Quem pode aceder a quê: o núcleo do controle de acesso
O controle de acesso responde a uma pergunta: quem tem acesso a que sistema e por que essa pessoa específica e não outra. No âmbito da obrigação de cuidado da NIS2, esta é uma das medidas que uma organização deve poder demonstrar, e na prática é também a medida sobre a qual os questionários de segurança mais frequentemente e incisivamente fazem perguntas. Isto não é coincidência: um atacante que consiga entrar uma vez procurará contas com demasiados direitos, e o controle de acesso é precisamente a medida que isto limita.
Para um prestador de serviços TIC, isto surge de três formas: gestão remota de sistemas próprios e do cliente, acesso direto aos sistemas do cliente e o papel dos subcontratados que por vezes também necessitam de acesso. Cada forma coloca uma questão ligeiramente diferente, e um cliente que envia o questionário pretende respostas sobre todas as três.
Gestão remota: o primeiro alvo de um questionário
Na gestão remota, a questão não é apenas se é necessária uma palavra-passe, mas quem precisamente pode fazer login, com que conta, e se tal pode ser rastreado até uma pessoa. Uma conta de gestão partilhada utilizada por toda a equipa é difícil de avaliar para um supervisor ou cliente: se algo correr mal, não é possível estabelecer quem estava dentro naquele momento. A autenticação multifator no acesso de gestão é já o mínimo que se pede, e muitos questionários também querem saber se as sessões são registadas e se o acesso expira automaticamente após um período de inatividade.
O pensamento subjacente chama-se, na regulamentação, o princípio do acesso mínimo: uma pessoa recebe apenas direitos para o necessário na sua tarefa, nada mais. Para uma empresa de instalação ou um gestor de TI, isto soa abstracto, mas na prática reduz-se a uma verificação simples: um técnico que apenas faz manutenção de impressoras consegue também aceder à administração financeira? Se não, então isto já é uma indicação de que o controle de acesso está em ordem.
Acesso aos sistemas do cliente: por que isto é perguntado separadamente
Quando um prestador de serviços TIC faz login diretamente nos sistemas de um cliente, surge uma camada adicional. O cliente quer então não apenas saber como o prestador de serviços protege o seu próprio acesso, mas também como se evita que uma conta do prestador de serviços seja um ponto de entrada para o resto da rede do cliente. Os questionários perguntam portanto frequentemente separadamente sobre segmentação: o acesso é limitado ao sistema para o qual se destina, ou um técnico a partir dessa única conta consegue também aceder a outras partes.
Esta é precisamente a razão pela qual os clientes tratam este assunto com prioridade acima de questões mais gerais. Uma organização obrigada a cuidado deve avaliar os seus fornecedores, e o acesso aos seus próprios sistemas é o risco mais concreto que pode apontar. Um fornecedor que aqui como prestador já tem uma resposta clara — quem pode fazer login, com que direito, e como isto é revisto periodicamente — poupa-se a uma série de questões de seguimento. em que se explora por tema o que uma medida exactamente significa fornece um ponto de partida para isto.
Subcontratados: a mesma pergunta, uma ligação mais adiante
Logo que um subcontratado trabalhe numa tarefa, a pergunta não desaparece mas desloca-se uma ligação mais adiante na cadeia. Um cliente que avalia o controle de acesso do prestador de serviços também quer saber se esse prestador de serviços por sua vez tem controlo sobre o acesso dos seus próprios subcontratados. Uma conta para um subcontratado é criada separadamente e revogada assim que a tarefa é concluída, ou o acesso permanece silenciosamente? Este último é uma das descobertas mais comuns quando o controle de acesso é examinado em profundidade: contas que uma vez foram necessárias, mas nunca foram limpas.
Uma prática concreta é então associar o acesso à duração da missão e designar um proprietário fixo responsável pela sua revogação. Quem consegue identificar isso — um nome, não uma função em sentido geral — fornece uma resposta mais concreta a um questionário do que uma mera descrição de política.
O que isto significa para o seu próprio dossiê
A gestão de acesso não é uma medida que se configura uma vez e depois se deixa de lado; é um registo que tem de ser mantido sempre que os papéis, clientes ou subcontratantes mudem. Para quem ainda tem de determinar se isto é relevante como obrigação sectorial ou de cadeia de fornecimento, a verificação em algumas perguntas fornece uma primeira indicação de onde se encontra uma organização. Quem já sabe que os questionários continuarão a chegar, pode consultar as perguntas mais frequentes sobre o que exatamente é solicitado para aprofundar a sua própria situação.
O essencial permanece simples de recordar, mesmo sem conhecimentos jurídicos: consegue dizer em qualquer momento quem tem acesso a qual sistema, porquê e desde quando? Quem tem essa resposta à mão está já bastante avançado na maioria dos questionários. Quem ainda tem de investigar isto pode utilizar a verificação rápida gratuita em secria.eu para obter uma primeira visão geral de por onde começar.