Controle de acesso ao painel de KYC: convites, papéis e trilha de auditoria

O painel de um fornecedor de verificação de identidade concentra o que a sua empresa tem de mais sensível sobre terceiros: documento, selfie, dados cadastrais e a decisão tomada sobre cada pessoa que passou pelo funil. Quando alguém da sua equipe abre esse painel, não está olhando dado da empresa, está tratando dado pessoal de cliente, e boa parte dele é dado sensível.

Por isso o acesso da equipe ao painel merece o mesmo rigor que se cobra do resto da operação. A Lei Geral de Proteção de Dados, a Lei 13.709/2018, exige no artigo 46 medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados, e enuncia no artigo 6º, inciso III, o princípio da necessidade: tratar o mínimo necessário para a finalidade. Aplicado ao acesso interno, isso vira uma pergunta simples que muita empresa nunca fez: quem da equipe realmente precisa ver selfie de cliente para trabalhar?

Este artigo descreve o desenho de acesso que responde bem a essa pergunta, o ciclo de vida que o mantém saudável e o que verificar no fornecedor antes de assinar.

A conta compartilhada é o antipadrão que reprova

O atalho universal das operações pequenas é uma conta só, com a senha colada no canal do time. O atalho custa caro em três frentes ao mesmo tempo. Primeiro, destrói a trilha: se todo mundo é o mesmo usuário, ninguém consultou verificação nenhuma, e no dia em que um dado vazar não existe como reconstruir quem viu o quê. Segundo, quebra a revogação: quando alguém sai da empresa, ou se troca a senha de todos, ou o ex-funcionário continua entrando. Terceiro, elimina a possibilidade de papéis: a conta compartilhada tem, por definição, o acesso da pessoa mais privilegiada que a usa.

É também o item que reprova mais rápido numa diligência. Auditoria de prevenção à lavagem de dinheiro, certificação de segurança e questionário de cliente enterprise fazem a mesma pergunta de formas diferentes: como você controla e registra o acesso a dado de cliente? A conta compartilhada responde "não controlo", por escrito. O mesmo raciocínio que aplicamos aos erros de implementação que reprovam em auditoria vale aqui: o controle que não deixa registro é indistinguível do controle que não existe.

Acesso nominal, por convite, com papel

O desenho que se defende começa pelo acesso nominal: cada pessoa da equipe tem a própria conta, criada por convite enviado ao e-mail corporativo dela, nunca por credencial repassada. O convite importa mais do que parece: ele documenta quem autorizou a entrada, quando, e com que papel, e é o primeiro evento da trilha daquela pessoa.

O papel traduz a função real, não a hierarquia. Quem opera a fila de revisão precisa ver as verificações e decidir sobre elas, mas não precisa criar chave de API nem alterar webhook. Quem integra a API precisa das chaves e da configuração técnica, mas não precisa abrir selfie de cliente. Quem cuida do financeiro precisa de fatura e consumo, e de mais nada. Esse é o princípio do menor privilégio, formalizado no catálogo de controles de segurança NIST SP 800-53, do National Institute of Standards and Technology dos Estados Unidos, no controle AC-6: cada conta com o mínimo de permissão que a função exige. A ISO/IEC 27001, norma internacional de gestão de segurança da informação, cobra a mesma disciplina nos controles de acesso do seu Anexo A.

Na UNIFOKAL, por exemplo, membro da equipe entra por convite nominal enviado por e-mail, e as ações administrativas, como criação de chave e mudança de webhook, ficam registradas em trilha de auditoria consultável. É esse tipo de mecânica que vale conferir em qualquer fornecedor, porque ela não se improvisa depois.

O ciclo de vida: entrada, mudança e saída

Acesso saudável não é um evento, é um ciclo com três momentos que precisam de dono.

A entrada é a já descrita: convite nominal, papel definido antes de a pessoa logar pela primeira vez, e convite pendente que expira sozinho se não for aceito.

A mudança de função é o momento mais negligenciado. A pessoa que migra da revisão para a integração tende a acumular os dois papéis, porque ninguém lembra de tirar o antigo. Em um ano, os veteranos da empresa viram superusuários por sedimentação. O antídoto é a revisão periódica de acessos: em intervalo fixo, alguém responsável percorre a lista de membros e confirma, papel por papel, que cada acesso ainda corresponde a uma função ativa. É revisão de quinze minutos por trimestre que remove o risco acumulado de anos.

A saída precisa ser imediata e amarrada ao desligamento: a revogação do acesso ao painel entra no mesmo checklist de RH que recolhe o crachá e desativa o e-mail. Acesso de ex-funcionário a dado sensível de cliente é exatamente o tipo de porta aberta que um plano de resposta a incidente preferia nunca ter que explicar.

Trilha de auditoria: quem fez o quê, quando

A trilha de auditoria é o que transforma controle de acesso em evidência. O registro mínimo que interessa: quem convidou quem e com que papel, quem alterou configuração que muda o comportamento do produto, como chave de API, webhook e regra de fluxo, quem consultou qual verificação, e quando cada uma dessas coisas aconteceu.

Dois requisitos separam a trilha útil da decorativa. Ela precisa ser consultável e exportável pela própria empresa cliente, porque evidência que só o fornecedor enxerga não serve à sua auditoria. E precisa ser íntegra: registro de auditoria que o próprio administrador consegue editar ou apagar não prova nada. Vale perguntar também se o fornecedor registra o acesso do suporte técnico dele aos seus dados, porque a cadeia de acesso não termina na sua equipe.

Perguntas para fazer ao fornecedor

Na avaliação de um fornecedor de verificação, o bloco de controle de acesso cabe em seis perguntas objetivas, que complementam a diligência de fornecedor mais ampla:

• O acesso é nominal, por convite, ou existe conta compartilhada em algum fluxo?
• Existem papéis separando operação de revisão, configuração técnica e financeiro?
• A revogação de um membro é imediata e pode ser feita pela própria empresa?
• A trilha registra convites, mudanças de configuração e consultas a verificações, com data?
• A trilha é consultável e exportável pelo cliente?
• O acesso do suporte do fornecedor aos dados do cliente é registrado e limitado?

Resposta evasiva a qualquer uma delas é informação. Fornecedor que leva acesso a sério responde com tela, não com promessa: mostra o convite, mostra o papel, mostra a trilha. E a sua equipe, do outro lado, sustenta o desenho com a parte que só ela pode fazer: papel certo por função, revisão periódica e revogação no dia do desligamento. Controle de acesso bom é rotina discreta; a alternativa costuma aparecer de uma vez, no pior dia possível.

Fontes citadas

• Lei 13.709/2018, Lei Geral de Proteção de Dados, artigos 6º, III (princípio da necessidade) e 46 (medidas de segurança), no portal do Planalto: planalto.gov.br
• NIST SP 800-53, catálogo de controles de segurança e privacidade do National Institute of Standards and Technology, controle AC-6 (menor privilégio): csrc.nist.gov
• ISO/IEC 27001, norma internacional de sistemas de gestão de segurança da informação, controles de acesso do Anexo A, citada por sigla.