Principais conclusões
- O princípio do menor privilégio (PoLP) diz que cada pessoa, conta de serviço ou aplicação deve ter só o acesso necessário para a sua função, e só pelo tempo necessário.
- O acesso tende a crescer sozinho: quem muda de área leva os acessos antigos. Isso é o acúmulo de privilégios, ou privilege creep.
- Perfis por função (RBAC), acesso temporário para tarefas pontuais e revisão periódica são três ferramentas para manter o princípio.
- Aparece nos controles de acesso da ISO 27001, em auditorias de SOC 2 e nos ITGC, e é um dos princípios do modelo zero trust.
O que é o princípio do menor privilégio
O princípio do menor privilégio (em inglês, principle of least privilege, PoLP) diz que cada identidade recebe o mínimo de acesso necessário para fazer o seu trabalho. Vale para pessoas, contas de serviço, robôs e agentes de IA.
Exemplos:
- A analista de contas a pagar lança pagamentos, mas não cadastra fornecedores nem administra o ERP.
- O desenvolvedor acessa o ambiente de teste, e a produção só com aprovação e por tempo limitado.
- A conta de serviço que lê a folha tem permissão de leitura, não de escrita.
Por que o privilégio cresce: o acúmulo de acessos
Ninguém dá acesso demais de propósito. O acesso cresce por acúmulo:
- Mudança de cargo: a pessoa recebe os acessos da área nova e mantém os da antiga.
- Projeto temporário: o acesso dado "só para o projeto" nunca é retirado.
- Atalho de administrador: dar perfil de administrador resolve o chamado mais rápido que achar o perfil certo.
- Cópia de perfil: "dê o mesmo acesso da Maria" copia também o que a Maria acumulou.
Esse fenômeno tem nome em inglês: privilege creep. Veja o artigo o que é privilege creep, no blog da Niuco. Ele é uma das principais razões de a revisão de acessos existir.
Como aplicar o menor privilégio em 5 passos
- Inventário: levante quem tem acesso a quê em cada software, com o perfil, inclusive contas de serviço e administradores.
- Perfis por função: defina o acesso padrão de cada cargo ou área (RBAC) e conceda a partir dele, não por cópia de outra pessoa.
- Acesso temporário: para tarefas pontuais e acesso privilegiado, conceda com data de expiração (acesso just-in-time).
- Revisão periódica: o gestor confirma ou remove os acessos da equipe em ciclos, começando pelos softwares críticos e pelos administradores.
- Saída e mudança no prazo: ligue a folha de pagamento à remoção de acessos, para que desligamento e troca de área retirem o que não serve mais.
Menor privilégio, segregação de funções e zero trust
| Conceito | Pergunta que responde |
|---|---|
| Menor privilégio | Esta pessoa tem só o que precisa? |
| Segregação de funções | Esta pessoa tem duas funções que não deveriam andar juntas, como cadastrar e aprovar? |
| Zero trust | Cada acesso é verificado, em vez de confiar em quem já está dentro da rede? |
Os três se reforçam: o zero trust verifica cada acesso, o menor privilégio limita o que cada acesso alcança e a segregação de funções impede combinações perigosas.
Exemplos por área
| Área | Acesso mínimo para a função | Excesso que costuma aparecer |
|---|---|---|
| Contas a pagar | Lançar títulos e preparar pagamentos | Cadastrar fornecedor e aprovar o próprio pagamento |
| RH | Editar o cadastro da folha | Perfil de administrador do software de folha para toda a equipe |
| Vendas | Editar as próprias oportunidades no CRM | Exportar toda a base de clientes |
| Desenvolvimento | Ambiente de teste e repositórios do time | Acesso permanente de escrita à produção |
| TI | Administrar os softwares sob sua responsabilidade | Administrador global para toda a equipe de suporte |
| Marketing | Publicar no site e nas redes | Senha compartilhada da conta de anúncios, com cartão cadastrado |
Do caos ao controle: seis níveis de controle de acesso
Na prática, o menor privilégio depende de quanto controle cada software oferece e de quanto a empresa usa. Na Niuco, usamos a escala abaixo para conversar sobre o tema. É um modelo nosso: não é norma de mercado nem funcionalidade do produto.
