Os passos
- Escolher os sistemas: começar pelos que guardam dados sensíveis e pelos direitos de administração.
- Exportar as contas e os direitos atuais a partir do próprio sistema.
- Enviar a cada chefia ou dono do sistema a lista a rever.
- Pedir-lhe que mantenha, altere ou remova cada entrada.
- Aplicar as remoções e verificar que foram feitas.
- Guardar as evidências: a lista, as decisões e as alterações.
Com que frequência
A frequência segue o risco: trimestral é comum para acessos privilegiados e sistemas críticos, e de seis em seis a doze em doze meses para o resto. Decida o que decidir, escreva-o na sua política e cumpra-o.
O que escapa aos revisores
- Saídas e mudanças de função cujos acessos nunca foram retirados.
- Contas de serviço sem dono.
- Direitos atribuídos diretamente, fora do modelo de perfis.
- Revisores que aprovam tudo: recolha amostras das suas decisões.
O que dizem as regras
O controlo 5.18 do anexo A da ISO/IEC 27001:2022 abrange os direitos de acesso, incluindo a sua revisão. O requisito 7 do PCI DSS e a HIPAA Security Rule também exigem gerir e rever os acessos.
Perguntas
- Quem deve rever os acessos?
- Alguém que conheça a necessidade: a chefia da pessoa ou o dono do sistema, não apenas quem administra o sistema.
- Que evidências querem os auditores?
- Uma lista completa retirada do sistema, as decisões datadas do revisor e a prova de que as remoções foram feitas.