Controle de acesso e IAM

Prioridade Alta 16 min de leitura Não visto Lido Praticado Dominado

Do zero

Pense na portaria do Tribunal.

Você diz o seu nome na recepção: isso é identificação.
A recepcionista confere o seu documento com foto: isso é autenticação, provar que você é quem diz ser.
Ela olha a lista e vê que você pode ir ao 3º andar, mas não ao datacenter: isso é autorização.
A catraca registra que você entrou às 9h12: isso é auditoria (ou responsabilização).

IAM (Identity and Access Management, gestão de identidades e acessos) é cuidar disso tudo ao longo do tempo: criar o crachá quando alguém é contratado, mudar as permissões quando muda de setor e cancelar no dia em que sai. O maior perigo não é a porta da frente, e sim o crachá de quem saiu há meses e continua abrindo portas.

Frase para guardar: identificar é dizer quem é; autenticar é provar; autorizar é dizer o que pode; auditar é registrar o que fez.

Em 1 minuto

Fatores de autenticação: algo que você sabe (senha), tem (celular, token, cartão) ou é (biometria). MFA exige fatores de categorias diferentes.
Modelos de controle de acesso: DAC (o dono do recurso decide), MAC (rótulos definidos por uma política central), RBAC (permissões por papel ou função), ABAC (regras por atributos, como horário, local e cargo).
Princípios: menor privilégio, necessidade de conhecer, segregação de funções e negar por padrão.
Ciclo de vida da identidade: criar (admissão), alterar (mudança de cargo), revogar (desligamento) e revisar periodicamente.
SSO é um login para vários sistemas; federação é confiar no login de outra organização (por SAML ou OpenID Connect).

Exemplo concreto: a servidora que mudou de setor

Ana trabalhava no setor de Pagamentos, com acesso ao sistema de folha. Foi transferida para a Auditoria de TI e recebeu os acessos novos. Ninguém retirou os antigos.

Agora Ana pode lançar pagamentos e também auditá-los: quebra a segregação de funções.
Ela acumula acessos de que não precisa: viola o menor privilégio. Esse acúmulo tem nome, privilege creep.
Com RBAC, a mudança de papel trocaria o pacote inteiro de permissões: sai o papel “Pagamentos”, entra o papel “Auditoria de TI”.
Uma revisão periódica de acessos (recertificação), em que o gestor confirma o que cada pessoa da equipe precisa, teria detectado o problema.

Comparação: os quatro modelos de controle de acesso

Modelo	Quem decide	Exemplo
DAC (discricionário)	O dono do recurso	Você compartilha uma pasta e escolhe quem pode editar
MAC (obrigatório)	Uma política central, por rótulos de sensibilidade e níveis de habilitação; o usuário não altera	Documento “secreto” só para quem tem habilitação “secreto” ou superior
RBAC (baseado em papéis)	As permissões vão para papéis, e as pessoas recebem papéis	Papel “Auditor” pode consultar contratos; papel “Gestor” pode aprovar
ABAC (baseado em atributos)	Regras sobre atributos do usuário, do recurso e do contexto	Pode ver a folha se for do RH, em horário de expediente e na rede interna

Fator	Categoria	Exemplos
Conhecimento	Algo que você sabe	Senha, PIN, resposta secreta
Posse	Algo que você tem	Aplicativo autenticador, token, cartão com certificado
Inerência	Algo que você é	Digital, face, íris

Senha mais PIN não é MFA: os dois são “algo que você sabe”. Senha mais código do aplicativo no celular é MFA.

Biometria: dois erros que se equilibram

FAR (taxa de falsa aceitação): aceitar quem não é. É o erro mais grave para a segurança.
FRR (taxa de falsa rejeição): recusar quem é. Atrapalha o usuário.
Deixar o leitor mais rigoroso reduz a FAR e aumenta a FRR. O ponto em que as duas se igualam (CER ou EER) serve para comparar equipamentos: quanto menor, melhor.

Acessos privilegiados

Contas de administrador são o alvo preferido. A gestão de acessos privilegiados (PAM) guarda essas senhas num cofre, libera o acesso só quando necessário e pelo tempo necessário (just-in-time), grava as sessões e exige MFA. Uma regra simples: o administrador usa uma conta comum no dia a dia e a conta privilegiada só para tarefas de administração.

