Resposta direta
A resposta prática é tirar a revisão periódica do centro do controle. O acesso de terceiro passa a ser concedido com validade, vinculado a uma tarefa, contrato ou janela de operação, e termina sem depender de alguém lembrar. Quem concede registra motivo, escopo e data limite. Renovação é ato explícito, com justificativa nova e nova aprovação. A revisão continua existindo, mas muda de função: confere exceções e casos antigos, em vez de sustentar o modelo. O efeito é que a permissão esquecida deixa de seguir ativa por padrão, e a decisão se desloca para quem pode renovar e com qual evidência.
- Objetivo
- Orientar implementação
- Formato indicado
- Workshop executivo
- Atualizado em
O que esta página acrescenta: Trata a validade do acesso como mecanismo de controle, em vez de assumir que a revisão periódica vai acontecer.
Por que a revisão periódica não acontece na prática
A revisão depende de alguém comparar uma lista de permissões com a realidade da operação. Essa lista muda quando entra fornecedor novo, quando um contrato é renovado e quando alguém sai do projeto. Se o responsável pela revisão também muda, o ciclo perde dono antes de perder efeito.
O resultado é uma rotina que existe no documento e não na operação. A permissão concedida para um teste de integração segue ativa meses depois, sem uso e ainda válida. Não há sinal de erro, porque o sistema funciona normalmente. O problema aparece em auditoria ou quando a conta é usada fora do previsto.
Validade e responsável definidos na concessão
A concessão passa a ser um registro com quatro campos: quem recebe, o que pode fazer, por quanto tempo e quem responde por isso internamente. A data de expiração é definida antes da liberação. O escopo é vinculado a uma tarefa nomeada, e não ao fornecedor inteiro.
Renovação é um ato separado, com justificativa e aprovação próprias. Acesso recorrente, que precisa durar, tem dono interno e prazo maior, mas continua com data. O padrão muda: sem decisão explícita, a permissão termina. A expiração precisa ser testada em ambiente controlado, porque uma regra de validade que falha derruba integração em produção.
O que essa abordagem não resolve
Validade não corrige escopo amplo. Uma permissão com data e acesso total continua sendo acesso total durante o período. Também não cobre credencial compartilhada entre pessoas nem conta de serviço sem dono, que escapam do registro individual.
Expiração não substitui o acompanhamento de uso. Uma permissão válida pode ser usada de forma diferente da combinada, e isso só aparece se houver registro de operação. Permissões antigas, criadas antes da regra, continuam fora do modelo e exigem decisão à parte. A validade reduz a permissão esquecida, não elimina a necessidade de alguém responder pelas exceções.
Recurso prático
Concessão de acesso a terceiro com validade
- Cada concessão tem data de expiração registrada antes da liberação, não depois
- A permissão está vinculada a uma tarefa ou contrato nomeado, não a um cargo genérico
- Existe um responsável interno pela concessão, distinto de quem recebe o acesso
- Renovação exige justificativa nova e aprovação nova, sem prorrogação automática
- Contas de serviço usadas por terceiros seguem a mesma regra de validade e dono
- A expiração é testada em ambiente controlado antes de a operação depender dela
- Permissões antigas, sem data, entram em lista própria com decisão de revisar, encerrar ou recadastrar
O ponto mais ignorado são as permissões criadas antes da regra. Elas não têm data e ficam fora do modelo, justamente onde a revisão antiga já não acontecia.
Sobre o que está escrito aqui
Conceitos relacionados: acesso temporário · data de expiração · responsável pela concessão · janela de operação · revogação. Exemplos são ilustrativos. Não há cliente, resultado, preço, prazo ou certificação nesta página. Quando o formato indicado é Workshop executivo, ele descreve uma possibilidade de trabalho — a conversa inicial avalia contexto e aderência.
Para continuar
- Governança e controle de automação — Página central do tema
- Dados enviados indevidamente: como rastrear a… — dados enviados indevidamente
- Dado enviado indevidamente: como organizar a… — dados enviados indevidamente
Páginas relacionadas
O mesmo problema em outro objetivo
- Acesso de terceiro sem revisão: como montar o inventário — Diagnosticar
- Acesso de terceiro sem revisão: prazo em vez de lembrança — Organizar um processo
- Acesso de terceiro sem revisão: alternativas de controle — Comparar alternativas
- Acesso de terceiro sem revisão: como medir sem campanha — Explicar medição
- Acesso de terceiro: prazo e revisão dentro do contrato — Orientar avaliação e contratação
Outras leituras em Governança e controle de automação
- Permissão de teste que nunca sai: onde ela fica presa — Como tratar a permissão concedida para teste e nunca removida: responsável pela remoção, prazo, registro e revisão das exceções abertas.
- Credenciais expostas: como reduzir o risco — Três movimentos — acesso individual, guarda própria e revogação — com a regra de aprovação para criar acesso novo.
- Rotina crítica sem plantão: quem responde e até quando — Sobre a escolha entre plantão e janela de operação: quem responde pela rotina crítica, o critério de parada e onde as exceções ficam registradas.
- Permissão de teste que ficou permanente: como medir — Explica como medir permissões temporárias que nunca foram removidas: o que contar, onde registrar a data de validade e quem responde pela revisão.
- Permissão de teste sem prazo: onde a concessão perde o dono — Processo para conceder permissão temporária com dono, prazo e registro de remoção, incluindo o que fazer quando o teste termina e a revisão não acontece.