Controlo de acessos e cibersegurança na gestão de documentos

O controlo de acessos e a cibersegurança na gestão de documentos respondem a uma pergunta essencial: quem pode ver, alterar ou apagar cada documento, e como é que a organização o consegue provar? Numa plataforma que guarda contratos, dados de trabalhadores e informação técnica, esta pergunta não admite uma resposta aproximada.

Em síntese

O controlo de acessos assenta em três elementos: autenticação, autorização e registo.
O princípio do menor privilégio limita o impacto de erros, de contas comprometidas e de utilizações indevidas.
As permissões devem seguir perfis definidos, e não pedidos individuais acumulados ao longo dos anos.
Revisões periódicas de acessos e registos de auditoria são o que transforma regras em evidência.

Os três elementos do controlo de acessos

Elemento	Pergunta	Exemplos de controlos
Autenticação	Quem é esta pessoa?	Contas individuais, autenticação multifator, bloqueio após tentativas falhadas
Autorização	O que pode ver e fazer?	Perfis, permissões por pasta, entidade ou tipo de documento, segregação de funções
Registo	O que fez e quando?	Registos de acesso, de alteração e de eliminação, alertas para comportamentos anómalos

Os três elementos dependem uns dos outros: falhar num deles fragiliza os restantes. Por exemplo, permissões bem desenhadas valem pouco se várias pessoas partilharem a mesma conta, porque deixa de ser possível saber quem fez o quê.

O princípio do menor privilégio

Cada utilizador deve ter acesso apenas à informação de que precisa para a sua função, e durante o tempo em que precisa dela. Embora pareça óbvio, este princípio é frequentemente esquecido na prática: um colaborador muda de função e mantém os acessos antigos; um prestador termina o contrato e a conta continua ativa; um administrador concede permissões amplas para resolver um problema urgente e nunca as retira.

O menor privilégio não é, portanto, uma configuração que se faz uma única vez. Pelo contrário, é uma disciplina que exige revisão regular. Ao mesmo tempo, reduz o impacto de qualquer incidente, porque uma conta comprometida só expõe aquilo a que tinha acesso.

Perfis em vez de exceções

Numa plataforma de gestão documental, a forma mais robusta de gerir permissões é definir perfis por função, como analista documental, gestor de contrato, responsável HSE, prestador ou auditor, e atribuir cada utilizador a um perfil. Assim, as permissões ficam coerentes, a criação de novas contas torna-se rápida e as revisões tornam-se possíveis.

Contudo, quando cada utilizador recebe permissões à medida, ao fim de alguns anos ninguém consegue explicar porque é que determinada pessoa vê determinada informação. Por isso, as exceções devem ser raras, justificadas, aprovadas e com data de fim.

Segregação de funções

Algumas combinações de permissões criam riscos próprios. Por exemplo, a mesma pessoa não deve conseguir submeter um documento em nome de um prestador e validá-lo, nem alterar um registo e apagar o respetivo histórico. Da mesma forma, quem administra a plataforma não deve, em regra, aprovar exceções ao processo documental. Assim, a segregação de funções protege a organização contra erros e contra fraudes, e protege também os próprios utilizadores, cuja atuação fica clara e verificável.

Encriptação e proteção dos dados

O controlo de acessos atua sobre quem usa a plataforma. Por outro lado, a encriptação protege os dados quando circulam na rede e quando estão armazenados, incluindo nas cópias de segurança. Em conjunto, estes controlos reduzem o risco de exposição mesmo em cenários de falha, como o roubo de um disco ou a interceção de uma comunicação. Nesse sentido, ao avaliar uma plataforma, a organização deve confirmar que a encriptação em trânsito e em repouso está garantida e saber quem gere as chaves.

Registos de auditoria: O que guardar

acessos bem-sucedidos e falhados, com data, hora e origem;
consultas, descargas, alterações e eliminações de documentos sensíveis;
alterações de permissões e de perfis;
decisões de validação e de exceção.

Os registos devem estar protegidos contra alteração e ter um prazo de conservação definido. No entanto, guardar tudo indefinidamente não é a resposta: o prazo deve ser proporcional à finalidade e, quando os registos incluem dados pessoais, respeitar o RGPD.

Revisões periódicas de acessos

Pelo menos uma vez por ano, e sempre que existam reorganizações, os responsáveis de cada área devem confirmar se as pessoas da sua equipa mantêm os acessos adequados. As contas sem atividade, as contas de prestadores com contratos terminados e as permissões de administração merecem especial atenção. Desse modo, a organização corrige desvios antes de se tornarem incidentes.

