Direitos e gestão mínima de acessos

Módulo 7: Acesso, fornecedores e cloud · Tempo de leitura: 10 minutos

Objetivo de aprendizagem: Depois desta lição, saberá organizar os direitos de acesso segundo o princípio do "mínimo necessário": cada pessoa com a sua própria conta, direitos de administrador à parte, parceiros externos com acesso temporário e limitado, e uma abordagem fixa para quando alguém entra, muda de função ou sai da empresa.
Conceitos-chave: least privilege (privilégio mínimo), conta pessoal, conta partilhada, conta de administrador, segregação de funções, entrada, mudança e saída, mapa de acessos

O princípio: o mínimo necessário

Least privilege (em português: privilégio mínimo) significa que cada pessoa recebe exatamente o acesso necessário para o seu trabalho, e nada mais. O NIST descreve-o como um princípio segundo o qual os utilizadores têm apenas os direitos minimamente necessários para as suas tarefas.

Porque é que isto é importante? Porque qualquer conta pode, mais cedo ou mais tarde, ser comprometida: por phishing (módulo 3), uma palavra-passe exposta numa fuga de dados (lição 1.4) ou um portátil infetado. O que um atacante consegue fazer depende inteiramente dos direitos dessa conta. A conta de um estagiário que só trata das redes sociais dá pouco acesso. A conta de alguém que, "por comodidade", é administrador em tudo, dá acesso a tudo: e-mail, pagamentos, o site, as cópias de segurança.

Direitos mínimos não reduzem, portanto, a probabilidade de uma invasão, mas reduzem os danos. É a mesma lógica das chaves de um edifício: a pessoa da limpeza tem a chave da porta principal, não a do cofre.

Cada pessoa com a sua própria conta

Uma conta partilhada é uma conta na qual várias pessoas iniciam sessão com a mesma palavra-passe: "usamos todos info@example.com para entrar no programa de contabilidade". Parece prático, mas tem quatro grandes desvantagens:

1. Não sabe quem fez o quê. No registo (log) consta apenas "info". Se um pagamento for alterado, não é possível determinar quem o fez.
2. Não pode desativar o acesso de uma única pessoa. Se alguém sair da empresa, tem de mudar a palavra-passe para todos, o que, na prática, muitas vezes não acontece.
3. A autenticação de dois fatores (2FA) funciona mal. O código chega a um único telemóvel, por isso ou se desativa a 2FA ou o código é reencaminhado para todos.
4. A palavra-passe circula por WhatsApp, papéis e e-mail, deixando assim de ser secreta.

Uma conta pessoal resolve tudo isto: início de sessão próprio, 2FA próprio, registo próprio, e pode ser desativada individualmente. Praticamente todos os serviços profissionais suportam múltiplos utilizadores com direitos próprios. Um endereço de e-mail partilhado como info@ pode perfeitamente continuar a existir como endereço; nesse caso, dê às pessoas que o consultam acesso através da sua própria conta, se o seu sistema de e-mail o permitir.

Direitos de administrador à parte

Uma conta de administrador pode criar utilizadores, alterar direitos, modificar definições e, muitas vezes, também apagar dados. É precisamente por isso que a deve usar o mínimo possível.

• Trabalhe diariamente com uma conta normal e só inicie sessão como administrador quando precisar de gerir algo. Isto aplica-se também ao seu portátil (lição 5.2).
• Assegure pelo menos duas pessoas com direitos de administrador nos serviços mais importantes, ou uma conta de emergência bem guardada. Se o único administrador estiver doente ou ausente, fica bloqueado.
• Mas também não mais do que o necessário. Cinco administradores numa empresa de oito pessoas são quatro a mais.
• Ative a autenticação de dois fatores em todas as contas de administrador, de preferência resistente a phishing (lição 2.4).

A segregação de funções vai ainda mais longe: uma só pessoa não pode realizar sozinha, do início ao fim, uma ação sensível. O exemplo mais conhecido foi visto na lição 1.2: quem introduz um novo IBAN de um fornecedor não deve também aprovar o pagamento. Numa empresa pequena, isto pode ser simples: uma pessoa prepara o pagamento, outra aprova-o na aplicação do banco.

Parceiros externos: acesso temporário e limitado

Criadores de sites, contabilistas, empresas de informática e freelancers frequentemente precisam de acesso. O erro clássico é dar-lhes a sua própria palavra-passe. Assim, podem fazer tudo o que o próprio pode fazer, e depois não sabe quem ainda tem acesso.

Melhor:

• Dê uma conta própria com apenas os direitos necessários. Um contabilista precisa apenas das faturas; um criador de sites, dos ficheiros de um único site.
• Dê acesso com data de fim se se tratar de um trabalho pontual. Muitos sistemas permitem que uma conta ou chave expire automaticamente.
• Limite, sempre que possível, a partir de que rede alguém pode iniciar sessão.
• Registe quem tem que tipo de acesso externo, e porquê.

