Matriz de acesso: como montar, revisar e auditar permissões

Uma matriz de acesso organiza quem pode acessar o quê, em qual sistema e com qual nível de permissão. Para empresas que dependem de vários sistemas corporativos, ela deixa de ser apenas uma planilha de controle e passa a ser uma base para governança, auditoria e redução de riscos.

Quando a matriz está desatualizada, a organização tende a acumular acessos herdados, exceções sem justificativa, permissões excessivas e conflitos de função. O resultado aparece em auditorias, incidentes, retrabalho do time de TI e dificuldade para comprovar que cada acesso tem dono, motivo e aprovação.

Neste guia, veja como montar, revisar e auditar uma matriz de acesso com uma visão prática para ambientes corporativos, conectando o tema a gestão de acessos, revisão periódica, segregação de funções e IGA.

O que é uma matriz de acesso?

A matriz de acesso é um mapeamento estruturado entre usuários, cargos, áreas, sistemas, perfis e permissões. Ela mostra quais acessos são esperados para cada função e quais exceções precisam ser controladas separadamente.

Em uma versão simples, a matriz pode cruzar cargos e sistemas. Em uma versão mais madura, ela também considera criticidade do sistema, tipo de dado acessado, permissões transacionais, perfis de aprovação, acessos privilegiados e regras de segregação de funções.

• Usuários ou grupos de usuários, como colaboradores, terceiros, administradores e contas técnicas.
• Áreas, cargos e centros de custo vinculados à fonte de RH.
• Sistemas corporativos, como ERP, diretórios, CRM, colaboração, service desk e aplicações legadas.
• Perfis e permissões concedidos em cada sistema.
• Responsável pelo perfil, aprovador do acesso, justificativa e evidência de revisão.

Por que a matriz de acesso é importante para auditoria e compliance?

Auditorias de segurança, controles internos e conformidade costumam fazer perguntas simples, mas difíceis de responder quando os acessos estão espalhados: quem tem acesso, por que tem, quem aprovou, quando foi revisado e se esse acesso ainda faz sentido.

Uma matriz bem mantida facilita essa resposta porque cria um padrão de referência. Ela ajuda a demonstrar o princípio do menor privilégio, apoiar exigências de proteção de dados, reduzir permissões indevidas e sustentar processos de revisão de acessos.

Também é uma ferramenta importante para identificar conflitos de segregação de funções. Por exemplo: o mesmo usuário não deveria conseguir cadastrar um fornecedor, aprovar pagamento e executar o pagamento sem controles compensatórios.

Como montar uma matriz de acesso em 7 etapas

1. Defina o escopo inicial

Comece pelos sistemas mais críticos, não por todos os sistemas ao mesmo tempo. ERP, diretório corporativo, sistemas financeiros, RH, CRM e ferramentas com dados sensíveis costumam ser bons candidatos para a primeira onda.

• Quais sistemas entram no primeiro ciclo?
• Quais áreas e perfis serão mapeados?
• Quais permissões são críticas para auditoria?
• Quem será o responsável de negócio por validar cada perfil?

2. Use a estrutura organizacional como base

A matriz precisa refletir a realidade da empresa. Por isso, cargos, áreas, gestores, unidades e tipo de vínculo devem vir de uma fonte confiável, normalmente o sistema de RH.

Esse vínculo evita que a matriz vire um documento isolado. Quando uma pessoa muda de área, cargo ou gestor, a necessidade de acesso também pode mudar.

3. Catalogue sistemas, perfis e permissões

Depois do escopo, liste os sistemas e detalhe os perfis existentes. Em muitos ambientes, esse levantamento revela nomes pouco claros, perfis duplicados, permissões antigas e exceções que ninguém sabe justificar.

• Nome do sistema e responsável pelo sistema.
• Perfis existentes e descrição funcional de cada perfil.
• Permissões sensíveis, administrativas ou de alto impacto.
• Dependências entre perfis, grupos e regras internas do sistema.
• Contas técnicas, robôs e usuários privilegiados.

4. Relacione cargos e perfis esperados

A matriz deve indicar quais acessos são padrão para cada cargo ou função. Essa etapa aproxima o controle de acesso da operação: o foco deixa de ser “quem pediu acesso” e passa a ser “qual acesso faz sentido para esta função”.

O ideal é separar acessos padrão de exceções. Acessos padrão podem seguir fluxos mais automatizados; exceções devem exigir justificativa, prazo, aprovação adicional e revisão mais frequente.

5. Identifique conflitos de segregação de funções

Inclua regras de conflito na matriz. A auditoria de controles de acesso costuma olhar não apenas para quem tem permissão, mas para combinações de permissões que criam risco.

• Solicitar e aprovar a própria requisição.
• Criar fornecedor e aprovar pagamento.
• Cadastrar usuário e conceder perfil administrativo.
• Criar pedido, aprovar compra e dar baixa financeira.
• Administrar sistema e revisar a própria atividade sem segunda linha de validação.

6. Defina donos, aprovadores e evidências

Toda linha relevante da matriz deve ter um responsável. Sem dono, o controle perde força: ninguém confirma se o perfil ainda é necessário, se o risco é aceitável ou se uma exceção deve continuar ativa.

Além do dono do sistema, defina aprovadores por área, responsáveis de compliance quando necessário e o tipo de evidência que será usado em auditorias.

7. Estabeleça periodicidade de revisão

A matriz de acesso não deve ser revisada apenas quando uma auditoria pede evidência. Ela precisa entrar em um ciclo contínuo de recertificação, com periodicidade baseada em risco.

