Normas de conformidade para gestores de palavras-passe: O que mudou em 2026

Em 2026, a conformidade dos gestores de palavras-passe significa provar o controlo sobre as credenciais. Estas normas de conformidade para gestores de palavras-passe sobrepõem-se em alguns pontos, mas não se somam numa política universal única.

Os requisitos variam consoante o setor, a geografia, o âmbito dos sistemas e o perímetro da auditoria, pelo que nenhuma certificação abrange todas as organizações por igual. A aplicabilidade de cada quadro de conformidade depende do tipo de entidade, do âmbito de sistemas e dados, da jurisdição, dos contratos e do risco. Este guia apresenta um mapa de normas transversal aos vários quadros, uma resolução para o recorrente conflito de rotação entre o NIST e a PCI e um mapeamento das passkeys aplicável à redação de políticas.

Normas de conformidade para gestores de palavras-passe: Situação em 2026

As evidências de conformidade são o conjunto de políticas, registos de configuração, trilhos de aprovação, revisões de acessos, logs e resultados de testes que demonstram que um controlo funciona como previsto, e não apenas que existe no papel. Para os gestores de palavras-passe, a base de referência de 2026 é um ciclo de vida das credenciais governado: identidades únicas, acesso controlado ao cofre, autenticação forte, alterações auditáveis, recuperação testada e uma camada de políticas específica de cada quadro de conformidade.

Nenhuma lei global reescreveu a conformidade dos gestores de palavras-passe em 2026. O que mudou foi a combinação: 

• A Rev. 4 do NIST (o National Institute of Standards and Technology dos EUA) tornou-se a referência técnica atual para autenticadores
• A PCI DSS (Payment Card Industry Data Security Standard) v4.0.1 é a norma PCI em vigor
• O DORA (o Digital Operational Resilience Act da UE) aplica-se desde 17 de janeiro de 2025
• A NIS2 (a segunda Diretiva da UE relativa à segurança das redes e da informação) entrou na fase de aplicação a nível nacional
• Persiste uma lacuna entre a regra atual da HIPAA (Health Insurance Portability and Accountability Act) e a atualização proposta sobre autenticação multifator (MFA)

Normas de conformidade para gestores de palavras-passe por quadro

A Credential Governance Overlay (CGO), uma camada de governação de credenciais, associa cada quadro de conformidade ao controlo que exige, às evidências que um auditor pode testar e à capacidade do gestor de palavras-passe que torna o controlo operacional. Cada quadro abaixo descreve o que exige e o que isso significa para a configuração do cofre. A tabela mais abaixo resume as evidências a conservar para cada um.

NIST SP 800-63B Rev. 4

Para palavras-passe verificadas centralmente, a NIST SP 800-63B Rev. 4 estabelece um mínimo de 15 caracteres para a autenticação de fator único. Um mínimo de 8 caracteres aplica-se apenas quando a palavra-passe é utilizada exclusivamente como parte da MFA. Os verificadores não devem impor regras de composição nem alterações periódicas, e devem verificar as novas palavras-passe contra valores conhecidos como comuns, previsíveis ou comprometidos.

Para um gestor de palavras-passe, isto significa gerar credenciais longas e únicas, permitir o preenchimento automático, permitir colar onde o preenchimento automático não está disponível, executar a deteção de comprometimentos e proteger a autenticação no cofre com MFA.

ISO/IEC 27001:2022

A ISO 27001 é a norma internacional para sistemas de gestão da segurança da informação. Os controlos do Anexo A A.5.16 (gestão de identidades), A.5.18 (direitos de acesso), A.8.5 (autenticação segura) e A.8.24 (criptografia) decorrem do plano de tratamento do risco e da Declaração de Aplicabilidade, um documento que indica que controlos se aplicam e porquê. Estes controlos são selecionados através do tratamento do risco; a ISO não impõe todos os controlos do Anexo A nem um gestor de palavras-passe específico.

Em termos operacionais, isto aponta para um fluxo de entradas, mudanças e saídas (joiner-mover-leaver), controlo de acesso baseado em funções (RBAC), MFA onde o risco o exija e uma encriptação e gestão de chaves documentadas.

SOC 2

O SOC 2 é um quadro de auditoria para organizações prestadoras de serviços. Os Trust Services Criteria CC6.1-CC6.8 do AICPA são controlos orientados para resultados que abrangem a arquitetura de acessos, o registo e a autorização, as alterações de acesso, a proteção física, a eliminação segura, a proteção de perímetro, a transferência ou remoção autorizada de informação (CC6.7) e a defesa contra malware. Os auditores testam as evidências adequadas ao perímetro do sistema, aos riscos e aos controlos selecionados.

