Perfil e agrupamentos de direitos na Gestão de Identidades e Acessos – Parte 2

Vamos relembrar?  Afinal, vimos na parte 1 deste artigo exploramos os principais motivadores para definir perfil e agrupamentos de direitos na gestão de identidades, etapa essencial para um gerenciamento eficiente e seguro.

• Gerar novos perfis com menor granularidade, ocultando os detalhes técnicos das transações e atributos, sob uma camada contendo uma descrição e um título mais orientado aos processos do negócio;
• Agrupar os direitos em perfis acoplados as funções ou cargos formalmente registrados na fonte de pessoas, seja RH ou base de terceiros;
• A revisão tem por objetivo reorganizar os perfis para refletir alterações na estrutura organizacional;
• Diminuir o número de perfis, por meio de redução de duplicidade de direitos, reclassificação dos gestores e regras de negócios.

 Coleta de informações sobre o sistema

A coleta de informações, portanto, é a primeira atividade prática no projeto, e assim deve ser. Ademais, essa etapa inicial é fundamental para garantir que os perfis sejam definidos com precisão.

Para auxiliar na coleta, confira a lista de questões que quando corretamente respondidas, serão muito úteis na construção ou revisão dos perfis:

• O sistema é modularizado?
• O acesso ao módulo é um atributo do perfil de acesso?
• A autenticação é geral para todos os módulos, ou o usuário precisa se autenticar novamente para ter acesso a outro módulo?
• Agrupe os direitos por área ou outro elemento em comum
• Agrupe os direitos atuais com base no critério de departamento ou área
• Agrupe os direitos atuais com base no critério de função ou atividade
• Agrupe os direitos atuais com base no critério de participação em processo ou atendimento
• Conceda os direitos atuais agrupadamente, como perfil de direitos ou outra denominação similar
• Vincule os direitos atuais diretamente a cargos ou funções definidas na base de RH
• Componha o perfil de direitos do sistema por transações ou elementos similares
• Componha o perfil de direitos do sistema por atributos ou elementos similares
• Componha o perfil de direitos do sistema por operações vinculadas às transações ou elementos similares.
• Os perfis de direitos possuem um responsável claramente definido?
• Os perfis de direitos possuem uma descrição, em linguagem não técnica?
• Possui fluxo de aprovação e revisão?
• Existe um processo de aprovação de perfis de direitos?
• Possui workflow via ITSM, solicitação e concepção de acesso e parametrização de perfil?
• Como é feito o registro da aprovação?
• Existe um processo de revisão de direito, a partir de alteração de dados cadastrais?
• Existe um processo de revisão periódica? Como é feito o registro da revisão?

Critérios e Estratégias de formalização

Com base nas informações coletadas é possível dar andamento a estratégias de revisão. Assim sendo, a definição de perfis, independente da abordagem a ser utilizada, deve considerar critérios previamente estabelecidos.

Recomenda-se validar os critérios com o patrocinador do projeto, os gestores e os responsáveis pela segurança e governança.

Listamos a seguir alguns critérios padrões que, após a validação, podem servir como base para a tomada de decisão:

Rastreabilidade

Quanto maior a capacidade o sistema ou processo em prover rastreabilidade, maior será a segurança na concessão de direitos de acesso. 

Dessa forma, ao planejar a criação de perfis e direitos de acesso dever ser considerando a capacidade do sistema de prover rastreabilidade das ações, mesmo as autorizadas.

Saiba a importância de definir perfis e os agrupamentos das concessões de cada acesso na empresa.

Nível de automação do processo

A automatização de processos, utilizando ferramentas de Workflow e Gestão de Identidades, não é uma garantia absoluta contra erros ou fraudes, mas certamente, a experiência evidencia que, quando corretamente implantadas, o risco é consideravelmente mitigado. 

Implante controles adicionais com um sistema automatizado, como Matriz de Riscos, revisão por alteração de cargo e monitoração de não execução de tarefas, entre outros, que são inviáveis manualmente.

Direitos de leitura a informação

Durante a análise deve ser levantado o questionamento com relação ao tipo de informação que pode ser extraída. Assim também, utilize informações de acesso franqueado às pessoas do departamento ou área, necessárias à execução das atividades diárias, são candidatos a compor perfis padrão. 

