Autenticação na gestão de documentos corporativos: Segurança essencial

A autenticação na gestão de documentos é o primeiro controlo que separa a informação da organização de quem não a deve ver. Por isso, quando as credenciais de um utilizador são roubadas ou adivinhadas e a password é a única prova de identidade, a barreira de entrada já falhou e todos os controlos seguintes ficam expostos.

Em síntese

A maioria dos acessos indevidos começa com credenciais comprometidas, através de phishing, reutilização de passwords ou fugas de dados noutros serviços.
A autenticação multifator acrescenta uma prova adicional de identidade e reduz fortemente o efeito de uma password comprometida.
O RGPD exige medidas de segurança adequadas ao risco e a NIS2 refere expressamente a autenticação multifator entre as medidas a considerar pelas entidades abrangidas.
Os fatores não são todos iguais: códigos por SMS são melhores do que nada, mas chaves físicas e passkeys oferecem uma proteção muito superior contra phishing.

Porque a autenticação é o ponto mais exposto

Uma plataforma de gestão documental concentra contratos, documentação de trabalhadores, dados pessoais e informação técnica. Para um atacante, uma única conta com permissões alargadas pode, por conseguinte, valer mais do que qualquer vulnerabilidade técnica. Além disso, o acesso com credenciais válidas é difícil de detetar, porque, à primeira vista, parece um utilizador legítimo a trabalhar normalmente.

As formas mais comuns de comprometer credenciais são conhecidas: emails de phishing que imitam páginas de login, passwords reutilizadas que já foram expostas noutros serviços e passwords fracas que resistem pouco a tentativas automáticas. Logo, confiar apenas na password é, hoje, uma escolha de risco elevado.

O que dizem os referenciais

Referencial	O que estabelece
RGPD, artigo 32.º	Medidas técnicas e organizativas adequadas ao risco para garantir a confidencialidade, a integridade e a disponibilidade dos dados pessoais
Diretiva NIS2, artigo 21.º	Inclui, entre as medidas de gestão de risco, a utilização de autenticação multifator ou de autenticação contínua, quando adequado
ISO/IEC 27001	Prevê controlos de autenticação segura e de gestão de direitos de acesso no sistema de gestão da segurança da informação

Nenhum destes referenciais impõe um produto concreto. Contudo, todos exigem que a organização demonstre que escolheu controlos proporcionais ao risco, e a autenticação forte é, em regra, um dos primeiros.

Fatores de autenticação: Como comparar

Fator	Vantagens	Limitações
Password	Universal e simples	Vulnerável a phishing, reutilização e ataques automáticos
Código por SMS	Fácil de adotar	Exposto a desvio do número de telefone e a phishing em tempo real
Aplicação de autenticação	Não depende da rede móvel e é gratuita	Ainda pode ser contornada por páginas falsas sofisticadas
Chave física ou passkey	Resistente a phishing, porque valida o site verdadeiro	Exige gestão de dispositivos e de recuperação

Em geral, a escolha deve depender do perfil: utilizadores comuns podem usar uma aplicação de autenticação, enquanto administradores e contas com acesso a dados sensíveis justificam fatores resistentes a phishing.

Autenticação na gestão de documentos: Onde aplicar

Utilizadores internos. Por exemplo, equipas de HSE, compras e recursos humanos, que acedem a dados pessoais de trabalhadores.
Prestadores de serviços. Submetem e consultam documentação, mas fazem-no muitas vezes a partir de dispositivos que a organização não controla.
Administradores da plataforma. Uma vez que concentram os privilégios mais amplos, devem usar sempre o fator mais forte disponível.
Integrações. As ligações entre sistemas devem usar credenciais técnicas próprias, com permissões mínimas e rotação periódica.

Passwords: O que mudou nas boas práticas

Durante anos, as regras de passwords centraram-se na complexidade e na mudança frequente. No entanto, as recomendações atuais de referência, como as do NIST nos Estados Unidos, privilegiam outra abordagem: passwords longas, como frases fáceis de memorizar, verificação contra listas de passwords já expostas e mudança apenas quando existe suspeita de comprometimento. Dessa forma, os utilizadores deixam de criar variações previsíveis da mesma password a cada trimestre.

Um gestor de passwords permite, igualmente, usar credenciais únicas em cada serviço, o que evita que uma fuga de dados noutro site abra a porta da plataforma documental. Nesse sentido, a política de passwords e a autenticação multifator devem ser pensadas em conjunto, e não como medidas independentes.

Autenticação e permissões: Duas faces do mesmo controlo

Autenticar responde à pergunta “quem é esta pessoa?”. Por outro lado, as permissões respondem a outra: “o que pode esta pessoa ver e fazer?”. Uma autenticação forte com permissões excessivas continua a ser um risco, porque uma conta legítima comprometida, ou mal utilizada, acede a mais informação do que precisa.

