ISO 27001 e os Controles de Identidade do Anexo A

Resumo:

• A ISO 27001:2022 dedica os controles A.5.15 a A.5.18 do Anexo A especificamente à gestão de identidade e controle de acesso.
• O controle A.5.15 exige uma política formal de controle de acesso que define quem pode acessar o quê, com quais permissões e com base em qual justificativa funcional.
• O controle A.5.16 trata da gestão do ciclo de vida das identidades, do provisionamento no onboarding até a revogação completa no offboarding, e exige que esse processo seja documentado e rastreável.
• Os controles A.5.17 e A.5.18 tratam de autenticação e revisão periódica dos direitos de acesso, incluindo a aplicação do princípio do menor privilégio com evidência auditável de cada decisão.
• Os quatro controles são interdependentes: implementar um sem os outros gera lacunas que auditores identificam. A automação do ciclo de vida de identidades é o que torna a conformidade contínua.

A ISO/IEC 27001 é o padrão internacional de gestão de segurança da informação mais adotado no mundo e uma exigência para empresas que vendem para clientes corporativos, especialmente nos setores financeiro, de saúde e tecnologia. 

Mas, no Anexo A, há um conjunto de controles que concentra parte dos achados em auditorias de certificação: os controles de identidade e acesso.

Os controles A.5.15 a A.5.18 tratam especificamente de política de controle de acesso, gestão de identidades, informações de autenticação e direitos de acesso. Este artigo explica o que cada controle exige, como implementar e quais evidências o auditor vai solicitar no processo de certificação.

O que é o Anexo A da ISO 27001?

A ISO 27001:2022 estrutura seus requisitos em duas partes: o corpo principal da norma, que define os requisitos do Sistema de Gestão de Segurança da Informação (SGSI), e o Anexo A, que lista os controles de segurança que as empresas devem avaliar e, quando aplicável, implementar.

O Anexo A da versão 2022 organiza 93 controles em quatro temas: controles organizacionais, controles de pessoas, controles físicos e controles tecnológicos. Os controles de identidade e acesso, A.5.15 a A.5.18, abordam a norma que trata da gestão de identidade como uma decisão estratégica.

Como o Anexo A organiza os controles de segurança da informação

Durante a auditoria de certificação, o auditor verifica se a empresa avaliou a aplicabilidade de cada controle, justificou formalmente a exclusão dos que não se aplicam e implementou evidências de funcionamento para os que se aplicam.

Os controles de identidade têm aplicabilidade praticamente universal, abrangendo colaboradores, sistemas e dados, pois toda empresa precisa gerenciar quem acessa o quê. 

Por que os controles de identidade são a base de todos os outros?

Sem controle de identidade estruturado, os demais controles do Anexo A ficam comprometidos. Controles de segurança física dependem de saber quem tem acesso a quais ambientes; controles de criptografia dependem de saber quem tem as chaves; e controles de continuidade dependem de saber quem pode executar os processos críticos em um cenário de incidente.

A gestão de identidade é a infraestrutura que suporta toda a política de segurança da informação. Para se aprofundar no tema, confira Como fazer Gestão de Identidades em 2026: Melhores Práticas no blog da Niuco.

A tabela abaixo resume os quatro controles, o que cada um exige e qual evidência o auditor vai solicitar:

Controle A.5.15: Política de Controle de Acesso

O controle A.5.15 estabelece que a empresa deve definir e implementar uma política de controle de acesso baseada em requisitos de negócio e de segurança da informação, documentando quem pode acessar quais sistemas, com quais permissões e com base em que justificativa funcional.

O que o controle A.5.15 exige

• Política formal de controle de acesso aprovada pela liderança e disponível para todos os colaboradores relevantes.
• Definição de perfis de acesso por função: cada cargo tem um conjunto de permissões padrão que pode ser concedido sem aprovação adicional.
• Processo documentado para aprovação de exceções: acessos fora do perfil precisam de justificativa formal e aprovação registrada.
• Cobertura de todos os tipos de acesso: sistemas internos, SaaS, redes, dados físicos e lógicos.
• Alinhamento com o princípio do menor privilégio: a política deve declarar explicitamente que as permissões são baseadas na necessidade mínima para a função.

Como implementar e documentar

A implementação do A.5.15 começa pelo mapeamento de funções e sistemas. Esse levantamento se torna a matriz de controle de acesso, o documento que o auditor vai usar para verificar se as permissões ativas correspondem ao que foi definido na política.

