A revisão e certificação de acesso permite verificar, em intervalos regulares, se cada usuário ainda precisa dos acessos que tem no Segura™. Você conduz a revisão por meio de uma campanha. Cada campanha tem uma data de início, uma duração e um conjunto de usuários a revisar. Os revisores verificam os papéis e as políticas de acesso de cada usuário e removem o que o usuário não precisa mais.
Você gerencia as campanhas em Configurações > Controle de acesso > Revisão e certificação de usuários.
Conceitos principais
| Termo | Significado |
|---|---|
| Campanha | Um ciclo de revisão com data de início, duração e escopo. Uma campanha pode ser recorrente. |
| Escopo | Os usuários que a campanha revisa. |
| Revisor | Um usuário que revisa o acesso de outro usuário em uma campanha. |
| Aprovador global | Um usuário cadastrado em Gerenciar aprovadores para um módulo. O aprovador global do módulo Gestão de usuários revisa os usuários que não têm outro revisor e aprova as revisões concluídas quando o fluxo de aprovação está habilitado. |
| Fluxo de aprovação | Uma etapa opcional após a revisão. Quando habilitado, cada revisão concluída vai para aprovação do aprovador global do módulo Gestão de usuários. |
Quem faz o quê
- Por padrão, os usuários PAM Administrator e System Administrator criam e gerenciam campanhas.
- Os usuários System Administrator definem o revisor de cada usuário e de cada grupo de usuários.
- Os revisores precisam do papel Access review and certification para abrir a tela de revisão. Ser escolhido como revisor não concede esse papel. O papel apenas revisa. Ele não cria nem gerencia campanhas.
- Os aprovadores globais do módulo Gestão de usuários revisam os usuários que não têm revisor. Quando o fluxo de aprovação está habilitado, eles também aprovam as revisões concluídas.
Revisores
Cada usuário pode ter um revisor direto, definido no cadastro do usuário, e um revisor de grupo para cada grupo de usuários do qual faz parte. Esses revisores se somam, e qualquer um deles pode revisar o usuário. O primeiro revisor que conclui a revisão a conclui para todos. Os usuários sem revisor vão para o aprovador global.
Quando um revisor é desativado, os usuários dele passam para o revisor desse revisor. Se o revisor desativado não tiver revisor, o aprovador global revisa esses usuários. A mesma regra vale para um revisor de grupo desativado. Para conhecer o modelo completo, consulte Revisores e aprovadores globais.
Pré-requisito de aprovador global
Toda campanha precisa de pelo menos um aprovador global do módulo Gestão de usuários, como revisor de reserva. O Segura™ recusa a criação de uma campanha sem ele.
Ao criar ou editar uma campanha, a grade Aprovadores globais mostra os aprovadores globais do módulo Gestão de usuários, e você pode adicioná-los ou removê-los ali. A grade fica somente leitura enquanto a campanha está Habilitada, Agendada ou Processando.
Enquanto uma campanha está Habilitada, Agendada ou Processando, o Segura™ recusa a remoção do último aprovador global do módulo Gestão de usuários. Para mais detalhes, consulte Gerenciar aprovadores.
Como uma campanha funciona
Escopo
Uma campanha revisa uma das opções a seguir:
- Todos os usuários ativos. Esta é a opção padrão.
- Usuários específicos que você seleciona.
- Os membros de grupos de usuários específicos que você seleciona.
Você pode alterar o escopo enquanto a campanha está agendada. Quando a campanha começa, o Segura™ congela a lista de usuários. Usuários criados ou adicionados a um grupo após o início não são incluídos. Uma campanha recorrente revisa a mesma lista novamente a cada ciclo.
Revisão
Cada revisor vê os usuários que revisa. Ele pode remover papéis e políticas de acesso de que o usuário não precisa mais e registra uma justificativa. Somente as políticas atribuídas diretamente ao usuário podem ser removidas. As políticas que o usuário herda de grupos de usuários aparecem na revisão, mas não podem ser removidas nela. Os revisores não podem abrir, salvar nem ver o histórico de revisão de usuários que não revisam.
