IAM

01 · O desafio

Três situações que custam caro, e que toda empresa reconhece

Nenhuma delas acontece por falta de cuidado das equipes. Elas acontecem porque a resposta para a pergunta "quem é esta pessoa e o que ela pode fazer" está espalhada por dezenas de sistemas, e cada um guarda só um pedaço dela.

• A pessoa chegou e não consegue produzir

  Primeiro dia de trabalho

  A nova analista foi contratada, o crachá saiu, e ela senta em uma mesa sem e-mail, sem acesso ao sistema de gestão e sem conexão remota. Cada liberação virou um chamado diferente, aberto por uma pessoa diferente, em um dia diferente. A primeira semana dela se passa ao lado de um colega, olhando a tela dele. A empresa pagou a semana inteira.

• O acesso que ninguém desligou

  Três meses após o desligamento

  Um profissional saiu em julho. O e-mail foi cortado no mesmo dia, porque alguém lembrou. A conta dele no sistema financeiro, o acesso ao ambiente de um fornecedor e a chave de integração que ele criou para automatizar um relatório continuam ativos. Ninguém os desligou porque ninguém sabia que existiam. A lista completa dos acessos daquela pessoa nunca existiu.

• A pergunta que fica sem resposta

  Dia de auditoria

  O auditor aponta para uma tela e pergunta quem autorizou aquele acesso, em que data e com base em qual justificativa. A resposta honesta é que o acesso está lá há dois anos, que quem o concedeu já não trabalha na empresa e que o registro, se existiu, está em um e-mail que ninguém guardou. A conversa termina em uma não conformidade que custa mais do que a solução que a teria evitado.

02 · A solução

Um cadastro único, e o acesso como consequência do papel

A plataforma parte de uma ideia simples e consequente: a empresa passa a ter um lugar onde cada pessoa existe uma única vez, e o acesso de cada uma deixa de ser uma coleção de favores para virar o resultado automático do papel que ela ocupa.

• Cadastro único de pessoas

  Cada pessoa é cadastrada uma vez e continua sendo a mesma se mudar de área, se for contratada por outra empresa do grupo ou se voltar depois de alguns anos. O histórico acompanha a pessoa, não o login.

• Acesso por papel

  O que a pessoa pode fazer vem do cargo e da área que ela ocupa. Trocar de papel passa a significar perder o acesso antigo e receber o novo no mesmo instante, sem depender de alguém lembrar.

• Ciclo de vida completo

  Admissão, mudança de área, afastamento e desligamento deixam de ser avisos informais e passam a ser eventos com data, responsável e efeito imediato sobre o acesso.

• Visão nos dois sentidos

  Em uma consulta você vê tudo o que uma pessoa pode fazer, e em outra você vê todas as pessoas que podem acessar um determinado sistema. A segunda é a que a auditoria sempre pede e quase nenhuma empresa consegue responder.

• Integração com o que já existe

  Os seus sistemas consultam a plataforma quando precisam e são avisados automaticamente quando algo muda. Não é preciso trocar nada do que já funciona para começar.

• Trilha de auditoria confiável

  Toda concessão e toda retirada de acesso ficam registradas com autor, data e justificativa, em um registro encadeado que acusa qualquer tentativa de alteração posterior.

03 · Valor

Onde o ganho aparece, e para quem

Um projeto de identidade raramente é aprovado pelo que ele faz. Ele é aprovado pelo que ele evita. Esta seção traduz a plataforma na linguagem de quem assina.

• Produtividade desde o primeiro dia

  Quando a admissão é um evento único e automático, a pessoa nova começa a produzir no dia em que chega. Em uma empresa que contrata com frequência, esse ganho se repete a cada contratação.

• Redução direta de risco

  A maior parte dos incidentes graves começa em uma credencial que não deveria mais existir. Fechar essa porta é a medida de segurança com melhor relação entre custo e efeito.

• Conformidade sem corrida

  A evidência deixa de ser um projeto que começa quando a auditoria é marcada. Ela passa a ser um subproduto natural da operação do dia a dia.

04 · Como funciona

As peças da plataforma, em linguagem de negócio

A plataforma é composta por quatro peças que trabalham juntas e têm responsabilidades separadas de propósito. Essa separação não é um detalhe de engenharia: ela é o que impede que um problema em uma das portas se transforme em um problema em todas as outras.