Um erro comum é criar a política sem o mapeamento, em que o documento existe, mas não há como verificar se está sendo seguido. Outro erro frequente é criar o mapeamento sem o processo de aprovação de exceções.

Qual evidência o auditor vai pedir?

• Documento de política de controle de acesso com data de aprovação e versão atual.
• Matriz de acesso por função: quais permissões cada cargo tem em cada sistema.
• Registro de aprovações para acessos fora do perfil padrão com justificativa e responsável.
• Evidência de que a política foi comunicada aos responsáveis pela gestão de acessos.

Controle A.5.16: Gestão de Identidades

O controle A.5.16 trata do ciclo de vida completo das identidades digitais, desde a criação de uma conta no onboarding até a revogação de todos os acessos no offboarding. Ele exige a existência de um processo formal e documentado para gerenciar identidades ao longo de toda a relação com colaboradores, prestadores e sistemas automatizados.

O que o controle A.5.16 exige 

• Processo formal de identidades no onboarding: registro de quais acessos foram concedidos, com qual justificativa e por qual responsável.
• Processo de atualização de acessos em mudanças de função: quando um colaborador muda de área ou cargo, os acessos anteriores precisam ser revisados e ajustados.
• Processo de revogação completa no offboarding: todos os acessos, em todos os sistemas, precisam ser revogados no momento do desligamento, com registro de quando cada revogação aconteceu.
• Cobertura de identidades não-humanas: contas de serviço, APIs, bots e integrações entre sistemas precisam ser gerenciados com os mesmos critérios das identidades humanas.
• Inventário atualizado de todas as identidades ativas: a organização precisa saber, a qualquer momento, quais identidades existem e qual é o responsável por cada uma.

Ciclo de vida completo: do onboarding ao offboarding

O ciclo de vida de uma identidade tem três momentos críticos onde estão falhas comuns: 

• O onboarding, com acesso concedido sem documentação formal; 
• A mudança de função, fornecendo novos acessos sem revogar os anteriores, gerando privilege creep; 
• E o offboarding, mantendo acessos ativos após o desligamento. Para entender em detalhes como automatizar esse processo, confira este post Gestão do Ciclo de Vida do Usuário em TI.

Apesar de não exigir, a automação do controle A.5.16 é o que torna a evidência contínua possível, fugindo de processos manuais e otimizando toda a etapa de certificação por auditores. 

Qual evidência o auditor vai pedir

1. Log de onboarding: lista de acessos concedidos para cada novo colaborador, com data e responsável pela aprovação.
2. Log de offboarding: lista de acessos revogados para cada desligamento, com data e hora de cada revogação.
3. Registro de atualização de acessos em mudanças de função
4. Inventário de identidades ativas com responsável identificado, incluindo contas de serviço e integrações

Controle A.5.17: Informações de Autenticação

O controle A.5.17 trata de como as credenciais de acesso são criadas, distribuídas, protegidas e revogadas. Ele abrange senhas, tokens, certificados digitais, chaves de API e qualquer outro mecanismo de autenticação, com atenção especial para credenciais de alto risco, como contas administrativas e acessos privilegiados.

O que o controle A.5.17 exige 

• Política de senhas com requisitos mínimos de complexidade, prazo de validade e restrição de reutilização.
• Autenticação multifator (MFA) para acessos a sistemas críticos, especialmente para contas com permissões elevadas.
• Processo de distribuição segura de credenciais, usando senhas temporárias com obrigatoriedade de troca no primeiro acesso.
• Gestão de credenciais privilegiadas: contas de administrador com controles adicionais de aprovação, monitoramento e registro.
• Processo de revogação imediata de credenciais em casos de comprometimento suspeito ou desligamento.
• Proibição de compartilhamento de credenciais: cada identidade deve ter sua própria autenticação individual e rastreável.

Senhas, MFA e credenciais privilegiadas

O controle A.5.17 não exige MFA para todos os acessos, mas exige que a empresa avalie o risco de cada tipo e implemente autenticação proporcional. Para acessos a sistemas que contêm dados sensíveis ou permissões administrativas, o MFA é uma das principais formas de fazer isso.

Para credenciais privilegiadas, como contas de administrador, acesso a servidores de produção, chaves de API com permissões amplas, o controle A.5.17 trabalha em conjunto com o A.5.18 para garantir que esses acessos sejam aprovados formalmente, monitorados ativamente e revisados periodicamente.

