Gestão de acessos para PME: a primeira camada de segurança

Fechadura inteligente com um cartão de acesso e marcas de verificação, que ilustra a gestão segura de acessos e os controlos de cibersegurança.

A gestão de acessos deve ocupar o início de uma lista de verificação de cibersegurança para PME, porque determina quem pode aceder aos sistemas em que a empresa funciona. Quando o acesso é pouco claro ou excessivo, uma correção, uma cópia de segurança ou uma ferramenta de segurança não conseguem impedir de forma fiável que a pessoa errada chegue aos dados da empresa.

Numa pequena e média empresa (PME), a gestão de acessos consiste em controlar quatro elementos:

Identidade: quem existe nos sistemas
Autenticação: como essas pessoas provam quem são
Autorização: o que podem fazer depois de entrarem
Revogação: como esse acesso desaparece quando deve

A lista de verificação de cibersegurança para pequenas empresas do Passwork apresenta a base completa de que uma PME necessita. Este artigo aprofunda um elemento dessa base: como configurar identidade, autenticação, autorização e revogação como um sistema que se mantém eficaz no dia a dia.

Pontos principais

A gestão de acessos precisa de um inventário de pessoas, contas, aplicações, credenciais e responsáveis antes de qualquer decisão de política fazer sentido
A autenticação multifator (MFA) deve abranger em primeiro lugar as contas de correio eletrónico, de administrador, de acesso remoto, financeiras, de armazenamento na nuvem e de dados sensíveis
O controlo de acesso baseado em funções (RBAC) e a partilha controlada de credenciais reduzem o acesso que permanece ativo durante mais tempo do que uma função realmente exige
As revisões de acessos, a saída de colaboradores e os registos de auditoria transformam uma configuração pontual num processo operacional que continua a funcionar

Porque a gestão de acessos abre a lista de verificação de cibersegurança para PME

A gestão de acessos vem em primeiro lugar porque todos os outros controlos dependem dela. As cópias de segurança, a proteção de endpoints e as ferramentas de monitorização partem do princípio de que as contas que lhes acedem são as corretas, com as permissões certas, no momento certo.

A gestão de identidades e acessos (IAM) é a disciplina que trata deste domínio. NIST descreve a IAM como «uma capacidade de cibersegurança fundamental e crítica», centrada em garantir que as pessoas e as entidades certas têm o acesso certo aos recursos certos no momento certo. A autenticação confirma que um utilizador ou um sistema é quem afirma ser. A autorização determina o que esse utilizador ou sistema pode fazer depois de iniciar sessão. Ambas as etapas têm de funcionar para que qualquer controlo posterior tenha efeito.

Esta dependência manifesta-se em toda a empresa:

As contas de correio eletrónico e de SaaS são a via de acesso às redefinições de palavras-passe, aos documentos partilhados e aos registos de clientes
Os direitos de administrador nos endpoints determinam se um utilizador pode instalar software ou desativar definições de segurança
As contas de administrador de cópias de segurança e as permissões de armazenamento na nuvem determinam se os dados de recuperação podem ser alterados ou eliminados
O acesso de prestadores de serviços e fornecedores determina se as pessoas externas à empresa mantêm o acesso depois de um projeto terminar
A resposta a incidentes depende da capacidade de desativar contas, revogar sessões e rastrear quem acedeu a determinada credencial

IBM, no relatório 2026 Cost of a Data Breach Report, situa o custo médio global de uma violação de dados em 4,99 milhões de dólares. Este valor ilustra por que razão as decisões de acesso subjacentes a uma violação têm um peso real.

O Passwork oferece à equipa um cofre organizado para palavras-passe e segredos partilhados, com permissões alinhadas com o fluxo de trabalho da equipa. Saiba como funciona a gestão de acessos do Passwork .

Inventariar cada identidade e cada via de acesso

Um inventário de identidades lista todos os tipos de conta que podem aceder aos recursos da empresa, juntamente com a pessoa ou a equipa responsável por cada um. Vai além de uma lista genérica de ativos, porque atribui um responsável a cada entrada, incluindo as contas partilhadas, automatizadas ou externas ao sistema de processamento salarial.