05 · Integração

A plataforma conversa com o que você já tem

Existem duas formas de um sistema conversar com outro, e elas resolvem problemas diferentes. Quem precisa saber agora, pergunta. Quem precisa ser avisado quando algo mudar, recebe o aviso. A maior parte dos projetos de integração fica cara por usar a primeira onde a segunda era necessária, e acabar perguntando de minuto em minuto para descobrir tarde.

06 · Ciclo de vida

Da admissão ao desligamento, com data e responsável

Todo acesso tem um começo e deveria ter um fim. Na prática, a maior parte das empresas controla bem o começo e muito mal o fim. A plataforma trata os dois como momentos do mesmo ciclo, e cada passagem de um estado para o outro é um fato registrado que alcança automaticamente todos os sistemas interessados.

07 · Segurança

O que é seu permanece seu

Um sistema de identidade é, por natureza, o lugar mais sensível da empresa: ele sabe quem é cada pessoa e o que cada uma pode fazer. A decisão que organiza todas as outras é que esse lugar fica dentro de casa, na sua infraestrutura, com o seu banco de dados e a sua chave de criptografia.

• Criptografia onde ela realmente protege

  Os dados sensíveis são protegidos individualmente, com uma chave própria por titular. A diferença aparece no dia em que a empresa precisa comprovar que eliminou os dados de uma pessoa: destruída a chave daquele titular, o conteúdo se torna irrecuperável, sem depender de reescrever cópias de segurança antigas.

• Uma trilha que não se reescreve

  O registro de auditoria só aceita acréscimos, e cada entrada é encadeada à anterior. Alterar ou remover um registro do meio quebra a corrente, e isso é detectável a qualquer momento. A trilha guarda também o motivo, que é o que transforma um registro técnico em uma evidência que o auditor aceita.

• Superfície reduzida por desenho

  O motor de automação não atende ninguém pela rede. A ferramenta de operação técnica exige presença no servidor. Cada uma dessas separações é algo que um invasor não ganha ao comprometer a peça errada, e todas são verificáveis na instalação.

• O cache guarda decisão, não pessoa

  Quando o sistema de cache é utilizado, ele armazena apenas a resposta "pode" ou "não pode". Nome, documento, endereço e contato não entram nele. É uma decisão de privacidade antes de ser de desempenho: um cache de identidade mal desenhado é um segundo banco de dados pessoais que ninguém lembra de inventariar.

08 · Conformidade

Desenhada sob quatro normas internacionais

Cada aba abaixo diz três coisas: o que a norma pede, como a plataforma responde e o que permanece sendo responsabilidade da sua organização. A terceira é a que costuma faltar em um material comercial, e é justamente a que decide se a auditoria passa.

ISO/IEC 27001

Segurança da informação. É o terreno natural da plataforma: boa parte dos controles de acesso que a norma exige descreve exatamente aquilo que uma solução de identidade faz todos os dias.

O que permanece com a sua organização: o sistema de gestão, a política, a análise de risco, a gestão de fornecedores, a continuidade de negócio, a segurança física e o treinamento. A plataforma entrega controles técnicos e evidências; o sistema de gestão é da empresa, e é nele que a Hosanna atua pela consultoria contínua.

ISO/IEC 27701

Privacidade da informação. É a norma que mais se aplica, por uma razão que costuma passar despercebida: todo registro de identidade é dado pessoal. Uma solução de identidade não é um sistema que às vezes toca privacidade, ela é um inventário de pessoas com o histórico de comportamento ao lado.

E a LGPD: esta norma é o caminho prático para demonstrar a lei brasileira, e a correspondência é direta. A plataforma cobre o registro das operações de tratamento, a eliminação comprovável e o atendimento ao titular. O que permanece com a sua organização: o papel de controlador, o aviso de privacidade, a base legal de cada tratamento e o relatório de impacto, que são frentes da consultoria contínua.

ISO/IEC 27017

Segurança para serviços em nuvem. Aqui cabe uma clareza que muda o tom da conversa: a plataforma é instalada na sua casa. Esta norma passa a valer quando a sua empresa escolhe hospedá-la em uma infraestrutura de nuvem, e nesse caso os controles de cliente de nuvem são da sua organização, não da Hosanna.

