Pular para o conteúdo
Openbanx

Política de Controle e Gestão de Acessos

Regras para concessão, revisão, monitoramento e revogação de acessos a sistemas, APIs e dados da Openbanx.

  • Versão 1.0
  • Aprovação 20 de outubro de 2026
  • Aprovado por Comitê de Segurança e Privacidade (CSP)
  • Referenciais ISO/IEC 27701 · ISO/IEC 27001 · LGPD · Bacen · Open Finance

Nesta página

  1. 1. Introdução
  2. 2. Papéis e responsabilidades
  3. 3. Controle e gestão de acessos
  4. 4. Proteção de acessos a dados pessoais e financeiros
  5. 5. Contas de serviço, APIs e integrações
  6. 6. Revisão e vigência
  7. 7. Referências

1. Introdução

1.1. Propósito

Esta Política de Controle e Gestão de Acessos (“Política”) estabelece as diretrizes, regras e responsabilidades para concessão, manutenção, revisão, monitoramento e revogação de acesso a sistemas, plataformas, APIs, servidores, redes, bancos de dados e demais recursos tecnológicos da Openbanx.

O objetivo é garantir que:

  • os acessos sejam autorizados, auditáveis e concedidos apenas conforme a necessidade;
  • dados pessoais, dados sensíveis e dados financeiros do Open Finance estejam protegidos;
  • todos os controles de autenticação e autorização sejam robustos, confiáveis e rastreáveis;
  • a empresa atenda plenamente às exigências da LGPD, ISO 27001, ISO 27701, CMN 4.893/21 e Open Finance Brasil.

1.2. Escopo

Aplica-se a:

  • colaboradores, estagiários, terceiros, fornecedores e parceiros;
  • sistemas internos, ambientes em nuvem, APIs, integrações e microsserviços;
  • bases de dados, ferramentas de suporte, ambientes de desenvolvimento, homologação e produção;
  • dados pessoais, sensíveis e financeiros processados pela Openbanx.

1.3. Princípios fundamentais

A gestão de acessos deve observar:

  1. Princípio do Menor Privilégio;
  2. Necessidade de Saber (“Need to Know”);
  3. Autenticação Forte (MFA);
  4. Segregação de Funções (SoD);
  5. Rastreabilidade e Auditoria Completa;
  6. Temporalidade dos Acessos;
  7. Privacidade by Design.

2. Papéis e responsabilidades

2.1. Gestor de Acessos (GA)

  • Administrar concessões, revisões, bloqueios e revogações.
  • Garantir a aplicação dos controles definidos nesta Política.
  • Manter registros, evidências e trilhas de auditoria.

2.2. Segurança da Informação

  • Definir padrões de acesso, autenticação e autorização.
  • Monitorar acessos privilegiados e comportamentos anômalos.
  • Realizar auditorias e revisões periódicas.

2.3. Gestores de Área

  • Solicitar acessos conforme as funções realizadas.
  • Validar justificativas e o nível de privilégio requerido.
  • Participar da revisão periódica de acessos.

2.4. DPO (Encarregado)

  • Avaliar riscos relacionados ao acesso a dados pessoais.
  • Garantir conformidade com a LGPD e a ISO 27701.

2.5. Usuários

  • Utilizar apenas credenciais individuais e intransferíveis.
  • Cumprir os requisitos de autenticação e segurança.
  • Reportar suspeitas de uso indevido.

2.6. Terceiros e fornecedores

  • Obedecer às regras de acesso contratualmente exigidas.
  • Utilizar credenciais temporárias e monitoradas.
  • Permitir auditorias sobre os acessos concedidos.

3. Controle e gestão de acessos

3.1. Concessão de acesso

  1. Solicitação formal. Deve ser realizada pelo Gestor de Área por meio de sistema próprio ou documento formal e deve incluir justificativa, função e necessidade operacional.
  2. Aprovação.
    • Para acessos comuns: Gestor de Área + GA.
    • Para acessos sensíveis ou dados financeiros Open Finance: Gestor de Área + Segurança da Informação + CSP (Comitê de Segurança e Privacidade).
  3. Treinamento prévio. O usuário deve completar treinamento obrigatório de Segurança, LGPD e Open Finance.
  4. Registro em trilhas de auditoria. Todas as concessões devem gerar registros detalhados e imutáveis.

