Sistema de gestão de acessos: o que ele precisa fazer na sua empresa

Um sistema de gestão de acessos é o software que controla quem pode entrar em quais sistemas da empresa, com qual permissão e por quanto tempo. Ele precisa fazer quatro coisas: liberar acessos de forma padronizada, revisar periodicamente quem ainda precisa deles, revogar quando a pessoa sai ou muda de função e registrar tudo para auditoria.

Se faltar uma dessas quatro funções, o controle volta para a planilha, o e-mail e a memória de quem cuida da TI. A seguir, o que cada função resolve, como avaliar uma ferramenta e o que ela não resolve sozinha.

O que é um sistema de gestão de acessos?

É a camada que centraliza as identidades (usuários, administradores, contas de serviço) e as permissões de cada uma nos sistemas da empresa: e-mail, ERP, CRM, pastas na rede, VPN, aplicações em nuvem. No mercado, o tema aparece com a sigla IAM, de gestão de identidade e acesso.

O CIS (Center for Internet Security), no Controle 6 do CIS Controls, descreve o objetivo assim: usar processos e ferramentas para criar, atribuir, gerenciar e revogar credenciais e privilégios de contas de usuários, administradores e serviços. O sistema é a ferramenta. O processo continua sendo da empresa.

Por que controlar acessos virou prioridade de segurança?

Porque a senha roubada é uma porta de entrada frequente para ataques. Segundo a Verizon, o uso de credenciais comprometidas foi vetor de acesso inicial em 22% das violações analisadas no Data Breach Investigations Report (DBIR) 2025.

O mesmo estudo mostra por que isso acontece. No caso mediano, só 49% das senhas de um usuário em serviços diferentes eram distintas entre si. Ou seja, cerca de metade das senhas se repete. Uma senha vazada em um site pessoal pode abrir o e-mail corporativo.

Quanto mais acessos sobram, maior a superfície exposta. Conta de ex-funcionário ativa, permissão que ficou de um cargo anterior e senha de administrador compartilhada são exemplos comuns.

O que um sistema de gestão de acessos precisa fazer?

Quatro funções separam um sistema de gestão de acessos de um simples cadastro de usuários.

1. Provisionar: liberar o acesso certo desde o início

Quando alguém entra na empresa, o sistema cria a conta e atribui os acessos do perfil daquele cargo. Não é o gestor pedindo sistema por sistema por e-mail. A documentação da Microsoft chama isso de fase de entrada (joiner) e descreve fluxos que, por exemplo, enviam e-mail ao gestor antes da data de contratação e geram senha temporária para o primeiro acesso.

2. Revisar: confirmar de tempos em tempos quem ainda precisa

Acesso liberado tende a ficar. A Microsoft, na documentação de revisões de acesso do Entra ID, afirma que direitos de acesso excessivos podem levar a comprometimentos e também a apontamentos de auditoria, porque indicam falta de controle. A revisão periódica pede ao dono de cada sistema ou grupo que confirme, pessoa por pessoa, se o acesso continua necessário.

3. Revogar: tirar o acesso quando a pessoa sai ou muda de função

Aqui aparecem duas falhas frequentes. A primeira é o desligamento: a conta continua ativa dias ou meses depois. A segunda é a mudança de área: a pessoa ganha os acessos novos e mantém os antigos. A Microsoft trata os dois casos como fases distintas do ciclo de vida (mover e leaver), e o sistema deve cobrir ambas, não só a saída.

4. Auditar: registrar quem pediu, quem aprovou e quando

Sem registro, não há como provar controle a um auditor, a um cliente ou à ANPD em caso de incidente. O sistema precisa guardar o histórico de cada concessão e de cada remoção e gerar relatórios sem montagem manual.

Como escolher um sistema de gestão de acessos?

Antes de comparar ferramentas, compare a sua necessidade com estes critérios:

• Integração com o que você já usa. O sistema conversa com o diretório da empresa (Active Directory ou Microsoft Entra ID) e com as aplicações em nuvem? Cada sistema que fica de fora vira exceção manual.
• Ligação com o RH. Admissão, transferência e desligamento disparam ações automáticas, ou alguém precisa lembrar de abrir chamado?
• Perfis por função. Dá para definir pacotes de acesso por cargo ou área, em vez de configurar pessoa por pessoa?
• Revisão com o dono do sistema. A ferramenta envia a revisão para quem conhece o acesso (o gestor da área), e não só para a TI?
• Login único e MFA. Oferece login único (SSO) e autenticação multifator (MFA) para reduzir senhas e dificultar o uso de credencial vazada?
• Acesso privilegiado separado. Contas de administrador têm cofre de senhas, sessão gravada e liberação temporária, ou ficam junto das contas comuns?
• Relatórios prontos. Gera, em poucos cliques, a lista de quem tem acesso a quê e o histórico de mudanças?