Para ver as revisões de todos os usuários, use o relatório Revisão e certificação de usuários em Relatórios > Revisão e certificação. Por padrão, os usuários System Administrator, PAM Administrator, System Auditor e PAM Auditor podem abri-lo. O histórico de revisão na tela de revisão mostra apenas os usuários que você revisa, enquanto há uma campanha ativa.
Fluxo de aprovação
Uma revisão basta para concluir a revisão de um usuário. Se Ativar fluxo de aprovação para revisão e certificação de usuários estiver ativado em Configurações > Parâmetros do sistema > Global > Fluxo de aprovação, cada revisão concluída vai para aprovação. O aprovador global do módulo Gestão de usuários a aprova antes que as alterações tenham efeito. Para ver os passos, consulte Como aprovar uma revisão de usuário.
Por padrão, um aprovador global não pode revisar nem aprovar o próprio acesso. O parâmetro Permitir que aprovadores globais revisem e aprovem o próprio acesso, na mesma tela, permite isso. Para os dois parâmetros, consulte Parâmetros do sistema - Fluxo de aprovação.
Prazo e escalação
Você pode habilitar a escalação. Quando um revisor não conclui uma revisão a tempo, a escalação a repassa ao revisor desse revisor, e assim por diante, até o aprovador global.
O Segura™ não remove nenhum acesso automaticamente na data de término.
Campanhas pausadas
O Segura™ permite desativar ou excluir o último aprovador global do módulo Gestão de usuários, para que a pessoa perca o acesso imediatamente. Um processo verifica então, a cada hora, as campanhas que ficaram sem aprovador global. Ele move cada campanha Habilitada, Agendada ou Processando que encontra para o status Pausada. Os detalhes da campanha mostram o motivo e a data da pausa.
Uma campanha pausada continua pausada até que um PAM Administrator ou System Administrator a retome. Para retomar, cadastre um novo aprovador global do módulo Gestão de usuários e use Retomar campanha na lista de campanhas. O Segura™ recusa a retomada enquanto ainda não houver aprovador global ativo. A campanha volta ao status que tinha antes da pausa.
O tempo em pausa não conta para a escalação, e a data de término avança na mesma medida. Campanhas que já terminaram nunca são pausadas.
Notificações
O Segura™ envia estas notificações durante uma campanha:
- Os revisores dos usuários no escopo são notificados quando a campanha começa e quando o prazo se aproxima.
- Quando o fluxo de aprovação está habilitado, os aprovadores globais do módulo Gestão de usuários são notificados quando uma revisão precisa de aprovação.
- Cada usuário revisado recebe um e-mail quando sua revisão é concluída.
- Quando uma campanha é pausada, todos os usuários PAM Administrator e System Administrator recebem uma notificação na Central de Notificações e por e-mail.
O Segura™ não notifica um revisor quando ele é atribuído a um usuário. Para os textos dessas notificações, consulte Textos de notificações.
Auditoria
O Segura™ registra a atividade das campanhas em Relatórios > Auditoria. A trilha de auditoria inclui:
- Alterações no revisor de um usuário ou de um grupo de usuários, incluindo o número de usuários afetados por uma alteração no grupo.
- Alterações em Gerenciar aprovadores.
- Cada pausa e cada tentativa de retomar uma campanha, com quem agiu e por quê.
- Cada revisão de usuário concluída, enviada para aprovação, aprovada ou rejeitada, registrada no usuário revisado, com os acessos removidos ou propostos para remoção.
Quando usar
- Para revisar periodicamente os acessos privilegiados, como exigem normas de segurança como ISO 27001 e PCI DSS.
- Para remover papéis e políticas de acesso de que os usuários não precisam mais.
- Para manter um registro auditável de quem revisou o quê, e quando.