DORA e Didit: A Perícia das Micro-Permissões para um Controlo de Acessos Robusto (PT-PT-1)

A Conformidade DORA Exige GranularidadeO Digital Operational Resilience Act (DORA) exige um controlo de acessos altamente granular, indo além dos sistemas tradicionais baseados em funções para garantir a resiliência operacional e a segurança dos dados nos serviços financeiros.

Micro-Permissões são a RespostaAs micro-permissões fornecem um controlo detalhado sobre ações individuais e acesso a dados, permitindo que as organizações apliquem eficazmente o princípio do 'privilégio mínimo' e se adaptem a ambientes complexos e dinâmicos.

Didit Simplifica a ImplementaçãoA plataforma de identidade da Didit oferece os primitivos essenciais — verificação de identidade, autenticação biométrica e orquestração robusta — para construir e gerir sistemas sofisticados de micro-permissões, agilizando a conformidade com o DORA.

Segurança e Auditabilidade AprimoradasA implementação de micro-permissões com a Didit não só cumpre os requisitos do DORA, mas também reduz significativamente os riscos de ameaças internas, melhora os registos de auditoria e fortalece a postura geral de cibersegurança.

O Mandato DORA: Porquê o Controlo de Acessos Granular é Crucial

O Digital Operational Resilience Act (DORA) representa uma mudança significativa na forma como as entidades financeiras gerem os seus riscos de TIC (Tecnologias de Informação e Comunicação). Com efeito a partir de 17 de janeiro de 2025, o DORA impõe um quadro abrangente para a gestão da resiliência operacional digital, incluindo requisitos rigorosos para o controlo de acessos. O controlo de acessos tradicional, baseado em funções amplas (RBAC), muitas vezes não atinge a granularidade que o DORA exige. Numa era de crescentes ameaças cibernéticas, deepfakes sofisticados e identidades geradas por IA, garantir que apenas indivíduos autorizados possam realizar ações específicas em recursos específicos é fundamental. Não se trata apenas de quem pode iniciar sessão, mas precisamente do que podem fazer uma vez autenticados.

O DORA enfatiza a necessidade de sistemas que possam resistir, responder e recuperar de interrupções relacionadas com as TIC. Um componente crítico desta resiliência é a prevenção de acessos não autorizados e atividades maliciosas. Isso exige ir além das permissões de granularidade grosseira para um modelo onde o acesso é concedido ao nível mais baixo de detalhe possível – um conceito conhecido como micro-permissões. Para as instituições financeiras, isso significa proteger dados sensíveis de clientes, infraestruturas críticas e sistemas de transação com um nível de precisão sem precedentes.

Compreender as Micro-Permissões: Além do RBAC Tradicional

As micro-permissões, também conhecidas como controlo de acesso baseado em atributos (ABAC) ou controlo de acesso granular, permitem que as organizações definam permissões com base numa multiplicidade de atributos relacionados com o utilizador, o recurso, o ambiente e a ação que está a ser solicitada. Ao contrário do RBAC, onde um utilizador é atribuído a uma função que vem com um conjunto predefinido de permissões, as micro-permissões permitem decisões dinâmicas e contextuais.

Por exemplo, em vez de uma função de 'Trader' ter acesso a todas as funções de negociação, um sistema de micro-permissões pode ditar que:

• Um 'Trader Júnior' só pode executar transações até um determinado valor, durante horários de mercado específicos, a partir de um dispositivo aprovado, e apenas após autenticação biométrica.
• Um 'Trader Sénior' pode executar transações maiores, mas apenas após uma autenticação de segundo fator e se o valor da transação exceder um limite predefinido, acionando automaticamente a aprovação de um gestor.
• Um 'Oficial de Conformidade' pode visualizar toda a atividade de negociação, mas apenas durante o horário comercial, a partir de um endereço IP interno, e o seu acesso a informações de identificação pessoal (PII) é mascarado, a menos que explicitamente autorizado para uma investigação que exija aprovação multifatorial.

Este nível de detalhe é crucial para a conformidade com o DORA, pois apoia diretamente o princípio do 'privilégio mínimo' – conceder aos utilizadores apenas o acesso mínimo necessário para desempenhar as suas funções. Também fornece uma defesa robusta contra ameaças internas e reduz a superfície de ataque para violações externas, uma vez que as credenciais comprometidas teriam um âmbito limitado.

