Acessos digitais com IA: inventário e revogação somente após aprovação

Quando alguém sai de uma equipe, muda de função ou conclui um projeto, os acessos digitais nem sempre acompanham a mudança. A conta pode continuar ativa, um grupo pode preservar permissões antigas e uma aplicação conectada pode permanecer sem responsável conhecido. A IA ajuda a organizar exportações e destacar divergências. Ela não sabe, sozinha, se um acesso ainda sustenta uma operação legítima ou se pode ser removido sem interromper o negócio.

Isso abre espaço para uma microentrega responsável: montar um inventário de contas e permissões, ligar cada achado à fonte e preparar uma fila de decisões para o responsável pelo ambiente. O produto é um diagnóstico revisável. Não é uma revogação automática, uma auditoria de conformidade ou uma promessa de eliminar incidentes.

A capa desta matéria é uma ilustração editorial original. Ela não representa uma interface real, uma invasão ou um painel certificado.

O que é a microentrega

O trabalho começa com exportações autorizadas de um conjunto limitado de sistemas e termina com uma matriz de acessos. Cada linha identifica a conta, o sistema, o tipo de identidade, o responsável informado, os grupos ou funções observáveis, o sinal de atividade disponível, a evidência e a decisão pendente.

A proposta não é transformar toda conta antiga em risco confirmado. Uma identidade sem login recente pode ser uma conta de emergência, um serviço que autentica sem interação ou um usuário sazonal. Da mesma forma, atividade recente não prova que a permissão continua necessária. O inventário organiza perguntas que o cliente consegue responder com contexto.

O que o cliente recebe

• Mapa de sistemas: plataformas incluídas, responsáveis, data da coleta e limitações de cada fonte.
• Inventário de identidades: usuários, convidados, contas administrativas, contas de serviço e grupos, sem misturar categorias.
• Matriz de acessos: conta, função, grupo, recurso, origem da informação e estado observado.
• Fila de revisão: manter, investigar, ajustar, suspender ou revogar, sempre como proposta sujeita à aprovação.
• Registro de decisão: responsável, justificativa, data, evidência e forma prevista de reversão.
• Relatório de limites: campos ausentes, fontes inacessíveis, identidades sem correspondência e ações não testadas.

A entrega não inclui garantia de segurança, economia, adequação à LGPD ou redução de custo com licenças. Esses resultados dependem do ambiente, da qualidade das fontes e da execução posterior pelo administrador autorizado.

O que fica fora do primeiro trabalho

Não inclua exclusão de usuários, troca de senha, revogação de sessão, remoção de grupos, bloqueio de aplicativos, alteração de autenticação multifator ou mudança de licença. Também não peça credenciais individuais, códigos de recuperação, tokens, segredos de aplicações ou acesso administrativo permanente.

Ambientes de saúde, crédito, governo, infraestrutura crítica e outros contextos regulados exigem escopo próprio e especialistas responsáveis. Uma planilha organizada não substitui resposta a incidente, investigação forense, revisão jurídica ou arquitetura de identidade.

Pré-requisitos e autorização

Defina por escrito quais sistemas entram, quem pode fornecer as exportações, quem conhece a situação das pessoas e quem tem autoridade para aprovar uma mudança. Combine também onde os arquivos serão processados, quem poderá lê-los, por quanto tempo serão mantidos e como serão descartados.

O NIST SP 800-53 Rev. 5 trata gestão de contas como um processo que inclui tipos permitidos, responsáveis, usuários autorizados, participação em grupos, privilégios, aprovações, monitoramento e critérios para modificar, desabilitar ou remover contas. O documento é uma referência de controles, não uma certificação automática para pequenos negócios.

Antes de conectar uma ferramenta ao ambiente, vale aplicar o mesmo princípio do guia do Bastidores sobre revisão de permissões de agentes de IA: começar pelo menor acesso que resolve a coleta e separar leitura de qualquer ação de escrita.

Passo 1: delimite sistemas e datas

Escolha um recorte pequeno, como diretório corporativo, plataforma de colaboração e repositório de código. Registre o horário de cada exportação, porque grupos, funções e estados podem mudar enquanto a revisão acontece. Não junte arquivos de datas diferentes sem identificar o corte de cada um.

Para cada sistema, anote quais campos ele realmente fornece. Nome exibido, e-mail, identificador interno, estado da conta, tipo de usuário, grupos e sinal de último acesso não são equivalentes entre plataformas. Preserve o identificador original e não use apenas o nome para cruzar pessoas.

Passo 2: colete por exportação, não por senha

Prefira relatórios gerados pelo administrador ou APIs com permissão somente de leitura. A documentação do Microsoft Entra para download de usuários mostra uma exportação CSV com propriedades de perfil e estado da conta. A lista exata de colunas e as permissões podem mudar, por isso a entrega deve guardar a data e o método de obtenção.

No Google Workspace, a documentação orienta que cada pessoa use sua própria conta e alerta contra o compartilhamento de uma identidade entre várias pessoas. A página oficial sobre criação de usuários ajuda a sustentar esse critério. Isso não significa apagar imediatamente um endereço compartilhado: primeiro descubra se ele deveria ser um grupo, uma caixa delegada ou outra solução suportada.