| Nível | O que a empresa controla em cada software |
|---|---|
| 0 | Nada: ninguém sabe quem tem acesso nem com qual permissão |
| 1 | O tipo de usuário: quem é administrador, membro ou convidado |
| 2 | O papel (role) de cada pessoa, como financeiro, suporte ou administrador global |
| 3 | Permissões individuais, atribuídas direto à pessoa |
| 4 | Permissões atribuídas a grupos, e pessoas colocadas nos grupos |
| 5 | Tudo isso com uma matriz de controle e auditoria regular |
Os níveis seguem, em linhas gerais, como os softwares evoluíram. Primeiro só existiam tipos de usuário. Entre o administrador, que pode tudo, e o membro, que só usa, sobrou um buraco, e nasceram os papéis. Depois veio a "permissão a mais" dada direto à pessoa, que resolve o caso do dia e bagunça a gestão. Os grupos com permissões juntam o detalhe do nível 3 com a clareza do nível 2.
Subir de nível nem sempre é melhor. O nível 3 é mais detalhado, não mais maduro: permissão dada direto à pessoa é fácil de dar e difícil de enxergar depois. O caminho mais seguro é ir do nível 2 para o 4 e deixar a permissão individual como exceção, com prazo.
Acesso privilegiado: temporário e com rastro
- Acesso just-in-time: a função de administrador é ativada por algumas horas, com justificativa, e expira sozinha.
- Conta separada: o administrador usa uma conta para o dia a dia e outra para administrar.
- Conta de emergência: existe para quando tudo falha, fica em cofre e cada uso gera alerta.
- Sem conta compartilhada: "admin" usado por cinco pessoas não deixa rastro de quem fez o quê.
Indicadores para acompanhar
| Indicador | O que mostra |
|---|---|
| Número de administradores por software | Se o privilégio alto está concentrado em poucos nomes |
| Acessos fora do perfil padrão da função | O tamanho do acúmulo |
| Tempo entre o desligamento na folha e a remoção do último acesso | A janela de risco na saída |
| Acessos removidos por ciclo de revisão | Se a revisão é real ou aprovação em bloco |
| Contas de serviço sem dono | Privilégio pelo qual ninguém responde |
Menor privilégio e dados pessoais
A LGPD traz, entre os seus princípios, o da necessidade: limitar o tratamento de dados pessoais ao mínimo necessário para a finalidade (art. 6º, III). Traz também o princípio da segurança (art. 6º, VII) e o dever de adotar medidas para proteger os dados pessoais de acessos não autorizados (art. 46). Restringir quem acessa softwares com dados pessoais, como a folha e o CRM, é uma medida que contribui para os três.
O que a auditoria pede
Na ISO 27001 (controles de direitos de acesso e de acesso privilegiado do Anexo A), em SOC 2 e nos ITGC, o auditor costuma pedir:
- a regra de concessão por função e a aprovação do gestor;
- a lista de administradores, nomeados e justificados;
- a evidência da última revisão de acessos, com a decisão por linha;
- a prova de que os acessos marcados para remoção saíram no prazo.
Onde a governança entra
Manter o acesso no mínimo exige saber, o tempo todo, quem tem o quê.
A governança de identidade (IGA) da Niuco mantém o inventário de quem tem acesso a quê nos softwares conectados e o cruza com a folha de pagamento: quem entrou, mudou de cargo ou saiu. As campanhas de revisão de acessos levam a lista ao gestor, registram cada decisão e guardam a evidência para o auditor. A Niuco não substitui o SSO nem o diretório: ela trabalha junto com o Microsoft Entra ID e o Google Workspace.
Conheça a governança de identidadeMaterial informativo. Não substitui orientação jurídica.