Registo de revisão dos direitos de acesso ISO 27001

O que a norma exige

---

O que o referencial ISO 27001 exige e o que fica ao seu critério

O controlo 5.18 pede que os direitos de acesso sejam concedidos, revistos, modificados e retirados de acordo com a política de controlo de acessos (5.15). A revisão periódica é a parte mais esquecida e a que mais constatações gera.

A norma não fixa a frequência: é a organização que a decide, em função do risco. O habitual é rever os acessos privilegiados com mais frequência do que os normais, e sempre após mudanças de função ou saídas.

O que transforma a revisão em evidência é ser feita pelo proprietário do sistema ou do dado, não apenas pela equipa de sistemas, e deixar rasto do que se mantém e do que se retira.

Estrutura

---

Campos que o modelo deve ter

• Sistema ou aplicação revista
• Data e período abrangido
• Listagem de utilizadores e permissões revistos
• Revisor: proprietário do sistema
• Decisão por utilizador: manter, reduzir, retirar
• Contas genéricas, de serviço e privilegiadas, com a respetiva justificação
• Alterações aplicadas e data

Na auditoria

---

Erros que os auditores costumam apontar

• A revisão é feita pela equipa de sistemas sem que o proprietário do dado decida.
• A lista é revista e assinada, mas não se aplica nenhuma alteração.
• Contas de pessoas que saíram da empresa há meses continuam ativas.
• Contas genéricas partilhadas sem proprietário nem justificação.

No Kimobox

---

Como se gere este registo no Kimobox

1. 1As permissões são geridas por perfil a partir do portal do colaborador.
2. 2A revisão periódica de acessos e privilégios por perfil fica registada com a sua data e o seu revisor.
3. 3A saída na ficha de pessoal fecha automaticamente os acessos ao portal, à aplicação e aos módulos associados.

Perguntas frequentes

---

O que nos perguntam antes de começar