Se a plataforma não oferece exportação adequada, registre o limite. Capturas parciais e listas copiadas manualmente podem apoiar uma triagem, mas não devem ser descritas como inventário completo.

Passo 3: normalize sem fundir identidades

A IA pode padronizar maiúsculas, separar domínio e nome de usuário, agrupar nomes de sistemas e apontar possíveis correspondências. Mantenha sempre os valores originais ao lado dos normalizados. Uma sugestão de que duas contas pertencem à mesma pessoa deve receber estado “confirmar”, nunca “mesclado”.

Homônimos, aliases, empresas terceiras e mudanças de sobrenome tornam correspondências automáticas frágeis. E-mail parecido também não basta: uma conta administrativa separada pode pertencer legitimamente ao mesmo profissional. A validação precisa vir do responsável pelo diretório, do gestor ou de outra fonte autorizada.

Passo 4: separe os tipos de conta

Crie categorias explícitas: pessoa interna, convidado externo, administrador, grupo, caixa compartilhada, integração, robô, conta de serviço e conta de emergência. Se o tipo não puder ser confirmado, use “não identificado”.

Essa separação evita aplicar a mesma regra a realidades diferentes. Uma conta humana sem login pode merecer investigação. Uma conta de serviço pode não produzir login interativo e ainda sustentar uma automação crítica. Uma conta de emergência pode ficar sem uso por definição, mas precisa de responsável, teste e proteção adequados.

O guia de práticas de identidade e acesso da CISA organiza a governança ao redor do ciclo de entrada, mudança e saída de pessoas, além de revisão, monitoramento e auditoria. Use a referência para estruturar perguntas, não para presumir que o cliente já possui uma plataforma completa de governança.

Passo 5: trate inatividade como sinal, não veredito

Defina com o cliente qual período merece revisão e por quê. Não existe um número universal de dias que transforme uma conta em desnecessária. Sazonalidade, férias, contratos, licenças e rotinas automatizadas mudam a interpretação.

A orientação do Microsoft Entra sobre contas inativas distingue a última tentativa de login da última autenticação bem-sucedida. A primeira pode incluir falhas. Portanto, uma data recente de tentativa não comprova uso legítimo, e um campo vazio não autoriza remoção. Registre qual campo foi coletado e preserve a incerteza.

Passo 6: monte a matriz de evidências

Use uma tabela em que cada proposta de ação aponte para informações verificáveis. Um formato mínimo pode ter:

Campo	O que registrar	O que não inferir
Identidade	ID, conta, tipo e sistema de origem	Pessoa real apenas pelo nome
Acesso	Grupo, função ou recurso observado	Uso efetivo sem log ou responsável
Atividade	Campo, valor, fuso e data da exportação	Necessidade ou legitimidade
Contexto	Gestor, contrato, projeto ou processo informado	Vínculo atual sem confirmação
Proposta	Manter, investigar, ajustar, suspender ou revogar	Execução automática
Decisão	Aprovador, data, motivo e evidência	Aprovação do modelo

Se a evidência não sustenta uma ação, a linha continua pendente. A qualidade do trabalho aparece na clareza das lacunas, não na quantidade de contas marcadas em vermelho.

Passo 7: revise contas compartilhadas e de serviço

Contas compartilhadas reduzem a atribuição de ações a uma pessoa específica. Em vez de apenas marcá-las como erradas, documente finalidade, pessoas autorizadas, método de acesso, autenticação, recuperação, responsável e alternativa suportada pela plataforma.

Para contas de serviço, registre aplicação dependente, ambiente, proprietário técnico, credencial associada sem copiar seu valor, método de rotação e impacto esperado de uma interrupção. Nunca cole token ou segredo na matriz nem envie esse material à IA.

Uma identidade sem dono conhecido recebe prioridade de investigação, mas ainda não deve ser revogada no escuro. Descobrir dependências faz parte do diagnóstico.

Passo 8: use logs com contexto e limite

Logs ajudam a responder quem fez o quê e quando, mas cobertura e retenção variam. A documentação do log de auditoria de organizações do GitHub, por exemplo, informa acesso restrito a proprietários e descreve consulta e exportação em JSON ou CSV, com limites próprios.

Não apresente ausência no log como prova de ausência de uso. O evento pode estar fora do período, em outra fonte ou não ser registrado pelo plano contratado. Registre a janela disponível, os filtros aplicados e quem gerou o relatório.

Passo 9: produza uma fila de decisão segura

Organize as linhas por consequência e evidência. Contas privilegiadas sem responsável, convidados ligados a projeto encerrado e integrações sem proprietário merecem revisão rápida. Ainda assim, urgência editorial não vira autorização técnica.

Cada ação proposta deve indicar aprovador, executor, horário, comunicação necessária, dependências, validação posterior e reversão. Suspender pode ser mais reversível do que excluir, mas essa escolha depende do sistema e da política do cliente. A pessoa que fez o inventário não deve assumir autoridade que não recebeu.

