Controle de acesso lógico: o que é, tipos e como aplicar na PME

Controle de acesso lógico é o conjunto de regras e ferramentas que decide quem entra em cada sistema, arquivo ou rede da empresa e o que pode fazer lá dentro. Ele funciona em três passos: confirmar quem é a pessoa (login e MFA), liberar só o que a função exige e registrar o uso para revisão.

É diferente da catraca e do crachá. Este texto explica a diferença, os tipos de controle que você vai ouvir no mercado e um caminho prático para aplicar numa PME.

O que é controle de acesso lógico, na definição técnica?

O NIST, instituto de padrões dos Estados Unidos, define um sistema de controle de acesso lógico como um sistema automatizado que controla a capacidade de uma pessoa acessar recursos computacionais. Segundo o glossário do NIST, esse sistema exige validar a identidade da pessoa por algum mecanismo e consegue atribuir privilégios diferentes a pessoas diferentes.

Traduzindo para o dia a dia: o controle de acesso lógico responde a três perguntas.

• Quem é você? Autenticação: usuário, senha, segundo fator, certificado.
• O que você pode fazer? Autorização: ler, editar, aprovar, administrar.
• O que você fez? Registro: logs de acesso que permitem auditar e investigar.

Os recursos protegidos são o ERP, o e-mail, as pastas do servidor, o banco de dados, a VPN, o painel do firewall e os próprios notebooks.

Qual a diferença entre controle de acesso lógico e físico?

O controle físico protege lugares e objetos: portaria, catraca, biometria na porta do CPD, armário com chave. O controle lógico protege informação e sistemas, onde quer que a pessoa esteja.

Os dois se completam. Um servidor numa sala trancada continua exposto se a senha de administrador circula num grupo de mensagens. E um sistema bem configurado perde valor se qualquer visitante pode desligar o equipamento da tomada.

Para o gestor de TI, a diferença prática é esta: com trabalho remoto e sistemas em nuvem, boa parte dos acessos não passa por nenhuma porta física. O controle lógico virou a fronteira principal.

Por que o controle de acesso lógico importa para uma PME?

Porque credencial roubada é uma das portas de entrada mais comuns em incidentes. Segundo pesquisa da Verizon ligada ao Data Breach Investigations Report 2025, o uso de credenciais comprometidas foi o vetor de acesso inicial em 22% das violações analisadas no relatório.

Quando uma senha vaza, o estrago depende do que aquela conta alcança. Um usuário com acesso só ao que precisa causa um incidente menor. Um usuário que é administrador de tudo entrega a empresa inteira.

Há também o lado da conformidade. Auditorias, clientes maiores e a LGPD pedem que a empresa mostre quem acessa dados pessoais e por quê. Sem controle de acesso lógico, essa resposta não existe.

Quais são os tipos de controle de acesso lógico?

Você vai encontrar siglas em propostas e documentações. As três mais comuns:

Controle baseado em papéis (RBAC)

O NIST descreve o RBAC como um modelo em que as ações permitidas são associadas a papéis, e não a cada pessoa individualmente. Na prática, você cria perfis como "financeiro", "vendas" ou "RH" e define o que cada perfil acessa. Quem entra no financeiro herda o perfil. Quem sai perde junto.

É o modelo mais indicado para começar numa PME. A documentação da Microsoft sobre o Azure RBAC mostra a mesma lógica em três elementos: quem recebe o acesso (usuário, grupo ou identidade de serviço), o papel (conjunto de permissões, como ler, gravar e excluir) e o escopo (os recursos a que o acesso se aplica).

Controle baseado em atributos (ABAC)

No ABAC, segundo o NIST SP 800-162, o pedido de acesso é liberado ou negado com base em atributos da pessoa, atributos do recurso, condições do ambiente e um conjunto de políticas. Exemplo: o vendedor acessa o CRM, mas só em equipamento da empresa e só a partir do Brasil.

Dá mais precisão, mas exige atributos confiáveis e políticas bem escritas. Costuma vir depois que os papéis estão organizados.

Controle discricionário e controle obrigatório

No discricionário, o dono do recurso decide quem acessa, como quando alguém compartilha uma pasta. No obrigatório, regras centrais definem o acesso e o usuário não pode alterar. Pastas compartilhadas sem critério são um exemplo comum de discricionário fora de controle.