Exemplo: O acesso que ficou para trás

Um técnico de HSE muda de instalação e passa a trabalhar noutra região. Seis meses depois, continua a ver a documentação de trabalhadores da instalação antiga, incluindo fichas de aptidão. Ninguém lhe retirou os acessos, porque o pedido de mudança tratou apenas das novas permissões. Numa revisão de acessos, porém, a situação é detetada e corrigida. Sem essa revisão, a organização teria um acesso desnecessário a dados pessoais sensíveis, difícil de justificar perante uma autoridade de controlo.

Acesso lógico e acesso físico: A mesma lógica

Em muitas organizações, o controlo de acessos à plataforma documental e o controlo de acessos às instalações são geridos por equipas diferentes. Todavia, a lógica é a mesma: só deve entrar quem cumpre as condições definidas. Por isso, quando o estado documental de um trabalhador externo alimenta o sistema de acessos físicos, a organização garante coerência entre o que a documentação diz e o que acontece na portaria. Além disso, quando alguém deixa de trabalhar com a organização, a desativação da conta e a revogação da credencial física devem acontecer em simultâneo.

Erros comuns

Contas partilhadas. Os registos deixam de identificar quem realizou cada ação.
Permissões acumuladas. Quem muda de função mantém acessos de que já não precisa.
Administradores em excesso. Cada conta de administração é um alvo privilegiado para um atacante.
Registos que ninguém consulta. Sem alertas nem análise, os registos só têm utilidade depois do incidente.
Prestadores esquecidos. Contas de empresas que já não trabalham com a organização continuam ativas.

Indicadores para acompanhar

número de contas com permissões de administração;
contas sem atividade há mais de 90 dias;
percentagem de contas com autenticação multifator;
tempo médio entre a saída de uma pessoa e a desativação da sua conta;
tentativas de acesso falhadas e alertas tratados.

Em conjunto, estes indicadores dão à gestão uma visão simples do estado do controlo de acessos, sem exigir conhecimentos técnicos detalhados.

Controlo de acessos e cibersegurança: Implementação em cinco passos

Classificar a informação. Em primeiro lugar, identificar que documentos são públicos, internos, confidenciais ou contêm dados pessoais sensíveis.
Definir perfis. Em seguida, associar cada função a um conjunto de permissões, com base no menor privilégio.
Reforçar a autenticação. Além disso, aplicar autenticação multifator, começando pelos administradores e pelas contas com acesso a dados sensíveis.
Ativar registos e alertas. Assim, os acessos e as alterações ficam rastreáveis e os comportamentos anómalos são sinalizados.
Rever com regularidade. Por fim, programar revisões de acessos e corrigir desvios.

Perguntas frequentes

Quem deve aprovar as permissões?

O responsável pela informação, normalmente a chefia da área que a produz ou utiliza. A equipa de sistemas executa a configuração, mas a decisão sobre quem precisa de ver o quê pertence ao negócio.

Os prestadores devem ter acesso à plataforma?

Sim, quando submetem e atualizam a sua documentação, mas devem ver apenas a informação da sua empresa e dos seus trabalhadores, com contas individuais e autenticação adequada.

Que diferença faz uma plataforma na nuvem?

Numa plataforma em regime de serviço, parte da segurança é responsabilidade do fornecedor, como a infraestrutura, a encriptação e as cópias de segurança. Contudo, a gestão de utilizadores, perfis e permissões continua a ser da organização. Por isso, convém clarificar no contrato quem faz o quê e como a organização acede aos registos de auditoria.

Com que frequência devemos rever os acessos?

Em geral, pelo menos uma vez por ano para todos os utilizadores e com maior frequência para contas de administração e de prestadores. Reorganizações, fusões ou mudanças de fornecedor justificam, igualmente, revisões extraordinárias.

Questões para a gestão de topo

Quando fizemos a última revisão de acessos à plataforma documental?
Quantas contas têm permissões de administração e porquê?
Conseguimos saber quem consultou um documento sensível no último mês?

Conclusão

Em suma, o controlo de acessos e a cibersegurança na gestão de documentos não dependem de uma tecnologia isolada, mas de um conjunto coerente de regras, perfis, registos e revisões. Quando estes elementos funcionam em conjunto, a organização protege a informação e consegue, ao mesmo tempo, demonstrar essa proteção a clientes, auditores e autoridades.

Assim sendo, o melhor ponto de partida é, muitas vezes, o mais simples: listar quem tem acesso hoje, confirmar se precisa dele e corrigir o que não faz sentido. Esse exercício, repetido com regularidade, já elimina uma parte significativa do risco.

A AISP-GEDOC apoia as empresas na gestão documental em plataformas digitais, incluindo a definição de perfis, permissões e regras de acesso.

Para aprofundar: Gestão documental: Guia completo para empresas.

Plataforma eGestiona