Política de controle de acesso: o que ela precisa conter na PME

Uma política de controle de acesso é o documento curto que diz quem pode acessar o quê na empresa, quem aprova cada acesso, quando ele é revisto e como é retirado. Numa PME, ela precisa cobrir cinco pontos: dono de cada sistema, regra de concessão, autenticação, revisão periódica e revogação no desligamento.

O resto é detalhe. Se esses cinco pontos estão escritos e são seguidos, a empresa sai do "cada um pede para quem estiver por perto" e passa a ter controle que dá para auditar.

O que é uma política de controle de acesso?

O NIST, instituto de padrões dos Estados Unidos, define política de controle de acesso como os requisitos de alto nível que especificam como o acesso é gerido e quem pode acessar a informação, em que circunstâncias. Em outras palavras: é a regra antes da ferramenta.

Ela trata de acesso lógico: contas, e-mail, ERP, pastas na rede, sistemas em nuvem, VPN e senhas de administrador. Não trata de catraca, crachá ou portaria. Essa confusão é comum, porque o mesmo termo aparece nos dois assuntos.

A política não precisa ser longa. Duas ou três páginas bastam para uma PME, desde que respondam às perguntas certas e tenham um responsável por mantê-las atualizadas.

Por que a PME precisa de uma política de acesso escrita?

Porque credencial é porta de entrada de ataque. Segundo a Verizon, o uso de credenciais comprometidas foi vetor de acesso inicial em 22% das violações analisadas no relatório DBIR 2025. Quanto mais contas sobrando e permissões acima do necessário, maior a chance de uma senha vazada virar incidente.

Há também o lado da auditoria. A documentação da Microsoft sobre revisões de acesso no Entra ID lembra que direitos de acesso excessivos podem levar a comprometimentos e a apontamentos de auditoria, porque indicam falta de controle. Quem se prepara para a ISO 27001 ou responde a um cliente sobre LGPD vai precisar mostrar essa regra escrita. Se esse é o seu caso, veja o que a TI precisa organizar antes da certificação ISO 27001.

Sem política, cada decisão de acesso depende de quem atende o pedido naquele dia. Com política, a decisão segue um critério que vale para todos.

O que uma política de controle de acesso precisa conter?

O CIS Controls v8, conjunto de boas práticas do Center for Internet Security, organiza a gestão de acessos no Controle 6. As salvaguardas 6.1 a 6.5 fazem parte do grupo básico (IG1), indicado para qualquer empresa. Elas servem de roteiro para os itens da política:

1. Escopo e donos. Liste os sistemas cobertos e quem é o dono de cada um. O dono do ERP financeiro é o gestor financeiro, não a TI. A TI executa; o dono decide.
2. Concessão de acesso. O CIS pede um processo documentado, de preferência automatizado, para conceder acesso na contratação, na troca de função e quando alguém recebe permissões adicionais. A política diz quem pede, quem aprova e onde fica o registro, por exemplo num chamado.
3. Acesso por função. Defina o pacote padrão de cada função: o que o vendedor, o analista financeiro e o estagiário recebem. Isso aplica o princípio do menor privilégio, que é dar a cada pessoa só o necessário para o trabalho.
4. Autenticação. O CIS pede MFA, a autenticação em mais de um fator, em aplicações expostas na internet, no acesso remoto à rede e em todas as contas administrativas, onde houver suporte. A política deixa isso como regra, não como sugestão.
5. Contas privilegiadas. Senhas de administrador não são compartilhadas por e-mail ou planilha. A política diz quem pode ter conta de administrador, por quanto tempo e como o uso é registrado.
6. Revisão periódica. Defina a frequência (trimestral é um ponto de partida comum) e quem revisa. Quem revisa é o dono do sistema, que confirma quem ainda precisa do acesso.
7. Revogação. O CIS pede desativar contas imediatamente no desligamento, na retirada de direitos ou na troca de função. Ele também recomenda desativar em vez de apagar, quando for preciso preservar a trilha de auditoria.
8. Exceções e terceiros. Prestadores, fornecedores e acessos temporários têm data de validade e um responsável interno.

Como fazer a revisão de acessos sem parar a operação?