Como a FCC cobra

Autenticação × autorização, fatores de autenticação (o que conta como MFA) e o modelo de controle de acesso descrito num cenário (RBAC e MAC são os mais cobrados).

Classificar exemplos como algo que se sabe, tem ou é.
Reconhecer DAC, MAC, RBAC e ABAC pela descrição.
Princípios: menor privilégio, necessidade de conhecer e segregação de funções.
FAR × FRR na biometria.
SSO e federação de identidades.

Pegadinhas

“Senha e PIN formam autenticação de dois fatores.” Falso: os dois são conhecimento; MFA exige categorias diferentes.
“Autenticação define o que o usuário pode fazer.” Falso: isso é autorização; autenticação prova a identidade.
“No MAC, o dono do arquivo define quem acessa.” Falso: isso é DAC; no MAC, a política central manda e o usuário não altera.
“SSO elimina a necessidade de MFA.” Falso: com SSO, uma credencial abre vários sistemas; protegê-la com MFA fica ainda mais importante.
“Diminuir a FAR também diminui a FRR.” Falso: uma cai quando a outra sobe.

Explique com suas palavras

Explique a um colega a diferença entre autenticação e autorização e por que senha mais PIN não é autenticação multifator.

Escreva sem olhar a lição, com frases curtas e um exemplo seu.
Onde travar ou precisar de jargão, há uma lacuna: releia só essa parte.
Compare com a explicação-modelo e reescreva o que faltou.

Sua explicação

Fica salva neste navegador.

Comparar com uma explicação-modelo

Autenticar é provar quem eu sou, por exemplo digitando a senha. Autorizar é o sistema decidir o que eu posso fazer depois de saber quem eu sou: posso ler os contratos, mas não aprovar pagamentos.

Autenticação multifator exige provas de tipos diferentes: algo que eu sei, algo que eu tenho e algo que eu sou. Senha e PIN são duas coisas que eu sei. Se alguém espiar a digitação, descobre as duas. Senha mais um código gerado no meu celular é multifator, porque o atacante precisaria também do aparelho.

Teste-se

Mais duas questões deste tópico estão em Questões.

Flashcards gerados

Frente	Verso
Identificação × autenticação × autorização	Identificar é dizer quem é; autenticar é provar; autorizar é definir o que pode fazer.
Três fatores de autenticação	Algo que você sabe (senha), tem (celular, token) e é (biometria).
ABAC	Controle de acesso por atributos do usuário, do recurso e do contexto. Exemplo: Vê a folha quem é do RH, em horário de expediente e na rede interna.
SSO × federação	SSO é um login para vários sistemas da organização; federação é aceitar o login feito em outra organização, por SAML ou OIDC. Exemplo: Entrar num sistema estadual com a conta do gov.br.
O que é PAM?	Gestão de acessos privilegiados, com cofre de senhas, acesso só quando necessário, MFA e gravação das sessões.

Ligação com o estudo de caso

Num caso de sistema ou API, proponha: autenticação com MFA (ou OIDC com o gov.br), autorização por papéis (RBAC) com menor privilégio, revisão periódica dos acessos, desativação automática no desligamento do servidor e registro de todos os acessos privilegiados. Cada medida, uma frase de justificativa.

Fontes da lição

Edital nº 01/2026, Anexo II, Segurança da Informação (fontes/edital-01-2026.txt).
OWASP Top 10:2025, A01 Controle de Acesso Quebrado e A07 Falhas de Autenticação (fontes/owasp-top10-2025/owasp-top10-2025-pt-BR.md): negar por padrão, menor privilégio e MFA.
NIST SP 800-63B, Digital Identity Guidelines: autenticação

Claude explica

Tire dúvidas sobre este tema no Claude: o site copia o pedido com a lição e abre uma conversa nova, na sua conta. Confira na fonte qualquer fato de lei ou de norma.

Pratique fora do site

Faça questões da FCC sobre este tópico no QConcursos ou no Gran e registre aqui quantas fez: elas contam na meta da semana e no status do tópico.

Questões no QConcursos

Curso no Gran

Errei uma questão lá: criar flashcard