Qual evidência o auditor vai pedir

• Política de senhas documentada e implementada nos sistemas.
• Evidência de autenticação habilitada para sistemas críticos e contas privilegiadas.
• Registro de distribuição de credenciais temporárias e confirmação de troca no primeiro acesso.
• Inventário de credenciais privilegiadas com responsável identificado e data da última revisão.

Controle A.5.18: Direitos de Acesso

O controle A.5.18 fecha o ciclo dos controles de identidade ao exigir que os direitos de acesso sejam revisados periodicamente e ajustados quando necessário. Ele complementa o A.5.15 (que define a política) e o A.5.16 (que gerencia o ciclo de vida) ao garantir que os acessos concedidos continuem sendo adequados ao longo do tempo.

O que o controle A.5.18 exige 

• Revisão periódica de direitos de acesso com frequência definida pela criticidade do sistema e do tipo de acesso.
• Processo formal de certificação de acessos, em que cada gestor revisa os acessos dos usuários sob sua responsabilidade e confirma ou revoga cada permissão.
• Aplicação do princípio do menor privilégio, no qual a revisão deve identificar e remover permissões que excedam o necessário para a função atual.
• Evidência documentada de cada revisão: quem revisou, quando, quais acessos foram confirmados ou revogados e com qual justificativa.
• Atenção especial para acessos privilegiados. Devem ser revisados com maior frequência e com evidência de aprovação formal.

Revisão periódica e princípio do menor privilégio

A revisão periódica de acessos é o mecanismo que impede o acúmulo silencioso de permissões ao longo do tempo. 

Para descobrir como estruturar a revisão de acessos, acesse 5 Dicas de Como Fazer Revisão de Acessos Digitais.

O maior desafio do A.5.18 é a qualidade. Quando os responsáveis recebem listas longas de acessos para revisar com pouco contexto, a tendência é aprovar sem analisar. 

Qual evidência o auditor vai pedir

• Relatório de revisão periódica com data, responsável e resultado para cada acesso revisado.
• Evidência de que acessos inadequados foram revogados como resultado da revisão.
• Registro de revisões de acessos privilegiados com frequência maior do que a dos acessos padrão.
• Histórico de revisões anteriores demonstrando que o processo é contínuo.

Como os 4 Controles se Conectam

Os controles de A.5.15 a A.5.18 atuam de forma integrada, estabelecendo uma relação de interdependência para garantir a eficácia do sistema. Implementar um sem os demais é um erro comum.

Por que implementar um controle sem os outros gera lacunas de conformidade?

• Uma política de controle de acesso (A.5.15) sem o processo de gestão de identidades (A.5.16) define as regras, mas não garante que sejam seguidas no onboarding e no offboarding. 
• Uma gestão de identidades (A.5.16) sem revisão periódica (A.5.18) controla o momento da concessão, mas não previne o acúmulo de permissões ao longo do tempo. 
• Uma revisão periódica (A.5.18) sem política de autenticação (A.5.17) revisa quem tem acesso, mas não garante que o acesso seja protegido adequadamente.

O papel da automação na conformidade contínua com o Anexo A

A conformidade contínua com os controles A.5.15 a A.5.18 é o que diferencia empresas que passam na certificação de empresas que acumulam planos de ação. 

Processos manuais geram evidência suficiente para o dia da auditoria, mas são insuficientes para demonstrar que o controle funciona todos os dias. 

Como a Niuco Ajuda a Implementar os Controles de Identidade da ISO 27001

A Niuco implementa controles de segurança da informação, gestão de identidades e auditoria de acessos para garantir que as empresas cumpram os requisitos de segurança da ISO 27001, além de gerar relatórios para auditoria de conformidade. 

As três funcionalidades abaixo cobrem diretamente os controles A.5.15 a A.5.18.

Visibilidade e ciclo de vida automatizado: controles A.5.15 e A.5.16

A Niuco centraliza o mapa de acessos de todos os usuários, colaboradores e prestadores. Para cada identidade, é possível ver quais acessos estão ativos, desde quando cada permissão existe e qual foi a justificativa de concessão.

O ciclo de vida é automatizado: uma mudança no sistema de RH dispara automaticamente a revisão dos acessos anteriores. No caso de desligamento, todos os acessos em todos os sistemas são revogados no momento do registro, gerando o log de offboarding para o auditor. Isso cobre o que os controles A.5.15 e A.5.16 exigem: política implementada e ciclo de vida documentado.

