Resposta direta
Sem troca periódica, o controle passa a ser por evento e por evidência de uso. Cada credencial recebe um responsável nomeado, um escopo mínimo e um gatilho de troca definido: mudança de dono, saída de quem a mantém, alteração de escopo de sistema ou incidente que a envolva. O inventário registra onde ela é usada, quem pode lê-la e qual revisão a mantém. A periodicidade vira consequência desses gatilhos, não um calendário. O que se mede é o tempo desde o último uso legítimo e a quantidade de acessos concedidos. Sem isso, a credencial antiga segue válida e ninguém sabe por quem.
- Objetivo
- Organizar um processo
- Formato indicado
- Workshop executivo
- Atualizado em
O que esta página acrescenta: Trata o controle por evento, com gatilhos, dono e inventário, em vez de discutir exposição, escopo ou registro de incidente.
O que muda quando não existe calendário
Credencial sem troca em prazo definido não fica sem controle. Ela sai do controle por data e passa ao controle por evento. A data de criação deixa de ser o critério de revisão. O que importa é quem responde por ela, o que ela pode fazer e qual evidência mostra que continua em uso legítimo.
A idade da credencial, isolada, diz pouco. Uma credencial antiga com escopo estreito, uso frequente e dono ativo pede menos atenção do que uma credencial recente, ampla e sem responsável. O inventário existe para separar esses dois casos sem depender da memória de quem opera.
Gatilhos no lugar do calendário
Quatro eventos justificam troca imediata: mudança de responsável, saída de quem mantém a credencial, alteração no escopo de permissão e incidente em que ela apareça. Fora deles, a revisão acontece por uso. Sem registro de uso legítimo no período acordado, a credencial entra na fila de troca ou de revogação.
Cada gatilho precisa de dono e de registro. Quando o escopo é amplo, quem aprova a troca não é a mesma pessoa que guarda a credencial. O inventário mantém a data do último gatilho, o responsável e o motivo da última revisão, para que a próxima revisão não dependa de quem estava na equipe antes.
Onde essa organização não chega
A abordagem não substitui a troca periódica onde ela é exigida por contrato, regulação ou pelo próprio fornecedor do sistema. Também não funciona quando o emissor da credencial não permite revogar ou reemitir sem interromper a operação, ou quando a credencial é compartilhada por vários processos e ninguém consegue atribuir uso.
Ela não corrige o risco criado por permissão ampla: se a credencial pode alterar mais do que a automação precisa, o controle por evento apenas registra o excesso. Sem responsável nomeado e sem inventário confiável, os gatilhos não disparam, e a credencial sem rotação segue válida sem que ninguém perceba.
Recurso prático
Índice de prioridade para trocar credencial sem calendário
IP = (Escopo × Alcance × Exposição) × Fator de persistência × Meses sem revisão
- Escopo
- operações
- Quantidade de operações ou sistemas que a credencial pode alterar.
- Alcance
- nota de 1 a 3
- Classificação do tipo de dado acessado, definida pelo próprio time.
- Exposição
- locais
- Quantidade de locais onde a credencial está guardada ou referenciada.
- Fator de persistência
- fator
- Dois quando não há responsável nomeado e revisão registrada; um quando há.
- Meses sem revisão
- meses
- Tempo desde a última revisão registrada no inventário, em dias corridos divididos por 30.
O erro comum é atualizar a nota sem revisar a permissão: escopo e alcance só mudam quando alguém altera o acesso, então o índice fica correto no papel e errado na prática. O ponto mais ignorado é que a base de comparação entre credenciais de donos diferentes não existe enquanto o inventário não estiver completo.
Conceitos usados nesta página
- Responsável nomeado — Responsável nomeado é a pessoa identificada — não a área — que responde por um número, processo ou entrega.
Sobre o que está escrito aqui
Conceitos relacionados: inventário de credenciais · gatilho de troca · responsável nomeado · escopo de permissão · revisão de uso. Exemplos são ilustrativos. Não há cliente, resultado, preço, prazo ou certificação nesta página. Quando o formato indicado é Workshop executivo, ele descreve uma possibilidade de trabalho — a conversa inicial avalia contexto e aderência.
Para continuar
- Governança e controle de automação — Página central do tema
- Automação sem dono: como levantar o que sobrou — fluxo criado por pessoa que saiu da empresa
- Fluxo de quem saiu da empresa: comparar o que… — fluxo criado por pessoa que saiu da empresa
Páginas relacionadas
O mesmo problema em outro objetivo
- Credencial sem rotação: onde o risco se acumula — Diagnosticar
- Credencial sem rotação: o que comparar antes de decidir — Comparar alternativas
- Credencial sem rotação: o que medir para saber o risco — Explicar medição
- Credencial sem rotação: como compensar com outros controles — Orientar implementação
- Credencial sem rotação: critérios antes de contratar — Orientar avaliação e contratação
Outras leituras em Governança e controle de automação
- Chave de API sem validade: como separar risco de rotina — Critérios para identificar chaves de API sem data de expiração, separar as que sustentam operação crítica e decidir onde agir primeiro.
- Acessos excessivos de robôs: desenho do perfil estrito — Roteiro técnico e critérios de auditoria para mapear chamadas reais, revogar privilégios administrativos e restringir credenciais de rotinas automatizadas.
- Alerta que ninguém recebe: onde definir quem responde — Compara quatro destinos possíveis para um alerta sem responsável nomeado e mostra o que cada um exige em registro, prazo de confirmação e escalonamento.
- Fornecedor em operação: como integrar sem perder controle — O que definir para um fornecedor de automação entrar em operação: acessos, responsabilidade, limites de atuação, registro e critérios de revisão.
- Fluxo de quem saiu da empresa: como assumir a operação — Automação sem dono após desligamento: levantar o comportamento observado, decidir manter, corrigir ou desligar, nomear responsável e testar antes de liberar.