Onde a IA ajuda

• normalizar nomes de sistemas e categorias sem apagar o valor original;
• detectar campos vazios, conflitos e formatos inesperados;
• agrupar contas por tipo, domínio, responsável informado ou estado;
• resumir justificativas e gerar perguntas para o aprovador;
• comparar duas exportações e destacar mudanças para conferência;
• preparar uma versão executiva sem expor segredos.

A IA não confirma identidade, vínculo empregatício, necessidade de negócio, propriedade de uma integração ou segurança de uma revogação. Também não deve receber a planilha completa quando uma amostra sintética basta para testar o método.

Proteja os dados do próprio inventário

Uma matriz de acessos revela pessoas, sistemas, funções e possíveis fragilidades. Trate-a como material sensível. A orientação da ANPD sobre segurança da informação para agentes de pequeno porte relaciona proteção de dados a confidencialidade, integridade, disponibilidade e gerenciamento de riscos.

Use armazenamento aprovado, acesso mínimo, cópia controlada, autenticação adequada e prazo de descarte. Na apresentação executiva, substitua identificadores individuais por contagens quando o nome não for necessário. A entrega continua sujeita às políticas e responsabilidades do cliente.

Teste de aceite da microentrega

• cada linha aponta para sistema, data e identificador de origem;
• valores originais foram preservados ao lado da normalização;
• contas humanas, administrativas, compartilhadas e de serviço estão separadas;
• inatividade foi tratada como sinal, com campo e período documentados;
• nenhuma senha, token ou código de recuperação entrou na entrega;
• toda ação permanece pendente até aprovação identificada;
• limites de cobertura e retenção dos logs estão explícitos;
• o cliente consegue reproduzir uma amostra a partir da fonte.

Escolha algumas linhas de categorias diferentes e peça ao responsável para refazer o caminho até a evidência. Se a conclusão depende de uma explicação que não está registrada, a entrega ainda não está pronta.

Como definir escopo e preço sem vender medo

Delimite o trabalho por número de sistemas, tipos de exportação, volume aproximado de identidades, período coberto e quantidade de reuniões de validação. Separe o diagnóstico da eventual execução das mudanças. Assim o cliente sabe o que está comprando e pode aprovar uma segunda etapa com responsabilidades claras.

Não use frases como “elimine todos os acessos indevidos”, “fique em conformidade” ou “evite qualquer invasão”. Prefira uma descrição verificável: inventariar fontes autorizadas, normalizar registros, apontar divergências e preparar decisões para os administradores.

Erros comuns

• tratar nome parecido como identidade confirmada;
• usar tentativa de login como prova de atividade legítima;
• marcar toda conta sem uso recente para exclusão;
• misturar usuário, grupo e conta de serviço na mesma regra;
• pedir privilégio administrativo quando uma exportação resolve;
• copiar segredos para a planilha ou para o prompt;
• ignorar dependências antes de suspender uma integração;
• entregar recomendações sem aprovador, evidência ou reversão.

Modelo copiável de linha

Sistema: [origem]
Data e fuso da coleta: [data]
ID original: [identificador]
Conta ou grupo: [valor observado]
Tipo: [humana, convidada, administrativa, compartilhada, serviço, grupo, não identificado]
Acesso observado: [função, grupo ou recurso]
Sinal de atividade: [campo, valor e período]
Responsável informado: [nome ou pendente]
Evidência: [relatório, registro ou confirmação]
Proposta: [manter, investigar, ajustar, suspender ou revogar]
Impacto a verificar: [dependência]
Aprovador: [responsável]
Decisão e data: [preencher]

Uma boa entrega termina antes da mudança

O valor desta microentrega está em transformar acessos dispersos em decisões rastreáveis. A IA reduz trabalho de organização e comparação, mas a autoridade permanece com quem conhece pessoas, contratos, aplicações e riscos do ambiente.

Guarde também um registro curto do método, das fontes e das correções humanas. O guia sobre como documentar uma tarefa feita com IA mostra como preservar o caminho sem arquivar material sensível desnecessário.

Quando o cliente consegue explicar por que cada conta foi mantida, investigada ou encaminhada para revogação, o inventário cumpriu sua função. A execução pode vir depois, com autorização, teste e possibilidade de reversão.

Fontes primárias

• NIST SP 800-53 Rev. 5, Security and Privacy Controls, versão corrente consultada em 5 de setembro de 2026.
• CISA e parceiros: práticas recomendadas de identidade e acesso para administradores, consultado em 5 de setembro de 2026.
• ANPD: Guia Orientativo sobre Segurança da Informação para Agentes de Tratamento de Pequeno Porte, consultado em 5 de setembro de 2026.
• Microsoft Learn: download de lista de usuários no Microsoft Entra, consultado em 5 de setembro de 2026.
• Microsoft Learn: gestão de contas inativas no Microsoft Entra, consultado em 5 de setembro de 2026.
• Google Workspace Admin Help: adicionar e administrar uma conta individual, consultado em 5 de setembro de 2026.
• GitHub Docs: revisão e exportação do log de auditoria da organização, consultado em 5 de setembro de 2026.