Resposta direta
Medir isso exige comparar duas datas por acesso: quando a pessoa entrou na função e quando o acesso foi revisado pela última vez. A diferença, em dias, mostra por quanto tempo um acesso ficou sem reexame. O indicador útil não é a média da empresa, e sim a distribuição: quantos acessos estão acima do limite definido para aquele tipo de perfil. Quando quase toda a revisão ocorre na entrada, o intervalo cresce junto com o tempo de casa. Isso indica que a revisão virou etapa do onboarding, não rotina de controle.
- Objetivo
- Explicar medição
- Formato indicado
- Workshop executivo
- Atualizado em
O que esta página acrescenta: Trata a revisão de acesso como intervalo mensurável entre dois eventos, e não como checklist de entrada.
O que conta como revisão e o que não conta
Revisão é um evento com data, autor e decisão registrada: manter, reduzir ou revogar. Aprovar a criação do acesso na entrada não é revisão. Cada acesso concedido precisa de uma data de última revisão própria, separada da data em que a pessoa foi admitida.
Quando esse campo não existe, ele pode ser reconstruído a partir dos registros de alteração de perfil. Se nem isso estiver disponível, o primeiro dado a medir é a ausência do registro, não a defasagem.
O que o intervalo entre entrada e revisão mostra
Para cada acesso, calcule os dias desde a última revisão e compare com o limite definido para aquele tipo de perfil. Acessos acima do limite formam a fila de reexame. A fila é o instrumento de trabalho; a média é apenas contexto.
Separe essa fila por perfil e por área responsável. Se os acessos sem revisão se concentram em um perfil amplo ou em uma área sem dono claro, o problema é de responsabilidade definida, não de ferramenta.
O que a medição não decide
A medição mostra defasagem, não risco. Um acesso sem revisão recente pode estar correto; outro revisado ontem pode continuar excessivo. O indicador serve para ordenar o reexame, não para provar que o controle funciona.
Ela também não substitui a decisão de quem responde pelo acesso. Sem responsável nomeado por perfil, a fila cresce e a revisão volta a acontecer só na entrada. Medir sem dono apenas documenta o atraso.
Recurso prático
Defasagem de revisão por acesso
dias_sem_revisao = data_de_hoje - data_da_ultima_revisao ; idade_do_acesso = data_de_hoje - data_de_entrada ; proporcao_no_onboarding = acessos_com_ultima_revisao_no_mesmo_mes_da_entrada / total_de_acessos
- data_da_ultima_revisao
- data
- Data em que o acesso foi mantido, reduzido ou revogado por decisão registrada. Não é a data de criação do acesso.
- data_de_entrada
- data
- Data em que a pessoa assumiu a função que justifica o acesso concedido.
- dias_sem_revisao
- dias
- Tempo decorrido desde a última decisão de revisão sobre aquele acesso.
- proporcao_no_onboarding
- razão
- Fatia dos acessos cuja última revisão ocorreu no mesmo mês da entrada. Valor próximo de um indica revisão concentrada na admissão.
O erro mais comum é acompanhar a média de dias sem revisão. Um acesso antigo, amplo e sem dono desaparece dentro da média puxada por revisões recentes. O número que importa é o pior caso por perfil e quem responde por ele.
Sobre o que está escrito aqui
Conceitos relacionados: revisão de acesso · data de entrada · tempo de casa · perfil de acesso · responsável pela aprovação. Exemplos são ilustrativos. Não há cliente, resultado, preço, prazo ou certificação nesta página. Quando o formato indicado é Workshop executivo, ele descreve uma possibilidade de trabalho — a conversa inicial avalia contexto e aderência.
Para continuar
- Governança e controle de automação — Página central do tema
- Fornecedores de automação: o que exigir antes… — fornecedor sem garantia de controle
- Continuidade: o que fazer quando a automação… — continuidade não testada
Páginas relacionadas
O mesmo problema em outro objetivo
- Revisão só na admissão: onde ficaram os acessos antigos — Diagnosticar
- Revisão de acessos só na admissão: quando revisar de novo — Organizar um processo
- Revisão de acesso apenas na admissão: o que comparar — Comparar alternativas
- Revisão só na admissão: como manter o controle depois — Orientar implementação
- Revisão de acessos só na entrada: o que exigir de quem revisa — Orientar avaliação e contratação
Outras leituras em Governança e controle de automação
- Credencial compartilhada: como atribuir o uso a uma pessoa — O que registrar para separar o uso de uma credencial compartilhada por pessoa e quais medidas indicam risco sem depender de suposição.
- Aprovação humana: como medir se ainda decide algo — Métricas para verificar se a etapa de aprovação humana ainda altera decisões ou apenas confirma o que a automação já fez.
- Mudança em produção sem aviso: como medir a alteração — Descreve como registrar e comparar alterações de automação em produção, definindo estado esperado, responsável e momento da verificação.
- Credencial compartilhada: como implementar o controle — O que definir quando a credencial de automação passa por várias pessoas: dono, forma de uso, registro e gatilho de troca.
- Acesso de terceiro sem revisão: alternativas de controle — Compara quatro formas de tratar acesso de terceiro sem revisão periódica: por prazo, por evento, por dono do processo e por expiração automática.