Um fornecedor de serviços financeiros realizava certificações de acesso trimestrais por meio de sua plataforma de IGA: todos os gestores de contas recebiam tarefas de certificação para as contas de seu portfólio, concluíam as certificações dentro da janela exigida, e a plataforma relatava cem por cento de conclusão em cada ciclo. Durante uma auditoria interna, analistas examinaram os registros de certificação e constataram que um determinado gestor, responsável por duzentas e trinta contas, havia concluído toda a sua certificação em quarenta e sete minutos, uma média de doze segundos por conta. A análise de suas decisões de certificação mostrou que todas as duzentas e trinta contas haviam sido aprovadas, com zero revogações, ao longo de quatro trimestres consecutivos. A investigação adicional revelou que o método do gestor era selecionar todas as contas e clicar em aprovar em massa: a plataforma não impedia isso, o fluxo de trabalho não exigia justificativa por conta, e a conclusão era tecnicamente válida. As métricas de certificação mostravam cem por cento de conclusão. O processo de certificação havia produzido zero valor de segurança. As contas que deveriam ter sido revogadas no ano anterior (de três ex-funcionários e duas de projetos encerrados) ainda estavam ativas. Elas haviam passado por quatro certificações sem nenhuma revisão individual.
O que é, de fato, a eficácia da certificação de acessos?
A certificação de acesso é o processo periódico de revisar as contas ativas e suas permissões e tomar decisões deliberadas sobre se cada conta deve manter o acesso atual: confirmar que o acesso continua apropriado, reduzir o escopo onde ele se tornou desproporcional e revogar o acesso que não é mais necessário. Quando executada de forma efetiva, a certificação de acesso é um processo de revisão genuíno que produz decisões de acesso com base em uma avaliação real da necessidade atual. Quando executada como mera formalidade de conformidade, é um envio de formulário que produz registros de aprovação sem decisões de acesso correspondentes.
O problema da aprovação mecânica é o modo de falha mais comum dos programas de certificação de acesso. Gestores responsáveis por revisar centenas de contas sem nenhuma informação por conta além do nome da conta e do nível de acesso, sem tempo alocado para uma revisão significativa e sem responsabilização por decisões de aprovação que depois se revelam incorretas vão, de forma consistente, seguir o caminho de menor resistência: aprovar tudo rapidamente para tirar a tarefa de certificação da fila. A plataforma de IGA registra a conclusão. O valor de segurança da conclusão depende da qualidade das decisões tomadas, que a plataforma não consegue distinguir de uma aprovação em massa.
O desafio de detecção é o que torna a certificação por aprovação mecânica particularmente difícil de governar. Uma certificação concluída por revisão individual genuína e uma certificação concluída por aprovação em massa produzem registros idênticos na plataforma: ambos mostram o gestor, o carimbo de data e hora e um status de conclusão. Somente o tempo decorrido e a distribuição das decisões (qual percentual de contas foi revogado ou modificado, em comparação com as simplesmente aprovadas) revelam se houve uma revisão genuína. Essas métricas secundárias raramente são acompanhadas ou relatadas junto com a métrica principal de conclusão que as organizações usam para demonstrar a maturidade do programa de certificação.
- Capacidade de aprovação em massa sem prevenção: a plataforma permite selecionar todas as contas e aprová-las simultaneamente, sem exigir revisão conta a conta
- Ausência de exigência de justificativa por conta: certificações aceitas sem exigir que os revisores apresentem a fundamentação de suas decisões de aprovação
- Nenhum monitoramento da adequação do tempo de revisão: o tempo das certificações não é avaliado em relação ao tempo mínimo necessário para uma revisão real
- Ausência de acompanhamento da taxa de revogação: qualidade da certificação não avaliada pelo percentual de contas revogadas ou modificadas
- Taxa de conclusão como única métrica de sucesso: a plataforma relata a conclusão sem relatar indicadores de qualidade das decisões
Por que isso importa
A efetividade da certificação de acesso é importante para TPRM porque as certificações de acesso são frequentemente citadas como um controle de governança primário na gestão de acessos de fornecedores, como evidência de que o acesso é revisado periodicamente e confirmado como apropriado. Um programa de certificação que produz consistentemente cem por cento de conclusão com zero revogações não está demonstrando uma governança de acesso forte; está demonstrando aprovação mecânica consistente. O controle que deveria detectar excesso de acesso, contas órfãs e permissões inadequadas está produzindo aprovações que não protegem contra nenhum desses riscos.
