Recertificação de Acessos: O Que É, Quando Fazer e Como Automatizar

Recertificação de acessos é...

Recertificação de acessos é o processo formal e periódico em que gestores e donos de sistemas atestam, para cada usuário, se um acesso concedido continua necessário. Diferente de uma checagem pontual, é uma campanha estruturada, com prazo, responsáveis definidos e registro de evidência — usada para comprovar conformidade em auditorias como SOX, ISO 27001 e LGPD.

Toda empresa acumula acessos que já não fazem sentido: alguém mudou de área e manteve permissões antigas, um projeto terminou e o acesso ao ambiente ficou ativo, um fornecedor encerrou o contrato mas a conta segue válida. Individualmente, cada caso parece pequeno. Somados, formam o que auditores chamam de "acúmulo de privilégios" — uma das causas mais comuns de incidentes de acesso indevido.

A recertificação existe para interromper esse acúmulo de forma sistemática, não reativa. Em vez de esperar um incidente ou uma auditoria para descobrir acessos indevidos, a organização pergunta, em intervalos definidos, para cada acesso: "isso ainda deveria existir?" — e documenta a resposta.

Recertificação vs. revisão de acessos: qual a diferença?

Os dois termos são usados de forma intercambiável no dia a dia, mas vale a distinção. Revisão de acessos é o termo amplo: qualquer verificação de permissões, seja uma auditoria pontual, uma checagem disparada por um evento (desligamento, mudança de cargo) ou uma investigação de incidente.

Recertificação é uma modalidade específica de revisão: uma campanha formal e recorrente, com escopo definido (quais sistemas, quais usuários), certificadores nomeados, prazo de resposta e trilha de evidência auditável. Toda recertificação é uma revisão de acessos, mas nem toda revisão de acessos é uma recertificação.

Para o guia completo sobre como conduzir revisões pontuais e reunir evidências no dia a dia, veja Revisão de acessos: campanhas e evidências. Este artigo foca especificamente na modalidade de campanha formal — a recertificação.

Por que a recertificação é necessária?

Mesmo com processos bem desenhados de concessão de acesso, permissões se acumulam com o tempo por razões estruturais, não por falha pontual de alguém:

• Mudanças de cargo: a pessoa migra de área, mas os acessos da função anterior raramente são removidos automaticamente.
• Acessos temporários que ficam permanentes: permissões dadas para um projeto específico seguem ativas depois que ele termina.
• Exceções aprovadas informalmente: acessos liberados por urgência, sem revisão posterior programada.
• Contas de terceiros e fornecedores: permanecem ativas após o fim do contrato quando não há gatilho automático de desligamento.

Segundo o relatório Data Breach Investigations Report da Verizon, o uso indevido de credenciais e privilégios está consistentemente entre as principais causas de violações de dados ano após ano. A recertificação é o controle que a maioria dos frameworks de auditoria exige justamente para mitigar esse risco: não impede a concessão inicial de um acesso, mas garante que ele não permaneça ativo além do necessário.

Quando fazer uma campanha de recertificação

A frequência ideal depende do risco do acesso e das exigências regulatórias aplicáveis à empresa. Como referência prática:

• Acessos privilegiados e administrativos: ciclos trimestrais — são os de maior impacto em caso de uso indevido.
• Acessos a sistemas financeiros ou dados pessoais sensíveis: trimestrais a semestrais, alinhados a exigências de SOX, LGPD ou setoriais.
• Acessos padrão de baixo risco: semestrais ou anuais costumam ser suficientes.
• Acessos de terceiros e fornecedores: ciclos curtos (trimestrais) ou atrelados à vigência do contrato, o que ocorrer primeiro.

Além do calendário fixo, campanhas específicas fazem sentido após eventos relevantes — fusões e aquisições, migração de sistemas críticos, ou a descoberta de uma exceção de segurança durante uma auditoria.

Quem participa de uma campanha de recertificação

Certificadores

São quem toma a decisão final: aprovar (manter o acesso), revogar (removê-lo) ou escalar (pedir mais informação). Normalmente são o gestor direto do usuário — que sabe se a pessoa ainda precisa do acesso para sua função atual — e o dono do sistema ou aplicação, que entende o risco técnico daquela permissão específica.

Donos de dados e comitês de risco

Em campanhas de acessos sensíveis ou privilegiados, é comum envolver o dono do dado (quem responde pela informação armazenada) e, em casos críticos, um comitê de risco ou segurança da informação para dupla validação.

Equipe de governança de identidades

Coordena a campanha: define escopo, dispara notificações, acompanha prazos, escalona pendências e consolida evidências para auditoria. Em empresas sem uma plataforma dedicada, esse papel costuma cair sobre TI ou segurança, consumindo tempo desproporcional ao valor gerado.

Checklist para estruturar uma campanha de recertificação

1. Defina o escopo

Liste quais sistemas, aplicações, papéis ou grupos de usuários entram na campanha. Campanhas amplas demais atrasam certificadores; campanhas fatiadas por risco (privilegiados primeiro, depois padrão) tendem a ter melhor taxa de resposta.

2. Nomeie certificadores e defina o critério de decisão

Cada acesso precisa de um certificador claro. Documente o critério esperado: "o acesso é necessário para a função atual do usuário", não apenas "o usuário ainda trabalha aqui".