Trate o cofre como um componente dentro do perímetro do sistema auditado. Controle os administradores, as exportações, as integrações e o registo de eventos, e não apenas as palavras-passe.

PCI DSS v4.0.1

A PCI DSS protege os dados de cartões de pagamento. O Requisito 8 rege a identificação e a autenticação no ambiente de dados do titular do cartão (CDE), ou seja, os sistemas e as pessoas abrangidos pelo âmbito dos dados de cartões de pagamento. Segundo o Requisito 8.3.6, as palavras-passe ou frases-passe utilizadas como fatores de autenticação devem ter pelo menos 12 caracteres, ou pelo menos 8 quando o sistema não admite 12.

Quando uma palavra-passe ou frase-passe é o único fator de autenticação para o acesso do utilizador, o Requisito 8.3.9 exige uma alteração pelo menos a cada 90 dias ou decisões de acesso automáticas baseadas na análise dinâmica da postura de segurança da conta. O requisito só pode ser marcado como não aplicável quando a MFA protege o acesso a todos os componentes do sistema no âmbito, ou quando o componente e o caminho de acesso se enquadram nas condições de fator único definidas pelo PCI SSC. As próprias obrigações de MFA regem-se separadamente, pelos Requisitos 8.4.2-8.4.4, em função do caminho de acesso.

Segmente as credenciais no âmbito PCI, confirme se o Requisito 8.3.9 se aplica antes de presumir que não, e verifique que requisito de MFA rege cada caminho de acesso.

HIPAA Security Rule

A HIPAA protege a informação de saúde nos EUA. O atual 45 CFR §164.312 exige controlo de acessos, identificação única de utilizadores, um procedimento de acesso de emergência e autenticação de pessoas/entidades para os sistemas de informação de saúde protegida em formato eletrónico (ePHI). Uma proposta do HHS de 2025 acrescentaria a MFA com exceções limitadas, mas esse requisito continua a ser uma proposta, e não lei definitiva.

Utilize contas de cofre únicas, mantenha os procedimentos de acesso de emergência, restrinja a partilha de credenciais de ePHI e reveja regularmente os acessos e os logs.

NIS2

A NIS2 é a diretiva da UE relativa à segurança das redes e da informação. O artigo 20.º exige que os órgãos de direção aprovem e supervisionem as medidas do artigo 21.º e prevê a sua responsabilização nos termos da legislação nacional aplicável. O artigo 21.º exige medidas proporcionadas, incluindo políticas de controlo de acessos, criptografia, práticas de ciber-higiene e MFA ou autenticação contínua quando adequado. O artigo 34.º exige que os Estados-Membros fixem coimas administrativas máximas de, pelo menos, 10 milhões de euros ou 2 % do volume de negócios mundial para as entidades essenciais, consoante o montante mais elevado.

Isto traduz-se num programa de gestão de riscos aprovado pelo conselho de administração que abranja revisões de acessos, formação, resposta a incidentes e supervisão de fornecedores.

DORA

O DORA rege o risco de TIC das entidades financeiras da UE abrangidas e aplica-se desde 17 de janeiro de 2025. O artigo 9.º exige políticas e controlos de segurança das TIC, incluindo acesso segundo o princípio do menor privilégio, autenticação forte e proteção das chaves criptográficas. O artigo 10.º abrange os mecanismos de deteção; o artigo 11.º abrange a continuidade das atividades de TIC, a resposta, a recuperação, as cópias de segurança e o restauro.

Trate o cofre como um serviço de TIC: teste a recuperação, controle o acesso privilegiado, monitorize anomalias e avalie o risco do fornecedor do serviço alojado.

RGPD

O RGPD é a lei geral de proteção de dados da UE. O artigo 25.º exige a proteção de dados desde a conceção e por defeito. O artigo 32.º exige uma segurança adequada ao risco, incluindo confidencialidade, resiliência e restauro testado. Ambos se enquadram no princípio da responsabilidade: a organização deve poder demonstrar a conformidade, e não apenas afirmá-la.

Mapeie os fluxos de dados do cofre, os acessos, a telemetria, a recuperação, a conservação e as relações com subcontratantes e subcontratantes ulteriores.

Uma empresa pode aplicar uma política de base única para o cofre, mas deve sobrepor-lhe camadas mais rigorosas, delimitadas por âmbito, onde a PCI, as regras do setor financeiro, a legislação de saúde, a legislação nacional relativa à NIS2, os contratos ou a apetência interna pelo risco exijam mais. Isto mantém a política gerível sem tratar uma base de referência geral do NIST como se prevalecesse juridicamente sobre os sistemas abrangidos por um âmbito específico.