Direito de criação de informação

Como criação entendemos inserir no sistema informações novas ou adicionais, vinculadas a pessoas ou entidades. Trate as informações que possam causar perdas ou despesas não programadas de acordo com seu ciclo de vida na organização.

Embora tipicamente, informações financeiras e informações pessoais privadas, são mais críticas e merecem tratamento diferenciado.

Direito de alteração de informações

Avalie a alteração das informações, assim como a criação, com base no tipo de informação tratada. Avalie novamente informações financeiras e pessoais com maior cuidado.

Continuidade das atividades da organização

O acesso das pessoas às informações é a base para o atendimento de clientes e prestação de serviços. Desta forma, um dos itens mais importantes é a garantia de que, durante o processo de criação ou revisão de perfis, não ocorram paradas de serviço ou dificuldades de acesso.

Abordagem departamental

Esta abordagem busca definir perfis com base em um vínculo com o departamento ou área de atuação.

Os passos recomendados para seguir com esta abordagem são:

• Listar os perfis e ordenar por quantidade de programas por perfil;
• Listar os perfis e ordenar por quantidade de pessoas com o perfil concedido;
• Listar os programas, ou transações que compõe os perfis;
• Avalie os perfis de direitos concedidos a inúmeras pessoas e verifique se é possível transformá-los em padrão:
  
  • Inclua direitos para criar um perfil padrão;
    
  • Retire direitos para criar um perfil padrão.
• Validar com os gestores os programas que compõe os perfis concedidos, identificar a criticidade e restrição dos programas:
  • Marque como P os programas que são candidatos a padrão, ou seja, que podem ser concedidos a todas as pessoas da área;
  • Marque os programas como R quando: o programa deve ser de acesso restrito, mesmo na área;
  • Marque o programa como S quando: o programa consta da lista de programas segregados;
  • Marque o programa com um sinal identificador “*” quando: o programa consta da lista do gestor, mas este não reconhece a responsabilidade sobre o programa.
• Como base nas análises descritas acima, e nos critérios de seleção, preparar perfis sugestão, como base nas análises e atividades anteriores:
  • Um ou mais perfis candidatos a padrão;
  • Um ou mais perfis com programas/transações Restritas
  • Um ou mais perfis com programas Segregados (respeitando a segregação)
• Validar o gestor da área, e definir as ações de alteração;
• Validar com o gestor da área os responsáveis por conceder e revisar os perfis;
• Validar com segurança e compliance se é necessária aprovação adicional, por exemplo, por um gestor de segregações.

Abordagem por processo

Esta abordagem busca definir perfis com base em necessidades de atendimento a um processo já definido.  Um processo típico define as ações para atender as necessidades. Os passos recomendados para seguir com esta abordagem são:

• Listar os perfis e ordenar por quantidade de programas por perfil e pessoas com o perfil concedido;
• Avalie os perfis de direitos concedidos a inúmeras pessoas e verifique se é possível transformá-los em padrão.
  
  • Incluir direitos para criar um perfil padrão;
  • Retirar algum direito para criar um perfil padrão.
• Validar o gestor do processo, e definir as ações de alteração;
• Listar os programas, que compõe o Perfil e identificar as éreas a que os direitos estão vinculados.
• Validar com o gestor da área, se é aceitável delegar o poder de aprovação, nomeando os responsáveis por conceder e revisar os perfis;
• Validar com segurança e compliance se é necessária aprovação adicional, por exemplo, por um gestor de segregações.
• Verificar com compliance, qual o nível de formalização é necessário, para registrar a decisão de delegar as aprovações e revisões.

Ferramentas e padrões

Por fim, para as atividades descritas acima, é muito útil o apoio de tecnologia como planilha e ferramenta de base de dados.  As ferramentas permitem importar e exportar as informações, bem como simular situações e construir estruturas que alertem em caso de conflitos. 

Agora que você já entendeu todo o processo do Perfil de agrupamentos de direitos na GIA, enfim, que tal implementar na sua empresa? Converse com um especialista e descubra a solução ideal.

Converse com um especialista e descubra a solução ideal.