Comece por separar as identidades humanas das não humanas. Os colaboradores e os administradores precisam de contas individuais. Os fornecedores, os prestadores de serviços e as caixas de correio partilhadas precisam de um responsável identificado, mesmo que a própria conta seja utilizada por mais de uma pessoa. As contas de serviço e as chaves de API, as credenciais que as aplicações utilizam para comunicar entre si, exigem a mesma responsabilização, uma vez que muitas vezes têm permissões que nenhuma conta humana possui.

Identidade ou tipo de conta	Exemplos	Responsável	Sistema ou cofre	Nível de acesso	Estado da MFA	Data de revisão
Colaborador	Início de sessão padrão de colaborador	Gestor	Fornecedor de identidade	Baseado em funções	Ativada	Trimestral
Administrador	Administrador de sistemas ou de rede	Responsável de TI	Diretório / infraestrutura	Elevado	Ativada	Mensal
Prestador de serviços / fornecedor	Início de sessão no portal, acesso ao projeto	Responsável pelo projeto	Sistema do fornecedor	Limitado no tempo	Ativada, quando compatível	Nos marcos do contrato
Credencial partilhada	Ferramenta legada, portal de fornecedor	Responsável pelo cofre	Cofre do gestor de palavras-passe	Menor privilégio	N/D ou MFA do cofre	Trimestral
Conta de serviço / chave de API	Automatização, integração	Responsável pelo sistema	Configuração da aplicação	Restrito, mínimo	N/D	Na rotação

Uma palavra-passe partilhada, um token de API ou um início de sessão num portal de fornecedor que não possa ser substituído de imediato continua a precisar de um responsável registado desde já. Esse único campo transforma um inventário em algo sobre o qual é possível agir durante uma revisão ou um incidente.

Autenticar identidades fortes e autorizar apenas o acesso necessário

A autenticação e a autorização são o ponto em que a maioria das tomadas de controlo de contas tem êxito ou falha. Aplicar a MFA às contas certas, substituir os inícios de sessão partilhados por acessos nominais e definir funções com base nas tarefas reais fecha as lacunas que os atacantes mais utilizam para entrar e circular no interior dos sistemas.

Aplicar a MFA às contas que controlam a empresa

A autenticação multifator (MFA), um método de início de sessão que exige mais do que um fator de verificação, deve ser imposta através de controlos técnicos e verificada. CISA orienta as pequenas empresas a impor a MFA com controlos técnicos e a ativá-la em todas as contas de administrador. Convém começar pelas contas de correio eletrónico, de administrador, de acesso remoto, financeiras, de armazenamento na nuvem e de dados sensíveis, uma vez que são as que dão ao atacante maior alcance se forem comprometidas.

A autenticação resistente a phishing associa o início de sessão ao serviço legítimo, o que dificulta muito a reutilização de credenciais roubadas. As chaves de segurança FIDO2 e as passkeys são os exemplos atuais. NIST SP 800-63B Revision 4 exige que as aplicações no Authenticator Assurance Level 2 (AAL2) ofereçam uma opção resistente a phishing, sem a impor como método único para todas as empresas. Esta opção deve ser encarada como a direção a seguir, primeiro nas contas de maior risco e depois nos restantes inícios de sessão, à medida que a configuração o permitir.

Documente separadamente os percursos de recuperação. Limite quem pode repor a MFA de outra pessoa, proteja qualquer conta de emergência break-glass com um responsável identificado e uso limitado e reveja essa conta após cada utilização.

Tornar viáveis as credenciais únicas com um gestor de palavras-passe controlado

O credential stuffing é a reutilização automatizada de pares de nome de utilizador e palavra-passe roubados noutros serviços. Funciona porque as pessoas reutilizam a mesma palavra-passe em várias contas, pelo que uma única credencial divulgada dá aos atacantes uma chave que serve em várias portas. Verizon, no relatório 2026 Data Breach Investigations Report, atribui ao abuso de credenciais 13 % dos vetores de acesso inicial e às credenciais 28 % dos tipos de dados roubados em violações.

As palavras-passe únicas travam esse ataque: uma credencial divulgada só abre o serviço de onde foi divulgada. O objetivo prático são credenciais únicas, controladas pela organização e com acesso nominal, que substituam a folha de cálculo ou a mensagem de chat em que demasiadas equipas ainda confiam. Uma política de gestão de palavras-passe que exija uma palavra-passe única e gerada para cada conta dá a este objetivo uma base escrita. Um gestor de palavras-passe concebido para equipas torna essa política realista no dia a dia, gerando e armazenando credenciais e controlando exatamente quem as pode obter.