Como aplicar controle de acesso lógico na empresa?

1. Liste sistemas e donos. Para cada sistema, defina quem responde pelo acesso. TI executa; o dono do negócio aprova.
2. Crie papéis por função. Comece com poucos perfis e associe cada um a um conjunto de acessos. Evite exceções individuais.
3. Centralize a identidade. Uma conta por pessoa, com login único (SSO) onde possível. Assim, desativar a conta corta tudo num ponto só.
4. Exija segundo fator. MFA reduz o efeito de uma senha vazada. Comece por e-mail, VPN e contas de administrador.
5. Separe as contas de administrador. Ninguém usa conta privilegiada no dia a dia. Senhas de admin ficam em cofre, com uso registrado.
6. Ligue o acesso ao ciclo do funcionário. Entrada, mudança de função e saída disparam ajuste de papel, não pedidos soltos por mensagem.
7. Revise com periodicidade. O dono de cada sistema confirma quem ainda precisa de acesso. O que ninguém justifica, sai.

Quando o controle de acesso lógico não resolve sozinho?

Controle de acesso define quem entra. Ele não substitui outras camadas.

• Não corrige sistema desatualizado. Uma falha conhecida no servidor pode ser explorada sem login nenhum. Atualização e proteção de endpoint continuam necessárias.
• Não impede uso indevido por quem tem acesso legítimo. Para isso servem os registros e o monitoramento, que mostram comportamento fora do padrão.
• Não funciona sem processo. Papéis criados uma vez e nunca revisados acumulam permissões. O controle falha quando ninguém é dono da revisão.
• Não protege o que está fora do inventário. Sistema em nuvem contratado por uma área sem passar pela TI fica fora das regras.

Como a Lenanzo Tech ajuda no controle de acesso lógico

A Lenanzo Tech, de Campinas/SP, atua nas camadas que sustentam o controle de acesso lógico:

• Segurança e Identidade, com IGA para provisionar e revisar acessos por papel e SSO/MFA para centralizar o login.
• Senha Segura 360° para acesso privilegiado, com cofre de senhas de administrador e registro das sessões.
• Integração com OneLogin, parceiro da Lenanzo Tech, conforme descrito no post sobre autenticação multifator com OneLogin para PMEs.

Para ver como essas peças se combinam em ambientes com sistemas locais e em nuvem, leia o artigo sobre IGA, SSO/MFA e PAM em ambientes híbridos.

Se quiser mapear como estão os acessos da sua empresa hoje, fale com a equipe da Lenanzo Tech.

Perguntas frequentes

Controle de acesso lógico é a mesma coisa que IAM?

Não exatamente. IAM (gestão de identidade e acesso) é a disciplina mais ampla, que cuida do ciclo de vida das identidades. O controle de acesso lógico é a parte que aplica as regras de quem acessa o quê.

Senha forte já é controle de acesso lógico?

É só a autenticação. Falta definir o que cada pessoa pode fazer depois de entrar e registrar o uso.

Qual tipo de controle a PME deve usar primeiro?

Controle baseado em papéis (RBAC). Ele é mais simples de manter e facilita entrada, mudança e saída de funcionários.

Com que frequência revisar os acessos?

Defina uma periodicidade fixa na política da empresa e revise também a cada mudança de função ou desligamento. Sistemas críticos merecem revisões mais frequentes.

Firewall faz controle de acesso lógico?

Faz em nível de rede, liberando ou bloqueando tráfego. Mas não substitui o controle por usuário dentro de cada sistema.

Fontes

• NIST — Glossary: logical access control system. csrc.nist.gov/glossary/term/logical_access_control_system. Consultado em 22/10/2026.
• NIST — Glossary: role based access control. csrc.nist.gov/glossary/term/role_based_access_control. Consultado em 22/10/2026.
• NIST — Glossary: attribute based access control (NIST SP 800-162). csrc.nist.gov/glossary/term/attribute_based_access_control. Consultado em 22/10/2026.
• Verizon — Additional 2025 DBIR research on credential stuffing. verizon.com/business/resources/articles/credential-stuffing-attacks-2025-dbir-research. Consultado em 22/10/2026.
• Microsoft Learn — What is Azure role-based access control (Azure RBAC)? learn.microsoft.com/azure/role-based-access-control/overview. Consultado em 22/10/2026.