A dimensão da evidência de auditoria é significativa. Avaliações SOC 2, exames regulatórios e revisões TPRM aceitam registros de conclusão de certificações de acesso como evidência da maturidade da governança de acesso. Esses registros descrevem com precisão que as certificações foram concluídas. Eles não revelam se as certificações produziram uma revisão genuína. Um auditor que aceita registros de conclusão sem examinar taxas de revogação, adequação do tempo de revisão e indicadores de qualidade da certificação aceitou evidências de preenchimento de formulário como evidências de governança substantiva, uma distinção que importa quando a mesma certificação deixou de detectar os três ex-funcionários cujas contas permaneceram ativas durante quatro trimestres consecutivos certificados.
Onde a maioria das equipes erra
A falha mais recorrente é acompanhar a conclusão da certificação como principal métrica de sucesso sem acompanhar indicadores de qualidade da certificação. A conclusão confirma que o formulário foi enviado. Os indicadores de qualidade (taxa de revogação, tempo médio de revisão por conta, taxa de justificativa por conta) descrevem se o envio do formulário representou uma revisão genuína. As duas métricas são necessárias. A primeira sem a segunda confirma a atividade sem confirmar o valor.
- Acompanhamento da taxa de conclusão sem indicadores de qualidade
- Ausência de acompanhamento da taxa de revogação: percentual de contas modificadas ou revogadas
- Aprovação em massa não impedida: recurso da plataforma que permite a certificação por aprovação mecânica
- Ausência de exigência de justificativa por conta
- Ausência de avaliação da adequação do tempo de revisão
Como é uma boa prática
Programas de certificação maduros desenham o processo de certificação para exigir revisão genuína: impedem a aprovação em massa, exigem justificativa por conta, definem expectativas de tempo mínimo de revisão e acompanham indicadores de qualidade junto com as taxas de conclusão. Certificações que mostram zero revogações acionam uma revisão de qualidade, em vez de serem aceitas como evidência de um ambiente de acesso bem gerenciado.
- Prevenção de aprovação em massa: a plataforma exige uma decisão por conta, em vez de aprovação em grupo
- Exigência de justificativa por conta: os revisores devem apresentar uma breve justificativa para decisões de manutenção do acesso
- Acompanhamento da taxa de revogação: percentual de contas revogadas ou modificadas acompanhado como métrica de qualidade
- Monitoramento da adequação do tempo de revisão: certificações concluídas em tempo significativamente menor que o tempo mínimo de revisão são sinalizadas para revisão de qualidade
- Ausência de resposta equivale a revogação: contas não certificadas dentro da janela são revogadas automaticamente, em vez de serem aprovadas por padrão
Ferramentas
Governança de identidades: SailPoint, Saviynt
As plataformas corporativas de IGA oferecem configuração do fluxo de trabalho de certificação, permitindo que as organizações exijam decisões por conta, impeçam a aprovação em massa, definam exigências de justificativa e acompanhem métricas de qualidade da certificação. O SailPoint IdentityAI fornece análises dos padrões de certificação, identificando gestores cujo comportamento de certificação sugere aprovação mecânica por meio da análise do tempo de revisão e da distribuição das decisões. Para profissionais de TPRM, perguntar se a plataforma de certificação do fornecedor impede a aprovação em massa e exige justificativa por conta fornece perguntas específicas sobre o desenho da certificação.
Análise de acessos: Veza, Varonis
As plataformas de análise de acessos fornecem o contexto de qualidade das decisões que as plataformas de certificação normalmente não fornecem, mostrando quais permissões são de fato usadas e quais estão apenas atribuídas, o que permite aos certificadores tomar decisões informadas com base em dados de uso, e não apenas na existência da conta. Para profissionais de TPRM, perguntar se dados de uso de acesso são fornecidos aos certificadores durante o processo de certificação é uma pergunta específica sobre a melhoria da qualidade da revisão.