3.2. Autenticação e credenciais

  1. Identidade individual e intransferível. É proibido o uso de credenciais compartilhadas.
  2. Autenticação multifator (MFA). Obrigatória para todos os acessos a:
    • produção;
    • painéis administrativos;
    • APIs do Open Finance;
    • dados pessoais ou sensíveis.
  3. Padrões de senha. Mínimo de 12 caracteres; uso de combinações complexas; expiração a cada 90 dias.
  4. Armazenamento seguro. Nunca em texto plano; sempre em cofre seguro (HSM ou Secret Manager).

3.3. Autorização e privilégios

  1. RBAC (Role-Based Access Control). Todo acesso será atribuído por papéis definidos e documentados.
  2. Segregação de Funções (SoD). Impede que o mesmo usuário execute funções conflitantes (ex.: dev + prod + financeiro).
  3. Acessos privilegiados. Devem ser:
    • raros;
    • temporários;
    • justificados;
    • monitorados;
    • gravados em logs auditáveis.

O uso de contas privilegiadas deve ser registrado em cofre de senhas com controle de sessão.

3.4. Revisão periódica de acessos

  1. Revisão obrigatória a cada 90 dias, conforme a ISO 27001.
  2. O Gestor de Área deve validar se os acessos permanecem necessários.
  3. A Segurança da Informação deve realizar auditoria independente.
  4. As evidências de revisão devem ser registradas e armazenadas.

3.5. Monitoramento e auditoria

  1. Todos os acessos devem ser monitorados via SIEM ou ferramenta equivalente.
  2. Os logs devem registrar:
    • data/hora;
    • usuário;
    • ações realizadas;
    • sistema acessado;
    • sucesso ou falha.
  3. Os logs devem ser imutáveis e mantidos conforme exigências do Bacen (mínimo de 5 anos para dados regulatórios).
  4. Alertas automáticos devem ser gerados para:
    • tentativas de login fora do padrão;
    • múltiplas falhas de autenticação;
    • acesso fora do horário comercial;
    • acessos privilegiados inesperados;
    • escalonamento inadequado de privilégios.

3.6. Revogação de acessos

  1. Imediata em casos de:
    • desligamento;
    • afastamento;
    • mudança de função;
    • suspeita de comprometimento.
  2. Deve ser executada mediante notificação do RH ou do Gestor de Área.
  3. A evidência da revogação deve ser armazenada.
  4. O checklist de desligamento deve ser utilizado para evitar acessos residuais.

4. Proteção de acessos a dados pessoais e financeiros

  1. O acesso a dados pessoais deve seguir os princípios da LGPD.
  2. O acesso a dados financeiros via Open Finance deve seguir:
    • consentimento válido;
    • registro de escopo;
    • auditoria completa das operações.
  3. Dados sensíveis só podem ser acessados por pessoas previamente autorizadas.
  4. É proibida a extração ou cópia local de dados sem autorização formal.

5. Contas de serviço, APIs e integrações

5.1. Contas de serviço

  • Devem ter os privilégios mínimos necessários.
  • Não podem ser utilizadas por usuários humanos.
  • Devem possuir rotação automática de credenciais.

5.2. Integrações e APIs

  • Devem utilizar autenticação forte (OAuth 2.0, MTLS, OpenID, conforme padrão OFB).
  • Tokens devem ser temporários e revogáveis.
  • Logs de API devem registrar todas as transações.
  • A Segurança deve validar periodicamente permissões e escopos.

6. Revisão e vigência

Esta Política será revisada pelo Comitê de Segurança e Privacidade (CSP):

  • anualmente; ou
  • sempre que houver alterações relevantes em normas ISO, Bacen, CMN, ANPD ou Open Finance.

7. Referências

  1. ISO/IEC 27001:2022 – A.5, A.6, A.8, A.9, A.12.
  2. ISO/IEC 27701:2025 – controles relacionados a privacidade.
  3. LGPD – Lei 13.709/2018.
  4. Resolução CMN nº 4.893/2021 – Segurança Cibernética.
  5. Resolução CMN nº 4.968/2021 – Compartilhamento de Dados.
  6. Padrões técnicos e regulatórios do Open Finance Brasil.
  7. Circulares e Ofícios do Banco Central aplicáveis à segurança e ao consentimento.

Versão: 1.0 · Data de aprovação: 20 de outubro de 2026 · Aprovado por: Comitê de Segurança e Privacidade (CSP) – Openbanx

Documentos legais

Governança e segurança da informação