Na gestão documental de prestadores, por exemplo, um prestador deve ver apenas a documentação da sua empresa e dos seus trabalhadores. Da mesma forma, um analista de uma instalação não precisa, em regra, de aceder a dados de outras geografias. Portanto, o princípio do menor privilégio reduz o impacto de qualquer falha de autenticação.

Exemplo: Um acesso indevido que não aconteceu

Uma técnica de compras recebe um email que imita a página de login da plataforma documental e introduz a sua password. Horas depois, alguém tenta entrar na conta a partir de outro país. Como a conta exige um segundo fator, a tentativa falha e o sistema regista o evento. Em seguida, a equipa de sistemas recebe o alerta, força a mudança de password e confirma que não houve acesso aos dados. Sem o segundo fator, o atacante teria acedido, sem qualquer obstáculo, aos documentos de centenas de trabalhadores.

Implementação em cinco passos

Inventariar contas e perfis. Em primeiro lugar, identificar quem acede, a que informação e com que permissões.
Definir a política por perfil. Em seguida, decidir que fator se exige a cada tipo de utilizador.
Preparar a recuperação. Além disso, definir como um utilizador recupera o acesso quando perde o telemóvel ou a chave, sem abrir uma porta lateral.
Comunicar e formar. Explicar aos utilizadores a razão da mudança e ensiná-los a reconhecer tentativas de phishing.
Monitorizar. Por fim, acompanhar tentativas falhadas, acessos fora do padrão e contas sem autenticação forte.

Autenticação de prestadores: Cuidados específicos

Os prestadores de serviços são, muitas vezes, o grupo de utilizadores mais difícil de gerir. Por um lado, mudam com frequência e trabalham para vários clientes. Por outro, acedem à plataforma a partir de computadores e telemóveis que a organização não controla. Assim, alguns cuidados fazem diferença:

cada pessoa da empresa prestadora deve ter a sua própria conta, em vez de uma conta partilhada por toda a equipa;
o contrato deve obrigar o prestador a comunicar de imediato a saída de colaboradores com acesso;
as contas sem atividade durante um período definido devem ser suspensas automaticamente;
o processo de recuperação de acesso deve confirmar a identidade junto do responsável da empresa prestadora.

Desse modo, a organização mantém o controlo sobre quem acede à informação, mesmo quando essas pessoas não fazem parte dos seus quadros.

Erros comuns

Exceções permanentes. Contas “temporariamente” isentas de autenticação forte tendem a ficar assim durante anos.
Contas partilhadas. Cada pessoa deve ter a sua própria conta, para que os acessos sejam rastreáveis.
Recuperação fraca. Um processo de recuperação baseado apenas num email anula o benefício do segundo fator.
Desativação tardia. Contas de colaboradores ou prestadores que saíram devem ser desativadas de imediato.

Perguntas frequentes

A autenticação multifator torna o acesso mais lento?

Ligeiramente, no momento do login. Porém, muitas soluções permitem confiar num dispositivo durante um período definido, o que reduz o incómodo sem abdicar da proteção.

É obrigatória para os prestadores que usam a plataforma?

Depende da política da organização e do risco. Ainda assim, quando os prestadores acedem a dados pessoais ou a documentação sensível, a recomendação é aplicar o mesmo nível de exigência que aos utilizadores internos.

Que indicadores devemos acompanhar?

Os mais úteis são a percentagem de contas com autenticação forte, o número de tentativas de acesso falhadas, os acessos a partir de localizações invulgares e o tempo médio de desativação de contas. Com estes indicadores, a gestão consegue verificar se a política é efetivamente aplicada.

A biometria é uma boa opção?

Pode ser, sobretudo quando desbloqueia uma chave guardada no próprio dispositivo, como acontece com as passkeys. Todavia, os dados biométricos são dados pessoais especialmente sensíveis, pelo que a organização deve preferir soluções em que esses dados não saem do dispositivo do utilizador.

Questões para a gestão de topo

Que percentagem das contas da nossa plataforma documental usa autenticação forte?
Os administradores usam fatores resistentes a phishing?
Em quanto tempo desativamos as contas de quem deixa de trabalhar connosco?

Conclusão

Em suma, a autenticação na gestão de documentos é um controlo simples de explicar e com grande impacto no risco. Quando combinada com permissões adequadas e registos de acesso, transforma a plataforma documental num repositório que a organização consegue proteger e auditar.

O investimento é reduzido quando comparado com o custo de um acesso indevido a documentação de trabalhadores, contratos ou informação técnica. Assim, começar pelas contas com mais privilégios e alargar progressivamente a todos os utilizadores é, em geral, o caminho mais rápido para reduzir o risco sem perturbar a operação.

A AISP-GEDOC apoia as empresas na gestão documental em plataformas digitais, incluindo a definição de perfis, permissões e regras de acesso.

Fontes

Para aprofundar: Gestão documental: Guia completo para empresas.