Entrada, mudança e saída

Os direitos de acesso tendem a aumentar naturalmente. Alguém começa nas vendas, ajuda durante alguns meses na administração e depois passa para a produção. Se ninguém estiver atento, ao fim de dois anos essa pessoa tem os direitos das três funções. Por isso, organize os direitos em três momentos:

Na saída, a ordem é importante. Primeiro transferir, depois desativar, só mais tarde eliminar. Se eliminar uma conta de imediato, em muitos serviços os ficheiros, calendários e e-mails dessa pessoa também desaparecem. Em alguns serviços de cloud, isto torna-se definitivo ao fim de um curto período: o Microsoft 365 conserva o OneDrive de um utilizador eliminado, segundo a sua própria documentação, por norma 30 dias. Desativar mantém os dados e bloqueia o acesso.

Ao sair alguém, não se esqueça também de: regras de reencaminhamento que essa pessoa tenha configurado (lição 2.5), palavras-passe de aplicações, acesso à aplicação do banco, redes sociais e o registador do seu domínio, e chaves ou cartões de acesso ao edifício.

O mapa de acessos

Um mapa de acessos é uma tabela simples: por serviço, quem tem acesso, com que direitos, e se é uma conta própria ou externa. Reveja essa lista pelo menos duas vezes por ano, e sempre depois de alguém sair. Em cada linha, faça uma pergunta: esta pessoa ainda precisa disto hoje?

Na prática: como funciona

No ambiente de exemplo do O meu WebOké, convida um colega, contabilista ou criador de sites como utilizador. Essa pessoa inicia sessão com os seus próprios dados, e você assinala, por permissão, o que pode fazer, por exemplo apenas Faturas para o contabilista. Só o proprietário da conta pode convidar utilizadores e alterar direitos, e com um único botão pode retirar o acesso novamente. No DirectAdmin pode dar a um criador de sites uma conta FTP própria para uma única pasta, ou uma chave de acesso com data de validade, comandos limitados e acesso apenas a partir de determinados endereços IP.

No Nextcloud, quando um colega sai, escolha primeiro Desativar: deixa de poder iniciar sessão, mas os ficheiros permanecem guardados. O manual é claro: só elimine o utilizador depois de tudo ter sido transferido, pois um utilizador eliminado desaparece definitivamente com todos os seus ficheiros. Noutros sistemas isto funciona de forma semelhante, mas os nomes e prazos variam; verifique antes de alguém sair.

Resumo

• Direitos mínimos limitam os danos quando uma conta é comprometida.
• Cada pessoa com a sua própria conta: assim sabe quem fez o quê e pode desativar o acesso de uma só pessoa.
• Os direitos de administrador só devem ser usados quando necessário, por um número reduzido de pessoas, com 2FA forte.
• Os parceiros externos recebem uma conta própria, limitada e, sempre que possível, temporária, nunca a sua palavra-passe.
• Organize os direitos na entrada, na mudança e na saída; ao sair alguém: transferir, desativar, eliminar mais tarde.

Questionário

Exercício

Exercício A7.1: Quem recebe que tipo de acesso? Vai receber uma série de situações de uma empresa pequena (um novo contabilista, um criador de sites para um trabalho pontual, um colega que sai, um estagiário). Escolha, para cada situação, a melhor forma de conceder ou encerrar o acesso. O programa verifica a sua escolha e explica porquê.

Exercício D7.1: O seu inventário de acessos. Elabore um mapa de acessos dos seus cinco serviços mais importantes: quem tem acesso, com que direitos, conta própria ou partilhada, interna ou externa. Remova pelo menos um direito desnecessário ou uma conta partilhada e escreva a sua lista de saída para a próxima vez que alguém deixar a empresa.

Para saber mais

Os passos descritos nos artigos da WebOké aplicam-se ao ambiente da WebOké; noutros fornecedores o processo é semelhante.

• Manual do WebOké 11.3: Convidar utilizadores e atribuir permissões
• Manual do Nextcloud 14.2: Criar, editar, desativar e eliminar utilizadores
• Manual do Nextcloud 14.7: Permissões: quem gere o quê na sua Nextcloud?
• Manual do Nextcloud 16.7: Colega sai da empresa: receber ficheiros, calendário e pastas partilhadas em segurança
• Manual DirectAdmin 3.5: Chaves de acesso: iniciar sessão para scripts e programas
• Manual DirectAdmin 11.6: Criar e gerir contas de FTP
• NIST, Glossary: least privilege (em inglês): https://csrc.nist.gov/glossary/term/least_privilege
• Microsoft, OneDrive retention and deletion (em inglês): https://learn.microsoft.com/en-us/sharepoint/retention-and-deletion