Tabela: controlos de conformidade dos gestores de palavras-passe por quadro.

Resolver pelo âmbito o conflito NIST-PCI sobre a rotação de palavras-passe

Não escolha entre o NIST e a PCI de forma global. Aplique cada norma às contas e aos sistemas que rege. O âmbito designa as pessoas, os sistemas, os dados e os processos aos quais um determinado requisito se aplica efetivamente, e um âmbito mal definido é uma fonte comum de políticas de palavras-passe contraditórias dentro da mesma organização.

A Rev. 4 do NIST estabelece que os verificadores não devem exigir alterações periódicas de palavras-passe. O Requisito 8.3.9 da PCI DSS v4.0.1 cria uma regra diferente quando uma palavra-passe ou frase-passe é o único fator de autenticação para o acesso do utilizador: alterá-la pelo menos a cada 90 dias ou utilizar a análise dinâmica da postura de segurança para determinar o acesso. A regra pode não se aplicar quando a MFA protege o acesso a todos os componentes no âmbito, sob reserva das notas de aplicabilidade da PCI e das orientações do PCI SSC. Assim, as duas normas só entram em conflito nas contas com palavra-passe de fator único abrangidas pelo âmbito PCI aplicável. Não devem ser tratadas como um conflito universal de políticas.

Utilize esta resolução em três passos:

• Mantenha um inventário etiquetado de aplicações e contas, que indique se cada uma se encontra dentro do CDE e se depende de uma palavra-passe como único fator.
• Para as contas de fator único no âmbito PCI, confirme se a MFA abrange todos os componentes no âmbito antes de presumir que o Requisito 8.3.9 não se aplica. Quando se aplicar, imponha a alteração a cada 90 dias ou a exceção permitida de análise dinâmica.
• Aplique o modelo do NIST (comprimento, listas de bloqueio, sem regras de composição, alteração após comprometimento) aos sistemas fora da PCI em que o NIST é a base de referência aplicável.

Confirme o âmbito final e o mapeamento das exceções com o avaliador PCI da organização antes de alterar a política de qualquer conta abrangida.

Mapear as passkeys para resultados dos quadros, não para rótulos de conformidade

Uma passkey (chave de acesso) é uma credencial de chave pública FIDO2/WebAuthn que assina um desafio para um site específico em vez de transmitir uma palavra-passe reutilizável. Uma passkey sincronizada está disponível em todos os dispositivos de um utilizador através de um serviço de sincronização. Um autenticador vinculado ao dispositivo mantém a chave num único autenticador. Essa diferença é relevante para os níveis de garantia de autenticação do NIST (AAL), que medem a confiança num evento de autenticação.

O NIST define três níveis. O AAL1 exige apenas autenticação de fator único e permite uma palavra-passe convencional. É nos níveis AAL2 e AAL3 que a escolha da passkey muda realmente o que se pode afirmar.

Quando uma passkey permite atingir o AAL2

O AAL2 exige dois fatores de autenticação distintos ou um autenticador multifator qualificado, e as aplicações devem oferecer uma opção resistente a phishing. Uma passkey pode permitir atingir o AAL2 quando a implementação cumpre essas condições.

A verificação do utilizador é determinante neste ponto: uma credencial WebAuthn sem verificação do utilizador constitui autenticação criptográfica de fator único, e não AAL2 automático. No caso de uma passkey sincronizada, o AAL2 exige ainda as salvaguardas do Apêndice B e MFA equivalente a AAL2 para aceder à infraestrutura de sincronização.

Porque é que as passkeys sincronizadas não podem atingir o AAL3

O AAL3 exige um autenticador resistente a phishing com uma chave não exportável e dois fatores distintos. Neste caso, a direção relevante é um autenticador vinculado ao dispositivo e não exportável. A sincronização torna a chave de autenticação exportável, pelo que um autenticador sincronizado não pode cumprir o requisito de não exportabilidade do AAL3, por melhor que seja o seu desempenho no AAL2.

Como as passkeys afetam os restantes quadros

No caso de ISO 27001, SOC 2, NIS2, DORA, HIPAA e RGPD, as passkeys podem contribuir para uma autenticação segura e reduzir a exposição ao phishing, mas não substituem as revisões de acessos, o RBAC, os controlos de recuperação, o registo de eventos nem as garantias dadas pelos fornecedores. No caso da PCI DSS, a autenticação resistente a phishing pode influenciar qual o requisito de MFA aplicável a um determinado caminho de acesso, mas não constitui uma isenção geral da PCI. Confirme o mapeamento exato com o avaliador.

