| Provisão de Acesso de Usuários |
Apenas usuários autorizados devem acessar os sistemas |
ISO 27001 A.9.2, DORA Art. 5, NIS2 Art. 21, GDPR Art. 25, MAS TRM 9.1.2, 11.1, LGPD Art. 46, Taiwan FSC §2.2.1.1–2.2.1.3, FCA/PRA, CBEST, GLBA §501(b), APRA CPS 230, HIPAA §164.308(a)(3) |
Depende — criação manual de usuários; governança inconsistente. |
Provisão automatizada por meio de entrega de credenciais criptografadas. |
| Complexidade de Senhas |
Credenciais fortes, únicas e complexas |
ISO 27001 A.9.2.1, PCI DSS 8.2.3, NIST SP 800-63, MAS TRM 11.2.2, LGPD Art. 46, Taiwan FSC §2.2.3.1–2.2.3.2, HIPAA §164.308(a)(5)(ii)(D) |
Senhas fracas ou reutilizadas. |
Credenciais geradas automaticamente, criptografadas e fortes por padrão. |
| Política de Controle de Acesso |
Aplicação baseada em papéis e orientada por políticas |
ISO A.9.1, DORA Art. 6, NIS2 Art. 21, CBEST, LGPD Art. 46, FCA/PRA, Taiwan FSC §2.2.1.5, HIPAA §164.312(a)(1) |
Parcialmente definida, aplicada de forma inconsistente. |
Cofres segmentados orientados por políticas por papel e sistema. |
| Segmentação de Acesso |
Prevenir movimento lateral, minimização de dados |
ISO A.9.1.2, GDPR Art. 5(1)(c), DORA Art. 9, CBEST, LGPD Art. 46, Taiwan FSC §2.2.1.6, HIPAA §164.308(a)(4) |
Estrutura de acesso plana com risco lateral. |
Zonas de acesso segmentadas (Bronze/Prata/Ouro). |
| Menor Privilégio |
Corresponder o acesso ao papel do trabalho |
ISO A.9.2.3, GDPR Art. 5(1)(c), DORA Art. 9, LGPD Art. 46, Taiwan FSC §2.2.1.4, GLBA §501(b), HIPAA §164.308(a)(4) |
Sobrealocação é comum. |
Atribuição de credenciais baseada em papéis e sistemas. |
| Ingresso-Movimentação-Saída |
Atualizações de acesso baseadas em mudanças de papel do usuário |
ISO A.9.2.6, DORA Art. 8, NIS2 Art. 23, APRA CPS 230, MAS TRM 11.1.2, CBEST, FCA/PRA, GLBA §501(b), APRA CPS 230, LGPD Art. 46, Taiwan FSC §2.2.1.7, HIPAA §164.308(a)(3) |
Manual e lento. |
Revogação e provisionamento em tempo real. |
| Armazenamento e Criptografia de Credenciais |
As senhas devem ser criptografadas e invisíveis aos usuários |
ISO A.10.1, GDPR Art. 32, DORA Art. 6, NIS2 Art. 21, PCI DSS 3.4, MAS TRM 11.2.3, APRA CPS 230, Taiwan FSC §2.2.3.2, LGPD Art. 46, HIPAA §164.312(a)(2)(iv) |
Frequentemente visíveis/armazenadas de forma insegura (navegadores, documentos). |
Credenciais criptografadas e invisíveis aos usuários. |
| Segurança de Autenticação |
Login seguro além de senhas (por exemplo, MFA, confiança zero) |
ISO A.9.4.2, DORA Art. 6, NIST SP 800-63B, PCI DSS 8.3, MAS TRM 11.2.4, GDPR Art. 25, Taiwan FSC §2.2.3.3, LGPD Art. 46, HIPAA §164.312(d) |
MFA frequentemente limitado ou contornável; credenciais ainda gerenciadas pelo usuário. |
Acesso criptografado à prova de phishing com MFA opcional. |
| Rastros de Auditoria para Acesso |
Registrar todos os eventos de acesso para rastreabilidade |
ISO A.12.4.1, DORA Art. 9, NIS2 Art. 22, FCA/PRA, MAS TRM 11.2.5, GLBA §501(b), Taiwan FSC §2.2.4.1, LGPD Art. 37, Art. 41, HIPAA §164.312(b) |
Logs básicos; não em tempo real ou completos para auditoria. |
Logs imutáveis em tempo real e painéis de controle. |
| Gerenciamento de Acesso de Terceiros |
Controlar o acesso por fornecedores e cadeia de suprimentos |
ISO A.15, DORA Art. 6(9), NIS2 Art. 21(3), GLBA §501(b), CBEST, APRA CPS 230, MAS TRM 11.3, Taiwan FSC §2.2.5.1, LGPD Art. 42, HIPAA §164.308(b)(1) |
Pouca visibilidade ou controle de terceiros. Acesso de fornecedores não gerenciado. |
Contas de fornecedores segmentadas e criptografadas ou acesso por API, opcionalmente restrito por IP/dispositivo. |
| Revogação de Acesso |
Remover acesso imediatamente se não for mais necessário |
ISO A.9.2.6, DORA Art. 8, NIS2 Art. 23, GDPR Art. 17, GLBA §501(b), CBEST, Taiwan FSC §2.2.1.7, MAS TRM 11.1.2, LGPD Art. 46, HIPAA §164.308(a)(3)(ii)(C) |
Manual, propenso a erros, lento. |
Revogação com um clique a partir do console. |
| Conformidade de Rotação |
Rotação periódica de credenciais |
ISO A.9.2.4, NIST SP 800-53 IA-5, PCI DSS 8.2.4, MAS TRM 11.2.2, Taiwan FSC §2.2.3.4, HIPAA §164.308(a)(5)(ii)(C) |
Depende de usuários/administradores lembrarem de rotacionar. |
Rotação totalmente automatizada ou controlada pelo administrador. |
| Risco de Visibilidade de Credenciais |
Prevenir compartilhamento, reutilização e roubo de senhas |
ISO A.9.4.3, NIS2 Art. 21, GDPR Art. 25, PCI DSS 8.2.5, CBEST, LGPD Art. 46, Taiwan FSC §2.2.3.2, HIPAA §164.312(a)(2)(iv) |
Senhas visíveis aos usuários; propensas a reutilização e vazamentos. |
Os usuários nunca veem ou gerenciam credenciais; não compartilháveis e à prova de phishing. |