa |
| Terceiros e fornecedores | Consultorias, suporte de fabricante, integradores | Gestor do contrato + Segurança da Informação | Janela contratada, com registro de sessão |
O nível crítico merece atenção especial: ele não deve ser um estado permanente atribuído a alguém, mas uma concessão temporária vinculada a uma atividade específica e aprovada.
Como montar a matriz de acessos em cinco passos
A matriz de acessos é o documento vivo que operacionaliza a política de acesso privilegiado. Ela cruza funções, sistemas, níveis de permissão, responsáveis pela aprovação e prazos de revisão em um único instrumento auditável.
O processo abaixo é aplicável a empresas de qualquer porte e não exige aquisição prévia de tecnologia. A ferramenta entra depois, para automatizar o que a governança já definiu.
- Inventário de contas privilegiadas. Varra o Active Directory, os servidores locais, os consoles de nuvem, os bancos de dados e os equipamentos de rede. O objetivo é uma lista completa e honesta de tudo que possui poder de alteração — incluindo contas de serviço e integrações automatizadas.
- Classificação dos sistemas por criticidade. Nem todo ativo merece o mesmo rigor. Separe o que sustenta faturamento, o que armazena dados pessoais e o que pararia a operação se ficasse indisponível. Essa classificação define onde o controle será mais rígido.
- Desenho das funções técnicas. Descreva responsabilidades, não pessoas. Para cada função, defina o conjunto mínimo de permissões que a torna executável — e registre a justificativa por escrito.
- Definição da alçada de aprovação. Determine quem autoriza cada nível. A regra estrutural é que ninguém aprove o próprio acesso, sem exceção de hierarquia. Essa separação é o que sustenta a política diante de uma auditoria.
- Ciclo de revisão e registro. Estabeleça a periodicidade de recertificação, o responsável por conduzi-la e o formato do registro. Acesso não revisado é acesso presumidamente indevido.
O quinto passo é onde a maioria dos projetos falha. A matriz é construída com esmero, aprovada pela diretoria — e nunca revisada. Seis meses depois, ela descreve uma realidade que já não existe.
É por isso que o controle precisa ser contínuo e não episódico, exatamente como argumentamos ao tratar de monitoramento em tempo real e gestão de riscos. Uma política revisada uma vez por ano protege a empresa durante poucos meses.
Na DAMSafe, o ciclo de recertificação recomendado a cada 06 meses periodicidade padrão adotada nos projetos], ajustado conforme o setor de atuação do cliente.
O que a LGPD exige em registro de acessos?
A Lei Geral de Proteção de Dados não menciona o termo “acesso privilegiado”, mas exige que a empresa adote medidas de segurança capazes de proteger dados pessoais e comprove quem acessou quais informações. Sem controle formal de identidades, essa comprovação é inviável.
O artigo 46 da Lei nº 13.709/2018 determina que agentes de tratamento adotem medidas técnicas e administrativas aptas a proteger dados pessoais de acessos não autorizados. O texto não prescreve tecnologia específica — cobra resultado demonstrável.
É aqui que a diferença entre ter e não ter política se torna financeira. Diante de um incidente, a Autoridade Nacional de Proteção de Dados avalia a postura da organização antes de dosar a sanção. Uma empresa que apresenta matriz de acessos documentada, trilhas de auditoria e evidências de recertificação demonstra diligência. Uma que não apresenta nada demonstra negligência.
A distinção pesa diretamente no cálculo da penalidade, que pode alcançar 2% do faturamento da empresa no Brasil, limitada a cinquenta milhões de reais por infração.
Três exigências práticas decorrem disso:
- Rastreabilidade individual: credenciais compartilhadas inviabilizam apontar responsável, o que compromete qualquer investigação de incidente.
- Trilha de auditoria íntegra: os registros precisam ser preservados de alteração, inclusive por administradores.
- Evidência de revisão periódica: demonstrar que o controle é rotina viva, e não documento arquivado.
Esse raciocínio se conecta diretamente ao que já desenvolvemos sobre conformidade construída por gestão contínua de riscos: conformidade não é um projeto com data de encerramento, é um processo com cadência.
Recomendações internacionais seguem a mesma direção. A Cybersecurity and Infrastructure Security Agency posiciona a limitação de privilégios entre os controles de maior impacto na contenção de ataques.
Como a DAMSafe estrutura essa governança
A DAMSafe atua como Distribuidor de Valor Agregado especializado em cibersegurança e gestão de ativos de TI. Não entregamos licenças de prateleira: desenhamos a governança junto com o cliente e só depois selecionamos a tecnologia que a sustenta.
Nosso ponto de partida é sempre o inventário real de contas privilegiadas — que, na maioria dos diagnósticos, revela um volume significativamente maior do que a equipe de TI estimava. A partir dele, construímos a matriz de acessos e definimos a alçada de aprovação em conjunto com a liderança.
