Guia "ISO 27001 annex a access control guide": Controles De Acesso No Anexo A

O ISO 27001 annex a access control guide começa por uma constatação simples: controle de acesso não é um único controle. Na ISO 27001:2022, o tema aparece distribuído pelo Anexo A e precisa ser justificado no SoA (Declaração de Aplicabilidade), conforme a cláusula 6.1.3 d). Este guia prático percorre os controles mais relevantes, indica evidências de auditoria e mostra como transformar exigências normativas em rotinas de operação.

O que o Anexo A da ISO 27001:2022 exige em controle de acesso

O Anexo A da ISO 27001:2022 tem 93 controles, organizados em quatro temas: Organizacional, Pessoas, Físico e Tecnológico. O controle de acesso não fica restrito ao tema Tecnológico. Ele começa em A.5.15 e se estende por A.5.16, A.5.17, A.5.18, A.8.2, A.8.3 e A.8.5, entre outros.

A cláusula 6.1.3 exige que a organização determine controles necessários e produza o SoA. A cláusula 7.5 define a documentação obrigatória. A cláusula 8.1 trata do planejamento e controle operacional. Sem essas amarras, o controle de acesso vira uma lista de ferramentas sem vínculo com risco.

Use a ISO 27002:2022 como referência de implementação. Ela detalha propósito, orientação e outros controles relacionados para cada item do Anexo A. A ISO 27001:2022 também dialoga com a ISO 9001 e a ISO 14001 no que diz respeito a documentação, auditoria e melhoria contínua.

Controles centrais de acesso no Anexo A

A.5.15, A.5.16, A.5.17 e A.5.18

A.5.15 — Controle de acesso. Exige regras de acesso baseadas em requisitos de negócio e segurança da informação. Na prática: política de controle de acesso, matriz de perfis, princípio do menor privilégio e necessidade de conhecer.

A.5.16 — Gestão de identidade. Define o ciclo de vida da identidade: criação, alteração, suspensão e remoção. O inventário de identidades precisa cobrir funcionários, terceiros, contas de serviço e identidades não humanas.

A.5.17 — Informações de autenticação. Trata de senhas, tokens, certificados e segredos. Exige alocação controlada, uso de autenticação multifator quando aplicável e proteção contra acesso não autorizado.

A.5.18 — Direitos de acesso. Exige concessão, revisão e remoção de direitos. A revisão periódica deve ter dono, escopo, critério e registro. Acessos órfãos e contas compartilhadas são achados clássicos de auditoria.

A.8.2, A.8.3 e A.8.5

A.8.2 — Direitos de acesso privilegiado. Exige restrição e gestão de contas com privilégios elevados. Use cofres de senhas, sessões just-in-time, gravação de sessão e revisão mais frequente.

A.8.3 — Restrição de acesso à informação. Exige restringir acesso a informações e funções de aplicação conforme a política. Segmente redes, separe ambientes e aplique listas de controle de acesso.

A.8.5 — Autenticação segura. Exige autenticação segura e informações de autenticação protegidas. MFA para acessos remotos, administrativos e críticos; bloqueio por tentativas; e gestão de segredos em cofres.

Controles correlatos ajudam a fechar o ciclo: A.5.3 segregação de funções, A.5.14 transferência de informação, A.8.15 registros de log, A.8.16 monitoramento de atividades e A.8.24 uso de criptografia.

Como implantar este ISO 27001 annex a access control guide na prática

Comece pelo escopo e pelo inventário de ativos (A.5.9). Classifique a informação (A.5.12). Avalie riscos (6.1.2). Selecione controles e registre justificativas no SoA (6.1.3).

Depois, escreva a política de controle de acesso (A.5.15). Defina papéis e responsabilidades. Estabeleça processo de identidade (A.5.16). Padronize autenticação (A.5.17 e A.8.5). Administre direitos (A.5.18) e privilégios (A.8.2).

Automatize o provisionamento e o desprovisionamento. Integre RH, TI e segurança. Crie alertas para contas sem dono, acessos fora do perfil e privilégios não revisados.

A lógica de manter registros atualizados é a mesma do guia de requisitos de documentação da ISO 9001. Use o checklist de documentação da ISO 9001 como referência de estrutura. Para registros de partes interessadas e aspectos, veja o checklist do registro de aspectos ambientais da ISO 14001.

Se sua organização já mantém um registro de aspectos ambientais, a disciplina de revisão é semelhante à do guia de requisitos do registro de aspectos ambientais da ISO 14001.

Evidências, SoA e auditoria

Auditores da ISO 27001 verificam consistência entre risco, SoA e operação. Evidências úteis incluem: política aprovada, matriz de acesso, registros de revisão, tickets de provisionamento e remoção, relatórios de MFA, logs de acesso privilegiado e atas de análise crítica.

O SoA deve indicar se cada controle do Anexo A foi aplicado ou excluído, com justificativa. A cláusula 7.5.3 exige controle de documentos e registros. A cláusula 9.1 pede monitoramento e medição. A cláusula 9.2 trata da auditoria interna. A cláusula 10.1 cobre não conformidades e ações corretivas.

Para dados pessoais, alinhe o controle de acesso ao GDPR e à legislação aplicável. Registre base legal, finalidade e restrições de uso quando o acesso envolver dados pessoais.

Erros comuns e ajustes de risco

Tratar controle de acesso como assunto exclusivo de TI. O Anexo A exige vínculo com risco, negócio e partes interessadas.

Manter contas compartilhadas. Elas impedem responsabilização e enfraquecem logs. Substitua por contas individuais e, quando inevitável, aplique controle compensatório documentado.

Revisar direitos apenas uma vez por ano. Acessos privilegiados e terceiros pedem revisão mais frequente. Defina periodicidade por criticidade.

Ignorar contas de serviço, APIs, SaaS e nuvem. O escopo do Anexo A alcança esses ambientes. Inventarie identidades não humanas e segredos.

Não medir. Crie indicadores: tempo de remoção de acesso, percentual de contas com MFA, revisões concluídas no prazo, exceções abertas.

Checklist mínimo de implantação

• Política de controle de acesso aprovada (A.5.15).
• Inventário de identidades e ativos (A.5.9 e A.5.16).
• Matriz de acesso por perfil e sistema (A.5.18).
• MFA para acessos remotos, administrativos e críticos (A.8.5).
• Gestão de privilégios com cofre e revisão (A.8.2).
• Processo de provisionamento e desprovisionamento (A.5.16).
• Logs e monitoramento de acessos (A.8.15 e A.8.16).
• Revisão periódica com evidência (A.5.18).
• SoA atualizado (6.1.3).
• Auditoria interna e análise crítica (9.2 e 9.3).

Em resumo, este ISO 27001 annex a access control guide mostra que o Anexo A não pede apenas ferramentas. Pede governança, processo, evidência e melhoria contínua. Ajuste os controles ao risco e mantenha rastreabilidade entre política, operação e auditoria.