3. Prepare os dados de contexto

Certificadores decidem melhor com contexto: último uso do acesso, data de concessão, quem aprovou originalmente e se há acessos semelhantes entre pares da mesma função. Pedir uma decisão "às cegas", só com nome do sistema, gera aprovações automáticas sem análise real — o principal risco de campanhas malfeitas.

4. Defina prazo e política de escalonamento

Estabeleça um prazo de resposta (normalmente 5 a 15 dias úteis), lembretes automáticos e uma regra clara para pendências: escalar para um segundo aprovador ou revogar automaticamente o acesso não certificado ao fim do prazo.

5. Execute a revogação

Certificar não basta se a revogação não acontece de fato. Garanta que acessos marcados como "revogar" sejam efetivamente removidos nos sistemas de destino, não apenas registrados como decisão em uma planilha.

6. Registre a evidência

Para cada acesso certificado, mantenha: quem decidiu, quando, qual foi a decisão e, idealmente, a justificativa. Essa trilha é o que um auditor pede na prática — não a existência da campanha, mas a prova de que ela aconteceu com critério.

Erros comuns em campanhas de recertificação

Alguns padrões aparecem repetidamente em empresas que tratam a recertificação como formalidade burocrática em vez de controle de risco real:

• "Rubber-stamping": certificadores aprovam tudo sem analisar, porque a lista é longa e sem contexto. Reduzir o volume por ciclo e priorizar por risco ajuda a evitar isso.
• Falta de dono claro: acessos sem certificador definido ficam de fora da campanha e nunca são revisados.
• Certificação sem revogação efetiva: a decisão é registrada, mas o acesso continua ativo no sistema por falha operacional.
• Planilhas como fonte única: funcionam para poucos sistemas, mas não escalam nem geram evidência confiável quando o número de aplicações cresce.
• Campanhas isoladas do ciclo de vida da identidade: a recertificação não conversa com admissões, mudanças de cargo e desligamentos, tratando cada processo como silo separado.

Como a automação muda a recertificação

Uma plataforma de governança de identidades e acessos (IGA) automatiza as partes operacionais da campanha: coleta os acessos ativos diretamente dos sistemas conectados, monta a lista de certificação por gestor ou dono de sistema, dispara notificações e lembretes, aplica a política de escalonamento e executa a revogação nos sistemas de destino quando o certificador nega ou o prazo expira.

O ganho não é apenas velocidade. É consistência: toda campanha segue o mesmo processo, toda decisão fica registrada com autor e data, e a trilha de auditoria existe de forma automática, sem esforço extra de compilar evidências manualmente às vésperas de uma auditoria.

Onde a AccessOne ajuda

A AccessOne apoia campanhas de recertificação ao consolidar os acessos ativos de sistemas conectados, montar automaticamente a lista de certificação por gestor ou dono de aplicação e registrar cada decisão com trilha de auditoria completa. Políticas de escalonamento e revogação automática reduzem o trabalho manual da equipe de governança em cada ciclo.

Se sua empresa ainda conduz recertificações por planilha ou e-mail, vale conhecer como a plataforma pode estruturar esse processo — Agendar Demo da Plataforma IGA para uma demonstração.

Perguntas frequentes

Recertificação de acessos e revisão de acessos são a mesma coisa?

Não exatamente. Revisão de acessos é o termo guarda-chuva para qualquer verificação de permissões, incluindo checagens pontuais ou disparadas por eventos. Recertificação é uma modalidade específica de revisão: uma campanha formal, periódica e documentada, em que certificadores atestam explicitamente se cada acesso continua necessário, gerando evidência de auditoria.

Com que frequência uma empresa deve rodar campanhas de recertificação?

A maioria das empresas roda recertificações trimestrais para acessos críticos ou privilegiados e semestrais ou anuais para acessos padrão de baixo risco. Frameworks como SOX e ISO 27001 costumam exigir ciclos documentados; o intervalo ideal depende do apetite de risco e do volume de mudanças de pessoal.

Quem deve atuar como certificador em uma campanha?

O gestor direto do usuário e o dono do sistema ou aplicação são os certificadores mais comuns, pois têm contexto sobre a necessidade real do acesso. Em ambientes maduros, donos de dados e comitês de risco também participam de recertificações de acessos sensíveis.

O que acontece se um certificador não responder dentro do prazo?

Empresas maduras definem uma política de exceção: escalonamento automático para um segundo aprovador, notificações de lembrete e, em geral, revogação automática do acesso não certificado ao fim do prazo. Deixar pendências sem resolução compromete a evidência de auditoria da campanha inteira.

Recertificação manual em planilhas é suficiente para auditoria?

Tecnicamente é possível, mas raramente escala. Planilhas dificultam rastrear decisão, autor, data e justificativa de cada certificação, e não geram trilha de auditoria confiável em ambientes com dezenas de sistemas. Ferramentas de IGA automatizam a coleta de acessos, o roteamento de aprovações e o registro de evidências.

Conclusão

Recertificação de acessos não é burocracia de auditoria — é o controle que impede que permissões concedidas hoje se tornem o risco de amanhã. O que separa uma campanha eficaz de um exercício de "carimbar tudo" é escopo bem definido, certificadores com contexto real e evidência consistente do início ao fim.

Para complementar, veja também o guia sobre revisão de acessos e evidências e o conteúdo sobre RBAC, que reduz o volume de exceções a serem recertificadas a cada ciclo.