Definir funções com base no trabalho e remover os direitos de administrador permanentes

O controlo de acesso baseado em funções (RBAC) atribui permissões com base nas funções profissionais atuais, e não no historial acumulado. Cada administrador deve ainda possuir uma conta padrão separada para o trabalho diário, para que tarefas rotineiras como o correio eletrónico e a navegação nunca sejam executadas a partir de um início de sessão com privilégios elevados.

Um exemplo breve: o pessoal de finanças tem acesso aos sistemas de contabilidade, o pessoal de suporte tem acesso à plataforma de helpdesk e os administradores de TI têm acesso administrativo aprovado à infraestrutura. Os responsáveis pelas aplicações aprovam as atribuições de funções; a TI confirma que a configuração técnica corresponde à aprovação.

Substituir o acesso partilhado anónimo por acesso com responsabilização

As contas individuais garantem melhor responsabilização do que os inícios de sessão partilhados, uma vez que cada ação pode ser atribuída a uma só pessoa. Algumas ferramentas legadas e portais de fornecedores continuam a impor credenciais partilhadas. Nesse caso, a credencial deve ser armazenada num cofre controlado, com acesso nominal por utilizador, permissões de menor privilégio, um registo de auditoria e um acionador de rotação agendado.

Se um portal de fornecedor ou uma ferramenta legada ainda impuser um início de sessão partilhado, o Passwork permite guardá-lo uma só vez, conceder acesso nominal e registar cada obtenção. Conhecer as permissões de cofres do Passwork para as contas que ainda não é possível eliminar.

O ciclo de controlo de acessos das PME

O acesso tem de mudar à medida que as pessoas e as funções mudam, e alguém tem de confirmar que a mudança foi realmente efetuada. O ciclo de vida joiner-mover-leaver descreve os três momentos em que o acesso tem de ser atualizado: quando alguém entra, quando muda de função e quando sai.

A integração de colaboradores, uma mudança de função, o fim de um contrato, uma inatividade prolongada, uma alteração de sistema ou uma suspeita de comprometimento devem desencadear uma atualização de acessos. Em vez de adotar um prazo universal para a saída de colaboradores, convém documentar um nível de serviço baseado no risco para a empresa e confirmar, em cada caso, que foi cumprido.

Cenário ilustrativo: um gestor comercial sai da empresa. A equipa de TI tem de verificar a conta no fornecedor de identidade, a sessão de correio eletrónico ativa, a função no CRM, as permissões de partilha no armazenamento na nuvem, o acesso por VPN, o dispositivo móvel e qualquer pertença a cofres de credenciais. Se um único destes elementos for omitido, fica um caminho ativo para os sistemas da empresa depois de a pessoa ter saído.

O ciclo de controlo de acessos das PME, apresentado na tabela abaixo, abrange cinco fases: inventariar, autenticar, autorizar, alterar ou remover e verificar. Cada fase corresponde diretamente a um controlo que uma pequena ou média empresa consegue executar sem um orçamento de IAM empresarial.

Controlo	Responsável designado	Evento desencadeador ou periodicidade	Evidência a conservar	Concluído quando
Inventário de identidades	Responsável de TI ou fornecedor de serviços geridos (MSP)	Trimestral e após uma alteração relevante de sistema	Exportação ou registo controlado	Cada sistema da empresa e cada classe de contas tem um responsável.
Cobertura da MFA	Responsável de TI ou MSP	Nova conta; verificação mensal de conformidade	Relatório de MFA do fornecedor de identidade	As contas prioritárias estão inscritas e as exceções estão documentadas.
Atribuição de funções e privilégios	Responsável pela aplicação, com aprovação da TI	Nova função ou pedido de acesso	Ticket aprovado ou registo de fluxo de trabalho	O acesso corresponde à função atual.
Saída de colaboradores	Gestor, notificação dos RH e execução pela TI	Saída ou fim de contrato	Lista de verificação de revogação e carimbos de data/hora	O acesso, as sessões, os dispositivos e a pertença a cofres são removidos ou transferidos.
Revisão de acessos	Responsável pela aplicação	Periodicidade baseada no risco, normalmente trimestral nos sistemas sensíveis	Registo da revisão e lista de correções	O acesso desnecessário é removido e as exceções têm um responsável e uma data de expiração.
Revisão de credenciais partilhadas	Responsável pelo cofre	Mudança de função, suspeita de comprometimento ou revisão agendada	Registo de auditoria do cofre e registo de rotação	Apenas os utilizadores aprovados mantêm o acesso e as ações de rotação estão documentadas.