Desafios de governança
O desafio de governança da efetividade da certificação é o problema de escala e de tempo. As organizações certificam centenas de contas por revisor a cada ciclo. Uma revisão genuína, conta a conta, em escala exige reduzir o número de contas por revisor, fornecer aos certificadores informações que permitam uma revisão genuína mais rápida (dados de uso, sinais de risco) ou automatizar as decisões fáceis (contas sem uso recente são recomendadas para revogação) e concentrar a revisão humana nos casos que exigem julgamento. A escolha de desenho que produz a aprovação em massa é a mesma que torna a revisão genuína impraticável na escala que o processo exige.
- Acompanhe as taxas de revogação junto com as taxas de conclusão: indicador de qualidade ao lado da métrica de conclusão
- Monitore a adequação do tempo de revisão: certificações concluídas rápido demais são sinalizadas para revisão de qualidade
- Exija justificativa por conta para decisões de manutenção do acesso
- Impeça a aprovação em massa na configuração da plataforma de certificação
- Inclua a qualidade das certificações na avaliação de governança do fornecedor, e não apenas a confirmação de conclusão
Se você faz parte de uma equipe pequena
Peça aos seus fornecedores de maior risco duas métricas de certificação em vez de uma: a taxa de conclusão da certificação mais recente e a taxa de revogação da certificação mais recente. A taxa de conclusão indica se o formulário foi enviado. A taxa de revogação indica se a revisão produziu decisões. Um fornecedor que relata cem por cento de conclusão e zero revogações em vários ciclos consecutivos tem um processo de certificação que aprova mecanicamente, de forma sistemática, em vez de revisar. Pergunte qual percentual de contas foi modificado ou revogado no último ciclo de certificação. A resposta é o sinal de qualidade que a taxa de conclusão não consegue fornecer.
- Peça a taxa de revogação junto com a taxa de conclusão da certificação mais recente
- Pergunte se a plataforma de certificação impede a aprovação em massa
- Pergunte se a justificativa por conta é exigida
- Pergunte se certificações concluídas muito mais rápido do que o esperado acionam uma revisão de qualidade
O que exigir
Pergunte diretamente:
“No ciclo de certificação de acesso mais recente, qual percentual de contas foi revogado ou teve o acesso modificado? E a sua plataforma de certificação exige decisões por conta ou permite a aprovação em massa de todas as contas simultaneamente?”
“Vocês acompanham métricas de qualidade da certificação além da taxa de conclusão? Especificamente, monitoram o tempo de revisão por conta e sinalizam as certificações em que o tempo de revisão sugere aprovação em massa em vez de revisão individual?”
O que esperar como evidência
- Taxa de revogação da certificação mais recente, não apenas a taxa de conclusão
- Confirmação da prevenção de aprovação em massa na plataforma de certificação
- Confirmação da exigência de justificativa por conta
- Descrição do monitoramento da qualidade da certificação: adequação do tempo de revisão e distribuição das decisões
Um fornecedor que relata cem por cento de conclusão da certificação deve ser questionado sobre qual percentual de contas foi revogado ou modificado no mesmo ciclo. Cem por cento de conclusão com zero revogações em vários ciclos não é um sinal forte de governança de acesso; é um sinal consistente de aprovação mecânica. A conclusão descreve a atividade. A taxa de revogação descreve o valor.
Como comprovar
- Registros da taxa de revogação das certificações junto com as taxas de conclusão
- Confirmação da configuração de prevenção de aprovação em massa
- Documentação da exigência de justificativa por conta
- Registros de monitoramento da qualidade das certificações
Principal conclusão
A certificação foi concluída em quarenta e sete minutos. Duzentas e trinta contas a onze vírgula sete segundos cada. Todas as contas aprovadas. Quatro trimestres consecutivos de cem por cento de conclusão e zero revogações. Os três ex-funcionários que deveriam ter sido revogados continuam ativos. Eles passaram por quatro certificações que nunca olharam para eles. A conclusão mede se o formulário foi enviado. A taxa de revogação mede se a revisão aconteceu. Nenhuma revogação não é evidência de um ambiente de acesso bem gerenciado; é evidência de um processo de certificação que produz aprovações sem decisões. Acompanhe a taxa de revogação. Impeça a aprovação em massa. Exija justificativa por conta. Uma certificação que não produz revogações ao longo de vários ciclos não está demonstrando um acesso limpo. Está demonstrando que a revisão é apenas marcar uma caixa.