Uma passkey reforça a autenticação, mas a conformidade continua a depender de quem a pode registar, de como o acesso é revogado, de como funciona a recuperação e das evidências que se conservam. Uma passkey sincronizada numa ferramenta interna de baixo risco e uma passkey vinculada ao dispositivo que protege uma conta de administrador no âmbito PCI cumprem requisitos de política muito diferentes, apesar de ambas se chamarem «passkeys».

Implementar a Credential Governance Overlay

A CGO converte o mapa de normas em cinco camadas operacionais, cada uma com a sua ação e o seu trilho de evidências. Um problema comum nas auditorias é não conseguir demonstrar o ciclo de vida das credenciais.

• Ciclo de vida das identidades. Ligue o cofre a uma fonte de identidades de referência. Aprove o acesso antes de o conceder, ajuste-o quando a função muda e remova-o na saída do colaborador. O acesso ao cofre de um prestador de serviços que sai deve ser revogado no dia em que o contrato termina, e não no ciclo de processamento salarial seguinte. Conserve os registos de aprovação e de remoção de acessos.
• Política de autenticadores. Separe os caminhos de fator único, MFA e resistentes a phishing. Permita palavras-passe longas geradas automaticamente e o preenchimento automático, verifique se as novas palavras-passe estão comprometidas e aplique uma política distinta às contas privilegiadas e às contas no âmbito PCI, como uma conta de administrador dentro do CDE. Conserve as configurações das políticas e os resultados das verificações.
• Acesso ao cofre. Utilize contas individuais, funções de menor privilégio, cofres segmentados e acesso de terceiros limitado no tempo. Conserve as matrizes de acesso, os registos de revisão e os eventos de exportação ou partilha.
• Evidências e monitorização. Envie os eventos de acesso a credenciais para um log passível de revisão ou para um sistema de gestão de eventos e informações de segurança (SIEM). Analise anomalias, exportações e alterações de funções. Conserve os registos das investigações, e não apenas os logs em bruto.
• Resiliência e privacidade. Teste os procedimentos de recuperação do cofre, cópia de segurança, acesso de emergência e gestão de chaves. Conserve os resultados dos testes, as aprovações de recuperação e as decisões de risco.

O registo de auditoria mais sólido de um gestor de palavras-passe comprova o ciclo de vida de uma credencial: aprovada, emitida, utilizada, revista, revogada e recuperável em condições controladas.

Transformar controlos em evidências operacionais com o Passwork

Um produto deve ser avaliado face a esse modelo de evidências, e não face a um selo de conformidade. Os controlos de gestão de acessos do Passwork podem ajudar a operacionalizar várias camadas da CGO, embora nenhuma ferramenta cumpra sozinha um quadro de conformidade: permissões baseadas em grupos do Active Directory (AD) e LDAP, permissões granulares ao nível do cofre, da pasta e da palavra-passe, início de sessão único (SSO) SAML, autenticação de dois fatores (2FA) compatível com YubiKey e registo de auditoria das atividades de leitura, escrita, partilha e exportação.

Correspondência com a CGO: a integração com AD/LDAP e o RBAC apoiam o ciclo de vida das identidades, e as permissões segmentadas do cofre apoiam o princípio do menor privilégio. Os logs de auditoria apoiam a camada de evidências. A escolha entre a implementação autoalojada e na nuvem apoia as decisões de residência de dados específicas de cada âmbito.

Nada disto torna, por si só, uma organização conforme. Dá a uma equipa de segurança a configuração e os registos para apoiar esse trabalho, que continua a ter de ser mapeado para o âmbito e as políticas da própria organização.

Aplicar na prática estas normas de conformidade para gestores de palavras-passe

Em 2026, a conformidade dos gestores de palavras-passe resume-se a quatro passos: 

• Inventariar as contas e os sistemas 
• Identificar o âmbito regulamentar em que cada um se enquadra
• Mapear a Credential Governance Overlay para o controlo aplicável mais rigoroso
• Testar se o trilho de evidências resiste a uma revisão 

Estas normas de conformidade para gestores de palavras-passe estão de acordo quanto aos resultados, não quanto a um requisito de produto único.

Utilize um programa de gestão de palavras-passe para transformar a política de credenciais num controlo que a equipa de segurança consiga operar e que os auditores consigam verificar. Comece esta semana pelo inventário de contas e, como passo seguinte, leia o guia sobre como utilizar um gestor de palavras-passe.

Perguntas frequentes