Como o Passwork gere o acesso às credenciais

O Passwork centraliza as palavras-passe e os segredos das equipas, controla quem os pode obter e regista cada evento de acesso, funcionando em conjunto com um fornecedor de identidade, e não em substituição deste. Ocupa-se da autorização e da remoção de acessos: conceder às pessoas as credenciais certas e cortar esse acesso no momento em que uma função ou a situação laboral muda.

O fluxo de trabalho das credenciais divide-se em quatro passos:

Ligar a origem de identidade. Estabeleça a ligação com Active Directory, LDAP ou um fornecedor de identidade SAML 2.0, como o Microsoft Entra ID, o Okta, o ADFS ou o Google Workspace.
Mapear grupos para cofres. Cada grupo do diretório recebe, consoante a sua função, acesso de leitura, escrita, partilha ou apenas de auditoria a um cofre ou pasta.
Centralizar as credenciais. Armazene as palavras-passe, as chaves de API e os certificados em cofres partilhados, propriedade da organização, em vez de repositórios pessoais do navegador, folhas de cálculo ou conversas de chat.
Auditar todas as ações. Consulte o registo para saber quem acedeu a uma credencial, a alterou, a partilhou ou a exportou, e quando. Exporte-o para uma ferramenta SIEM se a equipa de segurança precisar dele aí.

O Passwork controla o acesso às credenciais. Não substitui a origem de identidade, o ciclo de vida documentado nem o responsável identificado por cada decisão de acesso. Essas responsabilidades continuam a cargo da organização.

Conclusão

Uma pequena empresa não precisa de um orçamento de IAM empresarial para acertar neste ponto. Precisa de quatro coisas por esta ordem: saber quem tem acesso, autenticá-lo e autorizá-lo corretamente, removê-lo no momento em que algo muda e verificar que a remoção ocorreu de facto. Um responsável, uma evidência, todas as vezes.

Se o objetivo é colocar as palavras-passe e os segredos da equipa sob um controlo de acesso estruturado e auditável, convém experimentar o Passwork na infraestrutura da organização e verificar como os grupos de diretório, as permissões de cofres e os registos de auditoria se adaptam à implementação.

Perguntas frequentes

O que é a gestão de acessos numa pequena empresa?

A gestão de acessos é o processo de decidir quem pode utilizar os sistemas e os dados da empresa, o que pode fazer depois de iniciar sessão e como esse acesso é revisto ou removido. Numa pequena e média empresa, abrange as contas de colaboradores, o acesso de administrador, os prestadores de serviços, as credenciais partilhadas e as contas de serviço.

Que controlos de acesso deve uma PME implementar primeiro?

Comece por identificar as contas e as aplicações que controlam as operações da empresa. Imponha a MFA nas contas prioritárias, elimine o acesso de administrador e o acesso partilhado desnecessários e, depois, documente a saída de colaboradores e as revisões de acessos, para que os controlos continuem a funcionar após a configuração.

Com que frequência deve uma pequena empresa rever os acessos?

A frequência de revisão deve corresponder ao risco do sistema e ao ritmo de mudança da empresa. Os sistemas sensíveis exigem uma validação mais frequente, e cada revisão periódica deve registar o revisor, as remoções e quaisquer exceções aprovadas com data de expiração.

Como devem ser tratados os prestadores de serviços e os colaboradores que saem?

Atribua ao acesso dos prestadores de serviços uma data de expiração associada ao contrato, e não uma data em aberto. No caso dos colaboradores que saem, revogue em conjunto o acesso ao fornecedor de identidade, as sessões ativas, o acesso aos dispositivos e a pertença a cofres, e documente os carimbos de data/hora como evidência de que a remoção ocorreu.

Um gestor de palavras-passe pode substituir um sistema de IAM?

Um gestor de palavras-passe empresarial controla o acesso a palavras-passe e segredos. A IAM gere identidades, autenticação e acessos de forma mais ampla, em todas as aplicações. O Passwork funciona em conjunto com serviços de diretório e fornecedores de identidade na parte do acesso às credenciais desse modelo mais amplo.

Gestão de acessos para PME: A primeira camada de cibersegurança