A conclusão honesta desta aba: esta norma é quase inteiramente da sua organização. A contribuição da plataforma é não atrapalhar, ou seja, não exigir saída para a internet, não exigir componente gerenciado de terceiros e declarar com precisão o que precisa do ambiente. É também uma das frentes da consultoria contínua.

ISO/IEC 27018

Proteção de dado pessoal em nuvem pública. Esta é a aba mais curta, e a resposta é a mais forte que existe: a Hosanna não opera a sua plataforma nem processa os seus dados. Você instala, você opera e você é o controlador. A norma trata do risco de confiar dado pessoal a um terceiro que o processa, e nesse modelo de entrega esse terceiro simplesmente não existe.

"Não se aplica" é uma resposta melhor do que "atendido", e é por isso que ela aparece aqui três vezes. O controle não é cumprido com esforço, ele deixa de ter sobre o que incidir, porque a arquitetura escolhida eliminou o risco na origem.

09 · Implantação

Do mapeamento à operação contínua, passo a passo

A Hosanna não entrega um instalador e um manual. O caminho abaixo é percorrido junto com a sua equipe, e ele não termina na entrada em produção: termina em um acompanhamento permanente, com consultoria de conformidade incluída.

• Quem participa da sua parte

  Um responsável por RH, um por TI e um por segurança da informação, com disponibilidade combinada. A experiência mostra que esse trio é o que separa um projeto de três meses de um projeto de um ano.

• O que o ambiente precisa ter

  Um servidor na sua infraestrutura, um banco de dados persistente dedicado, certificado para o canal criptografado e a sua rotina de backup. O sistema de cache entra apenas quando o volume justifica.

• Começar pequeno e crescer

  Não é preciso integrar tudo de uma vez. A recomendação é começar pelos sistemas de maior impacto, mostrar resultado cedo e ampliar em ondas, com cada onda aprovada antes da seguinte.

10 · O parceiro

O que você ganha além do software

Comprar uma plataforma de identidade é fácil. Fazer uma funcionar dentro de uma empresa que já tem dezenas de sistemas e anos de exceções acumuladas é outra conversa, e é nela que a escolha do parceiro pesa mais do que a escolha da ferramenta.

• Software e consultoria na mesma mesa

  A mesma equipe que implanta a plataforma conduz a consultoria de conformidade. Você não precisa traduzir para um consultor o que o fornecedor fez, nem explicar ao fornecedor o que o auditor pediu.

• Sem dependência de serviço externo

  A plataforma funciona sem qualquer conexão com a Hosanna. Isso significa que a continuidade da sua operação não depende da disponibilidade de um terceiro, e que uma eventual mudança de fornecedor não imobiliza os seus dados.

• Atendimento em português, no seu fuso

  Empresa brasileira, equipe local, contrato em reais e suporte no horário em que a sua operação acontece. Em um sistema que controla o acesso de toda a empresa, o tempo de resposta importa tanto quanto a funcionalidade.

• Engenharia com disciplina de medição

  Cada entrega passa por uma bateria automatizada de verificações antes de chegar ao cliente, de acessibilidade a segurança. É a razão de este documento conseguir afirmar com precisão o que a plataforma faz e o que ela não faz.

11 · Perguntas frequentes

As dúvidas mais comuns, respondidas

12 · Contato

Vamos conversar sobre o seu cenário

O primeiro passo é uma conversa de uma hora com as pessoas que hoje aprovam acessos na sua empresa. Dela sai o escopo do mapeamento, e do mapeamento sai um diagnóstico escrito que vale por si mesmo, mesmo que você decida não seguir adiante.

1. Traga as suas três situações. Quanto tempo leva hoje uma admissão, quantos acessos sem dono apareceram na última revisão e qual pergunta de auditoria ficou sem resposta.
2. Olhamos juntos os seus números. Quantas pessoas, quantos sistemas, quantas contas. É onde quase toda empresa descobre que tem muito mais contas do que pessoas.
3. Apresentamos o escopo e o cronograma do mapeamento, com prazo e investimento definidos antes de qualquer compromisso maior.

Hosanna Tecnologia Ltda. Este material tem finalidade informativa e comercial. As condições de fornecimento, prazos e investimento são definidos em proposta específica, após o mapeamento.