Resposta direta
A saída começa por separar duas coisas: o acesso que existe e a decisão que o criou. No que já está concedido sem registro, o caminho é reconstruir a autorização com quem está mais perto — dono do processo, responsável técnico, gestor da área — e registrar a data da reconstrução, não a original. Para o que vem depois, a autorização passa a ser pré-requisito do acesso: responsável nomeado, finalidade e data de revisão ficam no mesmo lugar onde a credencial é criada. Sem isso, a revisão periódica não tem contra o que comparar.
- Objetivo
- Organizar um processo
- Formato indicado
- Workshop executivo
- Atualizado em
O que esta página acrescenta: Trata o registro de autorização como item de processo e define o que fazer com o passivo já concedido, em vez de propor apenas um campo novo de formulário.
O que a autorização precisa conter
Um registro útil responde quatro perguntas: quem autorizou, para qual finalidade, com que escopo e até quando vale. O nome precisa ser de pessoa, não de área, porque área não assume responsabilidade quando algo dá errado.
Esse registro fica no mesmo lugar onde a credencial é criada. Guardado em outro sistema, ele se descola do acesso e deixa de ser consultado no momento em que importa, que é a revisão.
O que fazer com o que já está concedido
Para o passivo, a reconstrução é feita em lotes, não acesso por acesso. O dono do processo é a primeira fonte, o responsável técnico é a segunda, e o que não se conseguir atribuir fica explicitamente marcado como sem dono.
Marcar sem dono é melhor do que preencher um nome por conveniência. Um nome errado encerra a busca e esconde o problema; a marcação aberta mantém a pendência visível na próxima revisão.
O que esse registro não resolve
Registrar autorização não impede acesso indevido nem substitui restrição técnica. Quem tem a credencial continua podendo usá-la fora da finalidade declarada, e o registro apenas permite reconstruir o que foi autorizado depois do fato.
Também não cria responsabilidade onde a pessoa já saiu da empresa, e não serve como prova de conformidade sem uma rotina de revisão que confronte o autorizado com o que está ativo. Quando nenhuma área aceita decidir sobre um acesso antigo, o problema é de governança, não de registro.
Recurso prático
O que registrar conforme a origem do acesso
| Origem do acesso | Registro mínimo |
|---|---|
| Concedido antes de o processo existir | Autorizador reconstruído, data da reconstrução e o que permanece sem resposta |
| Concedido por pedido informal | Quem autorizou, finalidade declarada e data de revisão |
| Criado por automação em nome de outra área | Dono do processo, responsável pelo robô e critério de revogação |
| Herdado de pessoa desligada | Marcação de pendente de dono e quem decide o prazo pela área |
O erro mais comum é anotar a data da regularização no lugar da data da autorização original. Isso apaga a diferença entre o que foi decidido à época e o que foi combinado depois, e a revisão seguinte perde a referência.
Sobre o que está escrito aqui
Conceitos relacionados: responsável pela autorização · registro de concessão de acesso · revisão periódica de acessos · trilha de aprovação · autorização reconstruída. Exemplos são ilustrativos. Não há cliente, resultado, preço, prazo ou certificação nesta página. Quando o formato indicado é Workshop executivo, ele descreve uma possibilidade de trabalho — a conversa inicial avalia contexto e aderência.
Para continuar
- Governança e controle de automação — Página central do tema
- Repetição sem limite: onde o controle deixa d… — execução sem limite de repetição
- Repetição sem limite: travas por contagem, te… — execução sem limite de repetição
Páginas relacionadas
O mesmo problema em outro objetivo
- Acesso sem autorizador: como rastrear a decisão de liberação — Diagnosticar
- Acesso sem autor registrado: onde guardar a autorização — Comparar alternativas
- Quem autorizou o acesso: como medir sem registro — Explicar medição
- Acesso concedido sem autor identificado: onde registrar — Orientar implementação
- Acesso concedido sem autor: o que o registro precisa provar — Orientar avaliação e contratação
Outras leituras em Governança e controle de automação
- Segregação de função ausente: o que medir na automação — Explica como medir conflitos de função na automação: que combinações contar, onde registrar e como acompanhar a evolução do indicador.
- Quem cria a automação também libera: papéis sobrepostos — Aponta o acúmulo de papéis na automação, as evidências a examinar e o que esse diagnóstico não alcança.
- Revisão de acesso apenas na admissão: o que comparar — Compara formas de revisar acesso depois da admissão, o gatilho de cada uma e o que cada formato deixa de cobrir.
- Revisão só na admissão: onde ficaram os acessos antigos — Sinais de que a revisão de acessos acontece apenas na admissão, o que observar nos perfis antigos e qual critério de corte documentar.
- Execução sem limite de repetição: o teto no contrato — O que precisa estar definido em contrato e em operação para limitar repetições de execução, quem responde por exceção e o que verificar antes de assinar.