• Perfis críticos ou privilegiados: revisão mais frequente.
• Sistemas com dados sensíveis: revisão orientada por risco.
• Acessos padrão de baixo risco: revisão em ciclos mais amplos.
• Exceções temporárias: revisão por prazo de validade.

Como revisar uma matriz de acesso

Revisar uma matriz não significa apenas confirmar se as linhas ainda existem. A revisão deve comparar o que está documentado com o que está efetivamente concedido nos sistemas.

Na prática, o processo deve combinar três visões: a matriz aprovada, os acessos reais extraídos dos sistemas e os dados atuais de RH. Essa comparação revela colaboradores desligados com acesso ativo, pessoas que mudaram de cargo sem ajuste de permissão, exceções vencidas e perfis incompatíveis com a função atual.

• Compare matriz planejada versus acessos reais.
• Remova acessos de pessoas desligadas ou sem vínculo ativo.
• Reavalie acessos de colaboradores transferidos de área.
• Peça justificativa para exceções fora do padrão.
• Registre decisão, aprovador, data e evidência da revisão.
• Conecte o processo a fluxos de onboarding e offboarding de acessos.

Como auditar permissões com base na matriz

A auditoria deve conseguir seguir uma trilha clara: política, matriz aprovada, solicitação, aprovação, concessão, uso e revisão. Quanto mais manual for esse caminho, maior a chance de inconsistência entre planilhas, tickets e permissões reais.

Uma boa auditoria de matriz de acesso verifica se o desenho está correto e se o processo está sendo cumprido. Isso inclui analisar evidências de aprovação, logs de alteração, periodicidade de revisão, remoção de acessos indevidos e tratamento de exceções.

• Existe uma matriz formal por sistema ou grupo de sistemas?
• A matriz está alinhada a cargos, áreas e funções atuais?
• Acessos privilegiados têm controle e revisão diferenciados?
• Exceções possuem justificativa, prazo e aprovação?
• Conflitos de segregação de funções são identificados e tratados?
• As evidências estão centralizadas e são rastreáveis?

Erros comuns ao manter matriz de acesso em planilhas

Planilhas podem ajudar no começo, mas se tornam frágeis quando a empresa cresce, integra novos sistemas ou precisa revisar acessos com frequência. O problema não é a planilha em si, e sim depender dela como controle principal em um ambiente dinâmico.

• A matriz fica diferente dos acessos reais nos sistemas.
• Mudanças de cargo ou desligamentos não atualizam permissões automaticamente.
• Aprovações ficam espalhadas entre e-mails, chamados e documentos.
• Exceções permanecem ativas sem prazo definido.
• Auditorias exigem reconstrução manual de evidências.
• Não há visão consolidada de risco por usuário, perfil ou sistema.

Onde uma plataforma de IGA ajuda?

Uma plataforma de IGA transforma a matriz de acesso em um processo vivo. Em vez de manter apenas uma tabela estática, a organização conecta dados de RH, diretórios, sistemas corporativos, workflows de aprovação e ciclos de recertificação.

Com a AccessOne, a empresa pode apoiar a governança de acessos com automação de ciclo de vida, solicitação e aprovação de acessos, revisão periódica, trilhas de auditoria e integrações com sistemas como AD, Entra ID, Google Workspace, SAP, TOTVS, Salesforce, Slack, service desk e aplicações legadas.

Isso complementa temas como SSO, IAM e IGA: login único melhora a experiência de autenticação, mas a matriz, a revisão e a governança definem se o acesso concedido continua correto ao longo do tempo.

Checklist prático para começar

• Escolha os sistemas críticos para a primeira matriz.
• Defina cargos, áreas e perfis padrão por função.
• Documente permissões sensíveis e acessos privilegiados.
• Mapeie conflitos de segregação de funções.
• Separe acessos padrão de exceções.
• Defina donos de sistema e aprovadores de negócio.
• Compare a matriz com acessos reais extraídos dos sistemas.
• Crie um ciclo periódico de revisão e evidências de auditoria.

Perguntas frequentes sobre matriz de acesso

Matriz de acesso é a mesma coisa que RBAC?

Não exatamente. RBAC é um modelo de controle baseado em papéis. A matriz de acesso pode usar RBAC como base, mas também documenta sistemas, perfis, exceções, aprovadores, riscos e evidências para governança e auditoria.

Com que frequência a matriz deve ser revisada?

Depende do risco. Acessos privilegiados, sistemas críticos e dados sensíveis devem ser revisados com mais frequência. Acessos de menor risco podem seguir ciclos mais amplos, desde que mudanças de cargo e desligamentos sejam tratados rapidamente.

Quem deve aprovar os acessos na matriz?

Normalmente, a aprovação combina gestor, dono do sistema e responsável de negócio. Em casos críticos, compliance, segurança da informação ou auditoria interna também podem participar do fluxo.

A matriz substitui uma ferramenta de IGA?

Não. A matriz ajuda a definir e documentar regras, mas a ferramenta de IGA operacionaliza a governança: automatiza solicitações, aprovações, provisionamento, revisões, remoções e evidências de auditoria.

Conclusão

A matriz de acesso é um dos instrumentos mais importantes para organizar permissões corporativas. Quando bem construída, ela reduz acessos excessivos, melhora a rastreabilidade, apoia auditorias e cria uma ponte entre a necessidade do negócio e os controles de segurança.

O desafio é manter essa matriz atualizada em ambientes com muitos sistemas, mudanças organizacionais e exceções. Por isso, a evolução natural é conectar a matriz a processos de IGA, revisão de acessos e automação do ciclo de vida de identidades.

Leituras relacionadas: Revisão de acessos, Controles de acesso em sistemas corporativos e Gestão de acessos.