A revisão é o item que mais falha, porque parece trabalho demais. Na prática, ela é dividida por dono. Exemplo com valores ilustrativos: uma empresa com 40 usuários e 8 sistemas tem 320 combinações de usuário e sistema. Se cada dono revisa só o seu sistema, olha uma lista de até 40 nomes por trimestre.

A Microsoft descreve as revisões de acesso do Entra ID justamente assim: os donos dos recursos confirmam com regularidade quem ainda deve ter acesso. O recurso exige licença do Microsoft Entra ID Governance ou do Microsoft Entra Suite, com algumas funções disponíveis no Entra ID P2. Sem a ferramenta, a mesma revisão pode ser feita com um relatório exportado e um aceite registrado em chamado.

O ponto central é registrar a decisão: quem revisou, quando e o que foi retirado. É esse registro que a auditoria pede.

Quando a política de acesso não resolve?

A política falha em quatro situações comuns:

• Ninguém sabe que ela existe. Se o RH não avisa a TI sobre desligamentos, a regra de revogação imediata não acontece.
• Os sistemas não estão centralizados. O CIS recomenda centralizar o controle de acesso num serviço de diretório ou num provedor de SSO, o login único. Com dez sistemas e dez cadastros separados, revogar tudo no mesmo dia é difícil.
• Não há inventário. Não dá para revisar o acesso a um sistema que a TI não sabe que a empresa usa, como um aplicativo em nuvem contratado direto por uma área.
• Ela vira documento de gaveta. Política sem revisão anual fica desatualizada na primeira troca de sistema.

A política também não substitui a ferramenta. Ela define a regra; a gestão de identidades, o MFA e o cofre de senhas fazem a regra ser cumprida no dia a dia.

Como a Lenanzo Tech ajuda a aplicar a política de acesso

A Lenanzo Tech, de Campinas/SP, trabalha a gestão de acessos em três frentes:

• Segurança e Identidade. Governança de identidades (IGA), login único (SSO) e MFA para centralizar contas, conceder acesso por função e revogar no desligamento. Veja a solução de segurança e identidade e como IGA, SSO, MFA e PAM funcionam juntos em ambientes híbridos.
• Autenticação multifator. MFA com OneLogin para as aplicações da empresa. Entenda por que a PME precisa de autenticação multifator.
• Acesso privilegiado. O Senha Segura 360° para gestão de acesso privilegiado (PAM) guarda senhas de administrador num cofre e registra o uso das contas críticas.

Se a sua empresa ainda não tem a regra escrita, ou tem e não consegue cumpri-la, fale com a equipe da Lenanzo Tech para avaliar o ambiente de acessos.

Perguntas frequentes

Política de controle de acesso é a mesma coisa que política de segurança da informação?

Não. A política de segurança da informação é mais ampla. A política de acesso é uma parte dela, focada em quem acessa o quê.

Quem deve aprovar a política de acesso?

A direção da empresa. A TI redige e executa, mas a aprovação da direção dá à regra força para valer em todas as áreas.

Com que frequência revisar os acessos?

Trimestral é um ponto de partida comum. Contas de administrador e de terceiros pedem revisão mais frequente.

Preciso de ferramenta para ter uma política de acesso?

Para escrever, não. Para cumprir com muitos usuários e sistemas, sim: diretório centralizado, SSO, MFA e cofre de senhas reduzem o trabalho manual.

O que fazer com a conta de quem saiu da empresa?

Desativar no mesmo dia. O CIS recomenda desativar em vez de apagar quando for preciso manter a trilha de auditoria.

Fontes

• Verizon Business. "Additional 2025 DBIR research on credential stuffing". https://www.verizon.com/business/resources/articles/credential-stuffing-attacks-2025-dbir-research/. Consultado em 21/10/2026.
• Center for Internet Security (CIS). "CIS Control 6: Access Control Management" (CIS Controls Assessment Specification). https://cas.docs.cisecurity.org/en/latest/source/Controls6/. Consultado em 21/10/2026.
• NIST, Computer Security Resource Center. "Glossary: access control policy". https://csrc.nist.gov/glossary/term/access_control_policy. Consultado em 21/10/2026.
• Microsoft Learn. "What are access reviews?" (Microsoft Entra ID Governance). https://learn.microsoft.com/en-us/entra/id-governance/access-reviews-overview. Consultado em 21/10/2026.