Política de Controle e Gestão de Acessos

1. Introdução

1.1. Propósito

Esta Política de Controle e Gestão de Acessos (“Política”) estabelece as diretrizes, regras e responsabilidades para concessão, manutenção, revisão, monitoramento e revogação de acesso a sistemas, plataformas, APIs, servidores, redes, bancos de dados e demais recursos tecnológicos da Openbanx.

O objetivo é garantir que:

• os acessos sejam autorizados, auditáveis e concedidos apenas conforme a necessidade;
• dados pessoais, dados sensíveis e dados financeiros do Open Finance estejam protegidos;
• todos os controles de autenticação e autorização sejam robustos, confiáveis e rastreáveis;
• a empresa atenda plenamente às exigências da LGPD, ISO 27001, ISO 27701, CMN 4.893/21 e Open Finance Brasil.

1.2. Escopo

Aplica-se a:

• colaboradores, estagiários, terceiros, fornecedores e parceiros;
• sistemas internos, ambientes em nuvem, APIs, integrações e microsserviços;
• bases de dados, ferramentas de suporte, ambientes de desenvolvimento, homologação e produção;
• dados pessoais, sensíveis e financeiros processados pela Openbanx.

1.3. Princípios fundamentais

A gestão de acessos deve observar:

1. Princípio do Menor Privilégio;
2. Necessidade de Saber (“Need to Know”);
3. Autenticação Forte (MFA);
4. Segregação de Funções (SoD);
5. Rastreabilidade e Auditoria Completa;
6. Temporalidade dos Acessos;
7. Privacidade by Design.

2. Papéis e responsabilidades

2.1. Gestor de Acessos (GA)

• Administrar concessões, revisões, bloqueios e revogações.
• Garantir a aplicação dos controles definidos nesta Política.
• Manter registros, evidências e trilhas de auditoria.

2.2. Segurança da Informação

• Definir padrões de acesso, autenticação e autorização.
• Monitorar acessos privilegiados e comportamentos anômalos.
• Realizar auditorias e revisões periódicas.

2.3. Gestores de Área

• Solicitar acessos conforme as funções realizadas.
• Validar justificativas e o nível de privilégio requerido.
• Participar da revisão periódica de acessos.

2.4. DPO (Encarregado)

• Avaliar riscos relacionados ao acesso a dados pessoais.
• Garantir conformidade com a LGPD e a ISO 27701.

2.5. Usuários

• Utilizar apenas credenciais individuais e intransferíveis.
• Cumprir os requisitos de autenticação e segurança.
• Reportar suspeitas de uso indevido.

2.6. Terceiros e fornecedores

• Obedecer às regras de acesso contratualmente exigidas.
• Utilizar credenciais temporárias e monitoradas.
• Permitir auditorias sobre os acessos concedidos.

3. Controle e gestão de acessos

3.1. Concessão de acesso

1. Solicitação formal. Deve ser realizada pelo Gestor de Área por meio de sistema próprio ou documento formal e deve incluir justificativa, função e necessidade operacional.
2. Aprovação.
   • Para acessos comuns: Gestor de Área + GA.
   • Para acessos sensíveis ou dados financeiros Open Finance: Gestor de Área + Segurança da Informação + CSP (Comitê de Segurança e Privacidade).
3. Treinamento prévio. O usuário deve completar treinamento obrigatório de Segurança, LGPD e Open Finance.
4. Registro em trilhas de auditoria. Todas as concessões devem gerar registros detalhados e imutáveis.

3.2. Autenticação e credenciais

1. Identidade individual e intransferível. É proibido o uso de credenciais compartilhadas.
2. Autenticação multifator (MFA). Obrigatória para todos os acessos a:
   • produção;
   • painéis administrativos;
   • APIs do Open Finance;
   • dados pessoais ou sensíveis.
3. Padrões de senha. Mínimo de 12 caracteres; uso de combinações complexas; expiração a cada 90 dias.
4. Armazenamento seguro. Nunca em texto plano; sempre em cofre seguro (HSM ou Secret Manager).

3.3. Autorização e privilégios

1. RBAC (Role-Based Access Control). Todo acesso será atribuído por papéis definidos e documentados.
2. Segregação de Funções (SoD). Impede que o mesmo usuário execute funções conflitantes (ex.: dev + prod + financeiro).
3. Acessos privilegiados. Devem ser:
   • raros;
   • temporários;
   • justificados;
   • monitorados;
   • gravados em logs auditáveis.

O uso de contas privilegiadas deve ser registrado em cofre de senhas com controle de sessão.

3.4. Revisão periódica de acessos

1. Revisão obrigatória a cada 90 dias, conforme a ISO 27001.
2. O Gestor de Área deve validar se os acessos permanecem necessários.
3. A Segurança da Informação deve realizar auditoria independente.
4. As evidências de revisão devem ser registradas e armazenadas.

3.5. Monitoramento e auditoria

1. Todos os acessos devem ser monitorados via SIEM ou ferramenta equivalente.
2. Os logs devem registrar:
   • data/hora;
   • usuário;
   • ações realizadas;
   • sistema acessado;
   • sucesso ou falha.
3. Os logs devem ser imutáveis e mantidos conforme exigências do Bacen (mínimo de 5 anos para dados regulatórios).
4. Alertas automáticos devem ser gerados para:
   • tentativas de login fora do padrão;
   • múltiplas falhas de autenticação;
   • acesso fora do horário comercial;
   • acessos privilegiados inesperados;
   • escalonamento inadequado de privilégios.

3.6. Revogação de acessos

1. Imediata em casos de:
   • desligamento;
   • afastamento;
   • mudança de função;
   • suspeita de comprometimento.
2. Deve ser executada mediante notificação do RH ou do Gestor de Área.
3. A evidência da revogação deve ser armazenada.
4. O checklist de desligamento deve ser utilizado para evitar acessos residuais.

4. Proteção de acessos a dados pessoais e financeiros

1. O acesso a dados pessoais deve seguir os princípios da LGPD.
2. O acesso a dados financeiros via Open Finance deve seguir:
   • consentimento válido;
   • registro de escopo;
   • auditoria completa das operações.
3. Dados sensíveis só podem ser acessados por pessoas previamente autorizadas.
4. É proibida a extração ou cópia local de dados sem autorização formal.

5. Contas de serviço, APIs e integrações

5.1. Contas de serviço

• Devem ter os privilégios mínimos necessários.
• Não podem ser utilizadas por usuários humanos.
• Devem possuir rotação automática de credenciais.

5.2. Integrações e APIs

• Devem utilizar autenticação forte (OAuth 2.0, MTLS, OpenID, conforme padrão OFB).
• Tokens devem ser temporários e revogáveis.
• Logs de API devem registrar todas as transações.
• A Segurança deve validar periodicamente permissões e escopos.

6. Revisão e vigência

Esta Política será revisada pelo Comitê de Segurança e Privacidade (CSP):

• anualmente; ou
• sempre que houver alterações relevantes em normas ISO, Bacen, CMN, ANPD ou Open Finance.

7. Referências

1. ISO/IEC 27001:2022 – A.5, A.6, A.8, A.9, A.12.
2. ISO/IEC 27701:2025 – controles relacionados a privacidade.
3. LGPD – Lei 13.709/2018.
4. Resolução CMN nº 4.893/2021 – Segurança Cibernética.
5. Resolução CMN nº 4.968/2021 – Compartilhamento de Dados.
6. Padrões técnicos e regulatórios do Open Finance Brasil.
7. Circulares e Ofícios do Banco Central aplicáveis à segurança e ao consentimento.