Revisão periódica com evidência auditável: controles A.5.17 e A.5.18

A Niuco automatiza o processo de revisão periódica de acessos com notificações para os responsáveis, com o registro de cada decisão de aprovação ou revogação e controle de qualidade da revisão. Isso evita o problema da fadiga de revisão e garante que cada aprovação tenha contexto e justificativa registrados.

Para credenciais privilegiadas, a plataforma aplica controles adicionais alinhados ao A.5.17: aprovação formal antes de cada uso, monitoramento de sessões e revogação automática após o tempo necessário. O modelo de acesso just-in-time elimina as contas administrativas permanentes que concentram grande parte do risco nos ambientes corporativos.

Relatórios prontos para o processo de certificação

A Niuco gera relatórios de conformidade no formato que os processos de certificação ISO 27001 exigem: revisões de acesso com data, responsável e resultado para cada decisão, logs de onboarding e offboarding com timestamps, inventário de identidades ativas e histórico de alterações de permissões.

Para empresas que também precisam de conformidade com o BACEN, a Niuco cobre simultaneamente os requisitos da ISO 27001 e das resoluções CMN 4.893/2021 e CMN 5.274/2025: Compliance Bancário: O que Exige o BACEN e Como Implementar.

Agende uma reunião grátis para um diagnóstico da sua gestão de identidades ou solicite uma demo e comece a se adequar.

FAQ: Perguntas Frequentes sobre ISO 27001 e Gestão de Identidade

O que são os controles A.5.15 a A.5.18 da ISO 27001?

São os quatro controles do Anexo A da ISO/IEC 27001:2022 dedicados especificamente à gestão de identidade e controle de acesso. O A.5.15 trata da política de controle de acesso, o A.5.16 da gestão do ciclo de vida das identidades, o A.5.17 das informações de autenticação e o A.5.18 da revisão periódica de direitos de acesso.

O que é o Anexo A da ISO 27001?

O Anexo A da ISO 27001 é a lista de 93 controles de segurança que as organizações devem avaliar e, quando aplicável, implementar como parte do Sistema de Gestão de Segurança da Informação (SGSI). Os controles são organizados em quatro temas: organizacional, pessoas, físico e tecnológico. 

Quais evidências a ISO 27001 exige para os controles de identidade?

Para o A.5.15: política de acesso documentada e matriz de permissões por função. Para o A.5.16: log de onboarding e offboarding com timestamps e inventário de identidades ativas. Para o A.5.17: política de senhas implementada e evidência de MFA em sistemas críticos. Para o A.5.18: relatórios de revisão periódica com decisão documentada para cada acesso revisado. 

O que é gestão de identidades e acessos (IAM) na ISO 27001?

Na ISO 27001, gestão de identidades e acessos se refere ao conjunto de processos que controla quem pode acessar quais recursos, com quais permissões e sob quais condições, cobrindo todo o ciclo de vida da identidade, da criação à revogação. Os controles A.5.15 a A.5.18 definem os requisitos específicos que esse processo precisa atender para estar em conformidade.

Como implementar o princípio do menor privilégio na ISO 27001?

O princípio do menor privilégio, exigido pelo controle A.5.18, determina que cada usuário deve ter acesso apenas ao que precisa para realizar sua função atual. Para implementá-lo, defina perfis de acesso padrão por função (A.5.15), revise e ajuste os acessos sempre que a função mudar (A.5.16), e realize revisões periódicas para identificar e remover permissões que excedam o necessário (A.5.18).

ISO 27001 e LGPD: como os controles de identidade atendem às duas normas?

Os controles A.5.15 a A.5.18 da ISO 27001 e os requisitos de segurança da LGPD têm sobreposição significativa em termos de gestão de identidade. A LGPD exige rastreabilidade de quem acessa dados pessoais e com qual finalidade, o que é atendido pelos logs de acesso exigidos pelos controles A.5.16 e A.5.18. 

Qual a diferença entre ISO 27001 e SOC 2 para gestão de identidade?

A ISO 27001 é uma certificação baseada em sistema de gestão. Ela avalia se a empresa tem um processo contínuo de identificação e tratamento de riscos de segurança, com os controles do Anexo A como referência. Já o SOC 2 é uma auditoria de efetividade operacional baseada nos Trust Service Criteria da AICPA, que verifica se os controles funcionaram adequadamente durante o período auditado. Para a gestão de identidade, ambas exigem revisão periódica de acessos e evidências auditáveis, mas o SOC 2 tem foco maior na operação contínua durante o período de cobertura do relatório.