Segregação de funções: ninguém deve pedir, aprovar e executar a mesma operação crítica
O controlo não é uma segunda assinatura decorativa. É a fronteira que impede uma identidade de iniciar, legitimar, executar e esconder uma ação irreversível.
- Natureza
- Modelo de controlo para operações críticas e irreversíveis
- Base
- NIST SP 800-53, CSF 2.0, AI RMF e DORA no âmbito financeiro
- Publicado e verificado
- 5 de agosto de 2026
- Limite
- Orientação NIST é voluntária; DORA só se aplica às entidades abrangidas
Em resumo
O AC-5 do NIST SP 800-53 pede que a organização identifique deveres que exigem separação e defina as autorizações de acesso que a suportam; AC-6 complementa com privilégio mínimo. CSF 2.0 e AI RMF reforçam papéis, autoridade e supervisão claros. No setor financeiro, DORA acrescenta requisitos legais de responsabilidades claras e separação ou independência adequada entre gestão de risco ICT, controlo e auditoria. A matriz Velqory aplica estes princípios a pagamentos, eliminação, produção, identidades e mudanças de IA, sem fingir um desenho universal ou generalizar DORA.
- Separe capacidades: pedir, preparar, aprovar, executar, reconciliar e auditar.
- Aprovador e executor precisam de contexto e credenciais próprias; partilhar conta destrói o controlo.
- Equipas pequenas podem compensar com aprovação externa, espera, escrow e reconciliação independente, registando risco residual.
- Break-glass exige ativação controlada, expiração, alerta imediato e revisão independente.
Desenhe primeiro a cadeia de poderes que pode causar dano
Liste operações difíceis de reverter: libertar pagamento, eliminar dados, alterar IAM, promover código, rodar chaves, desligar logging, mudar um limiar, aprovar um modelo ou executar migração destrutiva. Identifique quem inicia, prepara, aprova, executa, confirma e investiga.
A separação pode ser humana, técnica ou combinada, mas deve ser aplicada na autorização e observável no registo — não apenas descrita numa política.
Fluxo de uma operação irreversível
- PEDIDODeclarar necessidade
Objeto, motivo, impacto, urgência, janela, reversibilidade e evidência.
- PREPARAÇÃOConstruir mudança
Artefacto, alvo, teste e plano de retorno sem poder aprovar.
- APROVAÇÃODesafiar e autorizar
Revisor independente confirma âmbito, risco, evidência e condições.
- EXECUÇÃOAplicar o aprovado
Credencial distinta, limite temporal, alvo fixo e bloqueio a alteração silenciosa.
- RECONCILIAÇÃOConfirmar e aprender
Resultado, desvios, logs, impacto e revisão independente de exceções.
A matriz decide onde quatro olhos são obrigatórios
Classifique por impacto, reversibilidade, alcance, privilégio e detetabilidade. Quanto mais irreversível e menos detetável, mais cedo deve entrar a independência. Revisão posterior não substitui autorização prévia quando o dano pode ser imediato.
Operação, separação e prova
| Operação | Separação mínima | Controlo técnico | Prova |
|---|---|---|---|
| Pagamento alto | Criador ≠ aprovador ≠ reconciliação | Limite, beneficiário fixo, dupla aprovação | Extrato e exceção revista |
| Eliminação de dados | Pedido ≠ aprovação ≠ execução | Escopo imutável, atraso, backup testado | Inventário e resultado |
| IAM privilegiado | Solicitante ≠ aprovador; execução JIT | Expiração, sessão registada, alerta | Acesso removido |
| Release | Autor ≠ aprovador; pipeline executa | Artefacto assinado, ambiente protegido | Versão, testes, rollback |
| Modelo ou limiar | Produto ≠ risco ≠ operador | Versionamento, gate, monitorização | Decisão e comportamento |
| Break-glass | Ativação ≠ revisão | Cofre, prazo curto, alerta | Revisão independente em 24 h |
A equipa pequena precisa de compensação explícita
Quando não há três pessoas internas, use aprovador de outra unidade, custódia, espera, execução automatizada a partir de artefacto imutável e reconciliação externa à cadeia. Registe motivo, prazo, risco residual e revisão.
No AI RMF, clareza de papéis importa quando uma pessoa pode mudar dados, modelo, limiar e decisão humana. Em DORA, entidades financeiras devem manter controlo e auditoria com independência adequada. São bases diferentes: referência voluntária transversal e obrigação setorial.
- Proibir contas partilhadas.
- Reiniciar o gate se o pedido mudar.
- Rever conflitos após mudanças de equipa.
- Testar break-glass e expiração automática.
Fontes consultadas
Consultadas na data de atualização indicada.
Abre numa nova janela.- 01NIST SP 800-53 Rev. 5.1 control catalogueNIST CSRC · CY-NISTCSRC
- 02NIST SP 800-53 Rev. 5 publication recordNIST CSRC · CY-NISTCSRC
- 03NIST Cybersecurity Framework 2.0NIST CSRC · CY-NISTCSRC
- 04AI Risk Management Framework — CoreNIST AI Resource Center · GL-NISTAI
- 05AI RMF Playbook — MeasureNIST AI Resource Center · GL-NISTAI
- 06Regulation (EU) 2022/2554 — DORAEUR-Lex · EU-EURLEX
Participar
Partilhe a análise. Acrescente contexto.
Divulgue a matéria no seu canal ou deixe uma observação ligada ao tema.
Comentários
A carregar a conversa.