Associe o acesso ao trabalho de cada pessoa

Organizar os acessos de uma operação MMN começa pelas tarefas da equipe. Atendimento, financeiro e gestão podem precisar consultar o mesmo pedido, mas realizar ações diferentes. Descreva essas ações antes de decidir quem receberá cada perfil no sistema.

A orientação de autorização da OWASP recomenda conceder somente as permissões necessárias e verificar a autorização a cada solicitação. Na avaliação de uma plataforma, isso se traduz em pedir demonstrações tanto de ações permitidas quanto de ações que o perfil deve impedir. A referência não certifica os controles de nenhum produto.

Separe consulta, alteração e aprovação

Evite descrever uma função apenas como “acesso ao financeiro”. Especifique se a pessoa precisa consultar valores, exportar registros, corrigir informações ou aprovar uma operação. Esses poderes têm efeitos diferentes e podem exigir responsáveis distintos.

Monte uma matriz com função, ação, conjunto de dados e responsável pela autorização. Um exemplo de requisito seria permitir ao atendimento consultar a situação de um pedido sem alterar a regra de comissão. Esse exemplo é uma necessidade possível a validar, não uma afirmação sobre um perfil já disponível na UZA.

Verifique o alcance do perfil

Além da ação, confira quais registros a pessoa pode acessar. Pergunte se há restrição por equipe, unidade, participante ou outro critério necessário ao projeto. Peça para testar uma consulta autorizada e uma consulta fora do alcance previsto, com cadastros fictícios.

Uma tela que esconde um botão não comprova, sozinha, que a ação está bloqueada. O mantenedor precisa validar o controle no sistema. Registre o resultado do teste e qualquer limitação identificada.

Planeje entrada, mudança de função e saída

Defina quem solicita um novo acesso, quem autoriza e quem executa a configuração. Faça a mesma definição para mudanças de função e desligamentos. Uma permissão concedida para uma tarefa temporária precisa ter uma condição clara de revisão.

  • Quem é o responsável por cada conta?
  • Qual tarefa justifica as permissões concedidas?
  • Quem pode aprovar uma mudança de perfil?
  • Como confirmar que um acesso encerrado deixou de funcionar?
  • Como consultar o histórico das alterações, se esse recurso estiver disponível?

Preencha a matriz de função, ação e dados

Use o modelo de permissões e testes. Cada linha relaciona função, ação, dados acessíveis, autorizador, executor da concessão e evidência do teste. Os papéis no modelo são exemplos de necessidade, não perfis declarados da UZA.

Permitido
Registrar a tarefa e o conjunto de dados que o perfil deve conseguir acessar.
Negado
Definir uma ação ou registro fora desse alcance e conferir o bloqueio.
Mudança e revogação
Identificar quem autoriza, quem executa, quando deve ocorrer e como conferir o resultado.
Evidência
Resultado observado em dados fictícios e pendências reconhecidas pelo responsável técnico.

Leve a matriz à demonstração

Escolha duas ou três funções da sua equipe e os limites esperados para cada uma. Use esse material ao avaliar o Sistema MMN. Pergunte quais controles existem, quais dependem de configuração e quais necessidades exigem outro tratamento.

A definição de pessoas e responsabilidades também faz parte da implantação. Antes de contratar, registre os controles demonstrados e as condições de administração dos acessos no escopo discutido com a UZA.