Na camada tecnológica, atuamos de forma consultiva com as soluções Delinea, referência global em gerenciamento de acesso privilegiado, o que permite traduzir a política aprovada em regras automatizadas de cofre, expiração e auditoria de sessão.
O que o cliente recebe ao final:
- Diagnóstico de contas privilegiadas, incluindo perfis órfãos, credenciais compartilhadas e senhas padrão ativas.
- Matriz de acessos documentada, pronta para apresentação em auditoria interna ou externa.
- Política formal redigida, com alçadas, prazos e fluxo de exceção definidos.
- Implantação tecnológica, com automação de expiração, rotação de chaves e gravação de sessões privilegiadas.
- Ciclo de recertificação assistido, para que a governança permaneça viva após a entrega.
Atendemos empresas em todo o Brasil, com base consultiva no Jabaquara, em São Paulo, e prazo médio de implantação de [INSERIR DADO REAL: prazo médio do projeto de governança de acessos].
A pergunta que abriu este texto — quem tem a chave do cofre — deveria ter resposta imediata, documentada e revisada. Se hoje ela ainda depende da memória de alguém da equipe, existe uma lacuna de governança aberta.
Fale com um especialista da DAMSafe e receba um diagnóstico das contas privilegiadas da sua infraestrutura.
Perguntas frequentes sobre política de acesso privilegiado
O que é considerado acesso privilegiado na prática?
É todo acesso capaz de alterar a configuração ou o comportamento de um sistema, e não apenas de consultá-lo. Inclui contas de administrador de domínio, credenciais root em servidores, acessos a bancos de dados de produção, consoles de nuvem, painéis de firewall e chaves de API com permissão de escrita. Contas de serviço usadas por integrações automatizadas também entram nessa categoria e costumam ser as mais esquecidas nos inventários.
Qual a diferença entre política de acesso privilegiado e solução PAM?
A política é o documento de governança: define quem decide, quem aprova, por quanto tempo e como o uso é auditado. A solução PAM é a tecnologia que executa essas regras automaticamente — cofre de senhas, expiração de acessos, rotação de chaves e gravação de sessões. Implantar a ferramenta sem a política documentada resulta em automatizar permissões frouxas que já existiam.
Quem deve aprovar a concessão de acesso crítico?
A aprovação deve envolver ao menos duas instâncias: o gestor responsável pela atividade e a área de Segurança da Informação. O princípio estrutural é que ninguém aprove o próprio acesso, independentemente do cargo. Para acessos de nível crítico, o ideal é que a autorização passe por um comitê de segurança ou pelo CIO, com registro formal da justificativa.
Com que frequência a matriz de acessos deve ser revisada?
A periodicidade varia conforme a criticidade do ambiente. Acessos administrativos costumam exigir recertificação trimestral; acessos operacionais, semestral; acessos de consulta, anual. Acessos de nível crítico não deveriam ter prazo fixo, e sim expiração automática ao término da tarefa aprovada. Revisões anuais isoladas deixam a empresa exposta durante a maior parte do ciclo.
Restringir privilégios não vai travar a produtividade da equipe de TI?
Não, quando o modelo é desenhado por função e apoiado em concessão sob demanda. O profissional recebe a permissão necessária no momento em que precisa dela, sem etapas burocráticas manuais, e a perde automaticamente ao concluir a atividade. O atrito percebido costuma vir de políticas mal desenhadas, que confundem restrição com obstrução.
A LGPD obriga a empresa a ter uma política de acesso privilegiado?
A lei não usa esse termo literalmente. O artigo 46 exige medidas técnicas e administrativas capazes de proteger dados pessoais contra acessos não autorizados, e a fiscalização cobra evidência de que esse controle existe e funciona. Na prática, demonstrar rastreabilidade individual e revisão periódica de permissões sem uma política formal é inviável.
Empresas de médio porte precisam de todo esse controle?
Sim, e frequentemente com mais urgência do que grandes corporações. Equipes menores concentram múltiplos privilégios em poucas pessoas, o que amplia o impacto de uma única credencial comprometida. O nível de formalismo pode ser proporcional ao porte, mas o inventário, a matriz e o ciclo de revisão são indispensáveis em qualquer escala.
Fontes e referências
- Lei nº 13.709/2018 — Lei Geral de Proteção de Dados Pessoais (Presidência da República)
- Autoridade Nacional de Proteção de Dados — ANPD (gov.br)
- Cybersecurity and Infrastructure Security Agency — CISA
Conteúdo produzido pela equipe técnica da DAMSafe, Distribuidor de Valor Agregado especializado em cibersegurança e gestão de ativos de TI, com atuação consultiva em projetos de governança de identidades para empresas de médio e grande porte no Brasil.
