O que é IGA?
IGA, ou Identity Governance and Administration, reúne processos e tecnologias para governar o ciclo de vida das identidades, aprovar, revisar e administrar seus acessos.
Como a IGA funciona?
O processo começa ao relacionar pessoas e outros vínculos gerenciados às contas e permissões existentes nos sistemas. Políticas definem os acessos previstos; solicitações fora desse padrão passam pelos responsáveis designados. O provisionamento aplica as mudanças, e a reconciliação verifica se o resultado corresponde ao que foi autorizado.
Revisões periódicas perguntam se cada permissão continua necessária. A governança também precisa acompanhar a execução das revogações, não apenas guardar a decisão de remover. Ciclo de vida, solicitações e revisões aparecem como capacidades de governança na documentação da Microsoft — visão geral de governança de identidades.
Qual a diferença entre IGA, IAM, AM e PAM?
- IAM é a disciplina mais ampla de gestão de identidades e acessos.
- IGA trata das políticas, responsabilidades, administração do ciclo de vida, revisões e evidências sobre os acessos.
- AM concentra capacidades de autenticação e controle de acesso às aplicações, como federação e SSO.
- PAM trata do uso e da proteção de acessos privilegiados, como contas administrativas e sessões sensíveis.
Essas capacidades se complementam; as fronteiras entre produtos variam. Uma aprovação de IGA não substitui a autenticação nem todos os controles de uma sessão privilegiada.
Exemplo ilustrativo: mudança de área
Considere uma transferência de Compras para Financeiro. O novo cargo pode justificar outro perfil, mas não justifica manter automaticamente as permissões anteriores. A revisão precisa identificar conflitos de segregação de funções, registrar exceções e confirmar as remoções.
O que precisa estar definido antes da automação?
- Qual fonte informa o vínculo e quem corrige divergências nos dados.
- Quem decide sobre cada acesso e quais exceções exigem justificativa.
- Quais sistemas permitem executar e verificar concessões e remoções.
- Que evidências demonstram a decisão, a execução e o tratamento de falhas.
Gestão de contas, segregação de funções e menor privilégio são controles relacionados no NIST SP 800-53 Rev. 5 — controles AC-2, AC-5 e AC-6. Adotar IGA apoia esses objetivos, mas a conformidade depende também de políticas, operação e verificação.
Aprofunde o tema
Veja o guia de Governança de Identidades e Acessos e o conteúdo sobre revisão de acessos e evidências.
.svg)
