Organização dos acessos
Administramos os acessos de equipes, clientes, parceiros, prestadores e serviços técnicos com identificação, vínculo legítimo, finalidade e responsável. Cada permissão corresponde à atividade autorizada e ao recurso necessário.
Nossos controles separam identificação, autenticação e autorização. Os acessos são individualizáveis e rastreáveis. Uma conta não representa permissão irrestrita sobre informações ou ambientes.
Identificação e permissões
Registramos vínculo, finalidade, ambiente, perfil e aprovação de cada concessão. A verificação de identidade é proporcional ao risco e limita a coleta ao necessário. Cada identidade tem identificador único e vínculo com o titular ou serviço legítimo em registro restrito.
Aplicamos menor privilégio, necessidade de uso e segregação de funções compatível com o risco. Acessos administrativos e operações críticas recebem controles específicos. Não admitimos identidades fictícias utilizadas para ocultar o responsável por uma operação.
Autenticação e credenciais
Utilizamos autenticação multifator nos acessos privilegiados e críticos, proteção contra tentativas abusivas e gestão de sessões. A recuperação de contas preserva a verificação da identidade e a segurança do acesso. Credenciais pessoais são individuais e não são compartilhadas.
Contas técnicas, chaves e tokens têm finalidade, responsável, permissões delimitadas e gestão de validade ou rotação conforme o risco. Os segredos ficam em repositórios apropriados e restritos, separados de código público, planilhas abertas e conteúdo de logs.
Revisão e encerramento
Atualizamos permissões quando mudam a função, o projeto, o contrato ou o risco. Revisões periódicas identificam contas sem uso, sem responsável, com vínculo encerrado ou com privilégios excessivos e registram correções.
Desligamentos, encerramentos de contrato, perda de autorização e incidentes acionam bloqueio ou revogação conforme o risco. O procedimento alcança contas, sessões, credenciais técnicas e acessos de prestadores. Concessões, alterações e revogações têm registro de auditoria.
Capacidade da infraestrutura
Nossa infraestrutura de gestão de identidades e acessos possui capacidade validada para, no mínimo, 200 mil usuários únicos por mês, preservando a proteção dos dados, a consistência das permissões e a rastreabilidade das operações.
A validação distingue população de identidades, usuários únicos no período, autenticações, requisições, sessões e acessos simultâneos. Os cenários abrangem cadastro, autenticação, autorização, revisão e revogação e consideram os limites técnicos e contratuais dos componentes.
Os ensaios são realizados em ambiente controlado e autorizado, com dados sintéticos e registros de configuração, volume, latência, erros e funcionamento dos controles. Mudanças relevantes levam à reavaliação da capacidade e dos pontos de maior carga.
Rastreabilidade e responsabilidades
Correlacionamos identidade, autenticação, autorização, recurso acessado, operação e resultado. Contas técnicas preservam o contexto do usuário ou serviço que originou a ação quando aplicável. As trilhas permitem reconstruir as atividades conforme a Política de Auditoria e Rastreabilidade.
Os responsáveis pelos ambientes administram perfis e revisões. As pessoas autorizadas protegem credenciais e comunicam suspeitas. A administração acompanha desvios e medidas corretivas.
Atualização e contato
Revisamos esta política anualmente e após mudanças relevantes ou incidentes que afetem identidades e acessos. Procedimentos de cada serviço complementam os controles conforme a atividade e o contrato.
Recebemos dúvidas e relatos em contato@rituspartners.com, com o assunto Acessos e Segurança. Não envie senhas, códigos de autenticação ou chaves.