Resposta direta
A credencial sem rotação periódica se mede pelo uso, não pela data de criação. Interessa há quanto tempo ela existe, quantos sistemas ainda dependem dela, qual o alcance da permissão e se há registro de quem a usou e quando. Sem esses quatro dados, o risco fica no achismo e a discussão vira opinião. A medição existe para priorizar. Credencial antiga e sem uso observado é candidata a remoção. Credencial antiga e em operação exige plano, janela e responsável antes de qualquer troca. O indicador relevante não é a troca em si, e sim quanto tempo a operação passa sem saber o que está exposto.
- Objetivo
- Explicar medição
- Formato indicado
- Workshop executivo
- Atualizado em
O que esta página acrescenta: Mede a credencial pela combinação de idade, uso, alcance e responsável, em vez de olhar apenas o vencimento.
Os quatro dados que mudam a conversa
Idade isolada diz pouco. Uma credencial criada há muito tempo, com permissão restrita e uso conhecido, é um problema administrável. Uma credencial recente com acesso amplo e sem dono definido é pior. A medição precisa juntar idade, alcance da permissão, frequência de uso e responsável nomeado.
O último uso observado é o dado mais útil e o mais ignorado. Ele separa o que está sustentando a operação do que ficou esquecido depois de uma migração ou de um teste. Onde não há registro de uso, o que falta é instrumentação, não uma estimativa.
Da medida para a ordem de tratamento
Medir não é trocar tudo. O resultado esperado é uma fila. No topo ficam as credenciais de permissão ampla, sem responsável e sem uso recente. No fim ficam as restritas, com dono e uso estável. A fila é revisada em ciclo definido, com registro de quem decidiu manter cada item e por quê.
Cada decisão de manter precisa de justificativa escrita e prazo de revisão. Sem isso, a lista vira inventário morto e o mesmo levantamento é refeito no ano seguinte, com o mesmo resultado.
O que a medição não resolve
Medir exposição não elimina exposição. A credencial continua válida enquanto estiver ativa, e o risco permanece entre a decisão e a execução da troca. A medição também não aponta vazamento ocorrido em silêncio: ausência de registro de uso não prova ausência de uso.
Em ambiente onde não existe log de autenticação nem inventário de segredos, a medição produz uma lista incompleta. Nesse caso, o primeiro resultado é a lacuna de instrumentação, não a fila de prioridades.
Recurso prático
Da contagem à decisão de troca
- Levantar cada credencial ativa de automação e registrar em quais sistemas ela é usada.
- Anotar, para cada uma, a data de criação e a data do último uso observado em log.
- Classificar o alcance da permissão: leitura, escrita, administração ou acesso a dado sensível.
- Cruzar idade, uso e alcance para separar o que é remoção simples do que exige plano e janela.
- Atribuir responsável e ordem de tratamento para as credenciais de maior exposição.
O erro mais comum é medir apenas pela data de criação. Credencial antiga sem uso registrado costuma ser mais perigosa que a antiga em operação, porque ninguém sabe até onde ela alcança nem quem ainda depende dela.
Sobre o que está escrito aqui
Conceitos relacionados: rotação de credencial · idade da credencial · escopo de permissão · último uso observado · responsável pela chave. Exemplos são ilustrativos. Não há cliente, resultado, preço, prazo ou certificação nesta página. Quando o formato indicado é Workshop executivo, ele descreve uma possibilidade de trabalho — a conversa inicial avalia contexto e aderência.
Para continuar
- Governança e controle de automação — Página central do tema
- Chave de API sem prazo de validade: o que com… — chave de API sem prazo de validade
- Chave de API sem prazo de validade: onde fica… — chave de API sem prazo de validade
Páginas relacionadas
O mesmo problema em outro objetivo
- Credencial sem rotação: onde o risco se acumula — Diagnosticar
- Credencial sem rotação: o processo de controle — Organizar um processo
- Credencial sem rotação: o que comparar antes de decidir — Comparar alternativas
- Credencial sem rotação: como compensar com outros controles — Orientar implementação
- Credencial sem rotação: critérios antes de contratar — Orientar avaliação e contratação
Outras leituras em Governança e controle de automação
- Acessos excessivos de robôs: desenho do perfil estrito — Roteiro técnico e critérios de auditoria para mapear chamadas reais, revogar privilégios administrativos e restringir credenciais de rotinas automatizadas.
- Chave de API sem validade: como medir o risco — Registro e acompanhamento de chaves de API sem data de expiração, com critério de idade, uso e responsável para decidir troca ou revogação.
- Chave de API sem prazo de validade: o que comparar — Compara formas de tratar chaves de API sem expiração por escopo, revogação, rastro de uso e responsável pela revisão.
- Segredo em texto no fluxo: onde ele aparece e quem responde — Onde senhas, tokens e chaves ficam em texto no fluxo, quem responde por cada ponto e como o processo de guarda, troca e revogação se sustenta.
- Acesso concedido sem autor: o que o registro precisa provar — O que o registro de autorização precisa conter, onde deve ficar e por que registro reconstruído depois não serve como prova.