Resposta direta
Quando a troca periódica não é viável, o controle migra para outros pontos. O escopo da credencial é reduzido ao mínimo de operações necessárias, um responsável é nomeado, o uso passa a ser monitorado por evento e a validade é revisada por gatilho, não por calendário. O ponto crítico é a condição de saída: sem ela, a exceção vira permanente. Manter uma credencial sem rotação é uma decisão registrada, com quem a aprovou e em que circunstância ela deixa de valer.
- Objetivo
- Orientar implementação
- Formato indicado
- Workshop executivo
- Atualizado em
O que esta página acrescenta: Trata a credencial sem rotação como exceção formal, com controles que substituem a troca e condição de saída escrita, em vez de tratar apenas como risco a reduzir.
O que assume a função da troca periódica
A troca periódica cumpre duas funções: limita o tempo de uso de um segredo vazado e força a revisão de quem ainda precisa do acesso. Quando ela não é possível, essas funções precisam de outro dono. O escopo passa a ser o limite principal: quanto menos operações a credencial permite, menor o efeito de uma cópia indevida.
O monitoramento assume a segunda função. Em vez de revisar a cada troca, revisa-se a cada evento: uso fora do horário esperado, volume acima do padrão, chamada a sistema que não faz parte do fluxo, execução a partir de origem diferente. Cada alerta precisa de destinatário definido antes de ser ligado, e o destinatário precisa ter autoridade para suspender a automação.
A decisão precisa existir por escrito
Manter uma credencial sem rotação é uma decisão, não uma omissão. O registro mínimo tem quatro campos: motivo da exceção, responsável nomeado, controles aplicados e condição de saída. O nome de quem aprovou também entra, porque a decisão sobrepõe uma prática de segurança já acordada.
A condição de saída é o que impede a exceção de virar padrão. Ela pode ser um evento, como troca de fornecedor, mudança no sistema que consome a credencial ou saída do responsável, ou uma data de revisão. Sem esse gatilho, a credencial permanece em uso até que alguém a encontre durante uma auditoria ou um incidente.
O que essa abordagem não resolve
Esse desenho reduz exposição, não elimina risco. Credencial sem rotação continua sendo um segredo estático: se for copiada, permanece válida. O monitoramento detecta uso fora do padrão, não uso indevido dentro do padrão. Uma automação que já tem permissão para ler uma base pode lê-la para outro fim sem gerar alerta.
A abordagem também não se aplica quando a credencial é compartilhada por várias pessoas ou times sem identificação individual. Nesse caso não existe responsável real e o controle vira documentação. Antes de formalizar a exceção, cabe verificar se a troca é de fato impossível ou apenas inconveniente.
Recurso prático
Formalizar exceção de credencial sem rotação
- Registro da credencial: sistema de origem, sistemas que ela acessa, operações permitidas e quem a utiliza.
- Motivo declarado da exceção: impedimento técnico ou contratual, com data e autor da declaração.
- Escopo reduzido: lista das permissões mantidas e das removidas por ausência de uso identificado.
- Responsável nomeado pela credencial, distinto de quem opera a automação que a utiliza.
- Gatilhos de alerta: uso fora do horário esperado, volume acima do padrão, origem diferente, sistema fora do fluxo.
- Condição de saída: evento ou data de revisão em que a exceção deixa de valer, com plano de substituição associado.
- Aprovação registrada: quem aprovou, quando, e onde o registro fica consultável.
O erro mais comum é tratar a exceção como assunto do time técnico. Sem responsável nomeado e sem condição de saída escrita, a credencial sem rotação deixa de ser exceção e passa a ser o padrão, e ninguém tem autoridade para revertê-la.
Conceitos usados nesta página
- Responsável nomeado — Responsável nomeado é a pessoa identificada — não a área — que responde por um número, processo ou entrega.
Sobre o que está escrito aqui
Conceitos relacionados: credencial de longa duração · escopo mínimo de permissões · responsável nomeado · revisão por evento · plano de substituição. Exemplos são ilustrativos. Não há cliente, resultado, preço, prazo ou certificação nesta página. Quando o formato indicado é Workshop executivo, ele descreve uma possibilidade de trabalho — a conversa inicial avalia contexto e aderência.
Para continuar
- Governança e controle de automação — Página central do tema
- Credencial compartilhada: como atribuir o uso… — credencial usada por mais de uma pessoa
- Credencial compartilhada: dono, rastro e revo… — credencial usada por mais de uma pessoa
Páginas relacionadas
O mesmo problema em outro objetivo
- Credencial sem rotação: onde o risco se acumula — Diagnosticar
- Credencial sem rotação: o processo de controle — Organizar um processo
- Credencial sem rotação: o que comparar antes de decidir — Comparar alternativas
- Credencial sem rotação: o que medir para saber o risco — Explicar medição
- Credencial sem rotação: critérios antes de contratar — Orientar avaliação e contratação
Outras leituras em Governança e controle de automação
- Credencial compartilhada: dono, rastro e revogação — O que precisa estar no contrato de uma credencial compartilhada: responsável nomeado, registro de uso e condição de revogação.
- Mudança em produção sem aviso: o que definir no contrato — O que definir em contrato para que toda mudança em produção tenha aviso prévio, responsável nomeado e retorno combinado.
- Rotina crítica sem plantão: quem responde e até quando — Sobre a escolha entre plantão e janela de operação: quem responde pela rotina crítica, o critério de parada e onde as exceções ficam registradas.
- Alerta que ninguém recebe: onde definir quem responde — Compara quatro destinos possíveis para um alerta sem responsável nomeado e mostra o que cada um exige em registro, prazo de confirmação e escalonamento.
- Monitoramento que depende de alguém olhar: o que comparar — Compara alerta automático, revisão periódica e amostragem de auditoria por tempo de detecção, custo de atenção, cobertura e responsável.