Resultados detalhados da auditoria interna
[Esta auditoria teve como objetivo avaliar a eficácia dos controlos de gestão de acessos e identidades implementados na organização. O âmbito incluiu Active Directory, sistemas críticos de negócio, aplicações cloud e processos de provisioning/deprovisioning. Durante o período de auditoria, foram realizadas entrevistas com 15 colaboradores-chave, revisão de 200+ contas de utilizador, análise de logs de acesso, e testes técnicos de segregação de funções.]
[Os controlos de acesso apresentam EFICÁCIA PARCIAL. Foram identificadas lacunas significativas na gestão de contas privilegiadas, revisão periódica de acessos e segregação de funções. Recomenda-se ação imediata nas áreas críticas identificadas para reduzir o risco de acessos não autorizados e conformidade regulamentar.]
[A auditoria cobriu os seguintes domínios: (1) Gestão de Identidades e Acessos (IAM), (2) Controlos de autenticação, (3) Gestão de contas privilegiadas (PAM), (4) Segregação de funções, (5) Processos de joiner/mover/leaver, (6) Revisão periódica de acessos, (7) Logs e monitorização de acessos.]
| Rating | Definição | Critérios |
|---|---|---|
| Crítico | Risco imediato ao negócio | Ação imediata necessária. Exposição crítica. |
| Alto | Risco significativo | Ação em 30 dias. Impacto alto provável. |
| Médio | Risco moderado | Ação em 60 dias. Melhorias necessárias. |
| Baixo | Risco menor | Ação em 90 dias. Boas práticas. |
| ID | Área | Título do Finding | Severidade | Status |
|---|---|---|---|---|
| F-001 | PAM | Contas de administrador sem MFA | Crítico | Open |
| F-002 | Segregação | Ausência de SoD em ERP | Crítico | Open |
| F-003 | Revisão Acessos | Revisões não realizadas em 2024 | Alto | Open |
| F-004 | Offboarding | Delay na revogação de acessos | Alto | Open |
| F-005 | Logging | Logs de AD não monitorizados | Alto | Open |
| F-006 | Passwords | Política de passwords não enforced | Médio | Open |
| F-007 | Documentação | Procedimentos de IAM desatualizados | Médio | Open |
| F-008 | Formação | Awareness de IAM insuficiente | Baixo | Open |
[Durante a auditoria, identificámos que 12 das 25 contas de administrador de domínio (48%) não têm Multi-Factor Authentication (MFA) ativado. Estas contas têm acesso privilegiado a sistemas críticos de negócio, Active Directory, e infraestrutura de TI. A ausência de MFA aumenta significativamente o risco de compromisso através de phishing, credential stuffing ou roubo de credenciais.]
[• Acesso não autorizado a sistemas críticos
• Violação de dados e sabotagem
• Não conformidade com NIS2 e ISO 27001
• Incapacidade de detetar e responder a compromissos
• Exposição a ransomware e APT attacks]
[Concordamos com o finding. Ação corretiva: Implementação de MFA para todas as contas admin até 15/03/2025. Responsável: CISO. Já iniciámos procurement de solução PAM.]
| Ação | Responsável | Prazo | Status |
|---|---|---|---|
| Ativar MFA em contas admin existentes | IT Manager | 15/03/2025 | In Progress |
| Procurement e deployment de PAM | CISO | 30/06/2025 | Planned |
| Atualizar política de acessos privilegiados | InfoSec Team | 31/03/2025 | Planned |
[A política de segurança da organização estabelece revisões trimestrais de acessos de utilizadores. Durante a auditoria, verificámos que nenhuma revisão formal foi realizada em 2024. Não existe processo documentado, ferramenta de suporte ou evidências de recertificação de acessos por business owners.]
[• Acumulação de acessos desnecessários (privilege creep)
• Acessos órfãos de colaboradores que saíram
• Violação do princípio de least privilege
• Não conformidade com ISO 27001 (A.9.2.5) e NIS2
• Incapacidade de demonstrar controlos em auditorias externas]
| Ação | Responsável | Prazo | Status |
|---|---|---|---|
| Revisão ad-hoc de acessos (manual) | Business Owners | 31/03/2025 | Planned |
| RFP para solução IGA | CISO + Procurement | 30/04/2025 | Planned |
| Documentar procedimento de access review | InfoSec | 28/02/2025 | Planned |
[A política de passwords da organização define requisitos mínimos de 12 caracteres, complexidade e rotação a cada 90 dias. Através de análise técnica do AD, identificámos que 35% das contas de utilizador têm passwords com menos de 10 caracteres e 20% não mudaram password em mais de 180 dias.]
| Ação | Responsável | Prazo | Status |
|---|---|---|---|
| Configurar e aplicar GPO de passwords | IT Admin | 28/02/2025 | Planned |
| Forçar reset de passwords não conformes | IT Admin | 15/03/2025 | Planned |
| Ref | Tipo | Descrição | Data |
|---|---|---|---|
| Anexo A | Screenshot | AD User Properties - contas admin sem MFA | 20/01/2025 |
| Anexo B | Relatório | Listagem completa de contas privilegiadas | 20/01/2025 |
| Anexo C | Logs | Authentication logs (sample) | 15-26/01/2025 |
| Anexo D | Entrevista | Ata de reunião com IT Manager | 16/01/2025 |
| Anexo E | Documento | Política de Acessos v2.1 | 01/01/2024 |
[Esta auditoria revelou lacunas significativas nos controlos de gestão de acessos que requerem atenção imediata do management. Os findings críticos (F-001 e F-002) representam riscos que podem comprometer a segurança da organização e a conformidade regulamentar. Recomenda-se priorização máxima das ações corretivas e alocação de recursos adequados para implementação das recomendações. O departamento de auditoria interna realizará follow-up regular do progresso e reportará ao Comité de Auditoria trimestralmente.]