Um exemplo com números ilustrativos mostra por que a automação importa. Uma empresa com 50 pessoas e 10 sistemas tem 500 combinações de pessoa e sistema para acompanhar. Com revisão trimestral, são 2.000 decisões por ano. Em planilha, isso dificilmente acontece de forma consistente.

Gestão de acessos e controle de acesso são a mesma coisa?

Não. A busca por "controle de acesso" mistura dois assuntos. Um é o controle de acesso físico: catraca, crachá, biometria na porta. O outro é o controle de acesso lógico, que trata de contas e permissões em sistemas. O sistema de gestão de acessos deste artigo é o segundo. Se a pesquisa trouxer fornecedores de catraca, o tema é outro.

O que o sistema de gestão de acessos não resolve sozinho?

A ferramenta automatiza um processo. Se o processo não existe, ela automatiza a desordem. Os pontos que dependem da empresa:

• Definir quem aprova. Cada sistema precisa de um dono de negócio que responda pelo acesso. Sem isso, a revisão vira um clique em "aprovar todos".
• Avisar a TI a tempo. Se o RH não registra o desligamento no dia, nenhuma automação dispara.
• Cobrir os sistemas fora da integração. Sistemas antigos ou de fornecedores pequenos podem não se conectar. Eles precisam de rotina manual documentada.
• Proteger o dispositivo. Gestão de acessos controla quem entra. Não impede malware em um notebook sem proteção nem vazamento por um celular sem gestão.

Também não substitui a política de acesso. A política diz quem pode ter o quê. O sistema garante que a regra seja cumprida e registrada.

Como a Lenanzo Tech ajuda na gestão de acessos

A Lenanzo Tech, de Campinas/SP, trabalha a gestão de acessos dentro da solução de Segurança e Identidade, com IGA, SSO e MFA. Na prática, isso cobre o ciclo de provisionar, revisar e revogar acessos e o login único com autenticação multifator. O artigo sobre IGA, SSO/MFA e PAM em ambientes híbridos detalha como essas camadas se combinam.

Para MFA, a Lenanzo Tech trabalha com a OneLogin, tema do post sobre autenticação multifator para PMEs. Para contas de administrador, há o Senha Segura 360° para gestão de acesso privilegiado (PAM), com cofre de senhas e controle de sessões.

Se você quer mapear quem tem acesso a quê hoje e por onde começar, fale com a equipe da Lenanzo Tech.

Perguntas frequentes

Qual a diferença entre IAM e IGA?

IAM (gestão de identidade e acesso) é o tema amplo: autenticar e autorizar usuários. IGA (governança de identidade) é a parte que trata de aprovação, revisão periódica e auditoria dos acessos.

Pequena empresa precisa de sistema de gestão de acessos?

Precisa do processo, sempre. A ferramenta passa a valer quando o número de pessoas e sistemas torna a planilha difícil de manter atualizada, ou quando um cliente ou auditoria exige comprovação.

Com que frequência revisar os acessos?

Não há um prazo único. Sistemas com dados sensíveis e contas de administrador pedem revisões mais curtas. O importante é ter uma periodicidade definida na política e cumprida.

MFA resolve o problema de senha vazada?

Ajuda, mas não sozinho. A própria Verizon afirma que o MFA não é mais uma solução completa contra abuso de credenciais, embora tenha se tornado requisito básico.

O sistema de gestão de acessos ajuda na LGPD?

Ajuda a demonstrar que só pessoas autorizadas acessam dados pessoais e a registrar isso. O tema está no post sobre LGPD e segurança da informação.

Fontes

• Verizon Business. "Additional 2025 DBIR research on credential stuffing" (Philippe Langlois). https://www.verizon.com/business/resources/articles/credential-stuffing-attacks-2025-dbir-research/. Consultado em 07/10/2026.
• Center for Internet Security (CIS). "CIS Control 6: Access Control Management". https://www.cisecurity.org/controls/access-control-management. Consultado em 07/10/2026.
• Microsoft Learn. "What are access reviews? – Microsoft Entra ID Governance". https://learn.microsoft.com/en-us/entra/id-governance/access-reviews-overview. Consultado em 07/10/2026.
• Microsoft Learn. "What are lifecycle workflows? – Microsoft Entra ID Governance". https://learn.microsoft.com/en-us/entra/id-governance/what-are-lifecycle-workflows. Consultado em 07/10/2026.