Quando foi a última vez que alguém na sua empresa perdeu um acesso?
Conceder é rotina. Revogar quase nunca acontece, e é aí que o risco se acumula.
Não são seis problemas soltos. É uma reação em cadeia.
Uma causa raiz: o acesso é concedido e nunca reavaliado. Isolados, os sintomas parecem inofensivos. Juntos, formam a superfície de fraude.
Sem política
Concessão sem regra escrita nem dono.
Perfil incha
Cada movimentação soma acesso.
Conflito nasce
Combinações incompatíveis de SoD.
Porta aberta
Offboarding falho mantém acesso vivo.
Ninguém revisa
Certificação não acontece.
Exceção sem alarme
O abuso passa despercebido.
A perda cresce em silêncio. É uma curva, não um evento.
Acesso concedido
O conflito nasce com o acesso. Não há alarme para acúmulo de função.
Perfil acumula
Movimentações somam permissões; a revisão não acontece.
Exploração viável
Cadastrar, aprovar e pagar no mesmo usuário: fraude possível e silenciosa.
Perda consolidada
Duração mediana até a detecção. Desvio, litígio, multa e reputação.
5% da receita anual perdida com fraude · 32% por falha de controle · multa LGPD até R$ 50M. Fontes: ACFE, Report to the Nations 2024 · Lei 13.709/2018, Art. 52.
Três frentes. Do conflito ao processo que o produz.
As três, ponta a ponta, em até 6 semanas por sistema em escopo.
Diagnóstico de SoD
- Matriz SoD com regras de incompatibilidade
- Conflitos reais em nível de usuário
- Classificação impacto × probabilidade
- Controles compensatórios
Otimização de perfis
- Role mining sobre o uso efetivo
- Perfis redundantes, órfãos e sobrepostos
- Modelo mínimo por função
- Conflito eliminado na origem
Revisão do processo IAM
- Ciclo de vida: joiner, mover, leaver
- Concessão, aprovação, revisão, revogação
- Governança, papéis e indicadores
- Roadmap de automação
O que costuma aparecer.
A primeira visão objetiva do risco real
Dezenas de conflitos críticos de SoD, centenas de usuários expostos e meses de acesso órfão ativo.
Superfície reduzida pela metade
Sem matriz SoD formal e mais de 60% dos perfis com sobreposição; −50% de permissões após otimização.
Acesso como variável de preço
Deficiências de acesso quantificadas com custo de remediação, insumo direto para a negociação.
Valores em ordem de grandeza, padrão recorrente observado pela equipe, não medição de cliente específico.
Cada artefato converte um ponto cego em decisão possível.
| Entregável | Antes | Depois |
|---|---|---|
| Matriz SoD | Regras de conflito na cabeça de poucos | Incompatibilidades formalizadas por sistema |
| Inventário de conflitos | "Deve haver algum conflito por aí" | Lista nominal com evidência de origem |
| Mapa de risco | Todo achado parece igualmente urgente | Priorizado por impacto × probabilidade |
| Modelo-alvo de perfis | Perfis crescem sem desenho | Catálogo mínimo por função de negócio |
| Diagnóstico de IAM | Processo de acesso não documentado | Ciclo de vida mapeado + roadmap de automação |
| Plano de tratamento | Achados sem ordem de ação | Sequência com quick wins e responsáveis |
Maturidade AS-IS vs. benchmark, exemplo ilustrativo do entregável.
Cada tecnologia e quando usar.
Access Control
Para estabelecer a regra: quem pode fazer o quê, e sob qual critério.
AM · CIAM · MFA
Para controlar quem entra, funcionário e cliente.
IGA · IDM · SOD Intelligence
Para provar quem tem o quê, por quê, e sustentar auditoria. É onde o NLC | SOD Intelligence atua.
PAM · ITDR
Para proteger contas críticas e vigiar o acesso ao vivo.
Da foto trimestral ao alerta contínuo.
Diagnóstico
Processo IAM, ITGC/ITAC, Matriz SoD e conflitos.
Saneamento
Conflitos tratados e perfis otimizados.
Estruturação
Mapa de perfis e Matriz SAT aprovados.
Automação
Provisão dentro das regras SoD.
Monitoramento vivo
Agentes de IA vigiando acessos em tempo real.
NLC|SOD Intelligence
Motor em grafo, agentes de IA especializados e cobertura de 100% da base, o diagnóstico vira monitoramento contínuo.
Quem acessa o quê, com qual justificativa, desde quando?
Se a resposta não é imediata e verificável, o risco já existe. É por aí que começa a conversa.