Construir Sistemas de Micro-Permissões com a Didit

A plataforma de identidade tudo-em-um da Didit está unicamente posicionada para sustentar o desenvolvimento e a gestão de sistemas sofisticados de micro-permissões exigidos pelo DORA. Ao combinar verificação de identidade, biometria, deteção de fraude e autenticação num único sistema orquestrável, a Didit fornece os primitivos fundamentais para o controlo de acesso granular.

Veja como a Didit ajuda:

1. Verificação Robusta de Identidade e Biometria: Antes que qualquer micro-permissão possa ser concedida, a identidade do utilizador deve ser inequivocamente estabelecida. A verificação de documentos de identificação da Didit, leitura NFC, deteção de vivacidade passiva e ativa, e correspondência facial 1:1 garantem que a pessoa que solicita o acesso é realmente quem afirma ser. Este alto nível de garantia é crítico para o DORA, especialmente para acesso privilegiado.

   Exemplo Prático: Um analista financeiro tenta aceder a um sistema crítico de relatórios financeiros. A Didit primeiro verifica a sua identidade através de uma selfie ao vivo e correspondência facial com a sua identificação verificada. Se bem-sucedido, o sistema verifica os atributos atribuídos para as micro-permissões específicas.

2. Sinais de Fraude Contextuais: A análise de IP da Didit, inteligência de dispositivos e sinais comportamentais adicionam contexto crucial aos pedidos de acesso. Estes sinais de fraude podem ser integrados no motor de decisão de micro-permissões. Uma tentativa de acesso de um local ou dispositivo incomum, ou que exiba padrões comportamentais suspeitos, pode acionar requisitos de autenticação elevados ou uma negação total, independentemente das permissões base do utilizador.

   Exemplo Prático: Um funcionário tenta aceder a uma base de dados sensível a partir de uma rede Wi-Fi pública num país diferente do habitual. A Análise de IP da Didit sinaliza isso como de alto risco, escalando automaticamente a autenticação de uma simples palavra-passe para uma verificação biométrica mais um OTP entregue a um dispositivo registado, emitido pela empresa, mesmo que a sua função normalmente permitisse o acesso.

3. Orquestração de Fluxo de Trabalho: O construtor visual de fluxo de trabalho da Didit permite que as organizações desenhem fluxos de identidade complexos que incorporam estas verificações de micro-permissões. Pode criar lógica condicional baseada em atributos (função do utilizador, departamento, localização, hora do dia, sensibilidade dos dados, valor da transação) para conceder ou negar acesso dinamicamente, ou para acionar etapas de verificação adicionais.

   Exemplo Prático: Para um utilizador que tenta aprovar uma transação de alto valor, o fluxo de trabalho pode ser configurado como: Utilizador Autentica (Biometria) → Verificar Valor da Transação → SE Valor > X, ENTÃO Pedir Aprovação do Gestor (Autenticação Biométrica) → SE o Gestor Aprovar, ENTÃO Executar Transação. Cada etapa aqui é uma micro-permissão imposta por uma forte verificação de identidade.

4. Autenticação Reutilizável e Segura: Para utilizadores recorrentes, a autenticação biométrica da Didit oferece um método sem atrito, mas altamente seguro para reverificar a identidade. Isso pode ser diretamente ligado à aplicação de micro-permissões, exigindo uma verificação de vivacidade para certas ações sensíveis, em vez de apenas uma palavra-passe.

   Exemplo Prático: Um representante de serviço ao cliente precisa de visualizar o histórico completo da conta de um cliente. Embora possa ter acesso base, a visualização de PII sensíveis pode exigir uma reautenticação biométrica via selfie antes que os dados sejam desmascarados, garantindo que apenas o indivíduo verificado está a visualizar as informações naquele momento.

Como a Didit Ajuda a Alcançar a Conformidade com o DORA

A abordagem integrada da Didit aborda diretamente vários requisitos chave do DORA relacionados com a gestão de identidade e acesso:

• Gestão de Riscos TIC: Ao fornecer uma verificação de identidade robusta e deteção de fraude, a Didit ajuda as entidades financeiras a identificar, medir, gerir e monitorizar os riscos TIC, especialmente aqueles relacionados com acesso não autorizado e comprometimento de identidade.
• Testes de Resiliência Operacional Digital: A granularidade oferecida pelas micro-permissões, impulsionadas pela Didit, permite testes mais precisos de cenários de resiliência, garantindo que os controlos de acesso resistem a vários vetores de ataque e interrupções operacionais.
• Gestão de Riscos de Terceiros: Ao lidar com fornecedores terceiros (como serviços na cloud ou operações terceirizadas), a Didit pode impor micro-permissões rigorosas para o seu acesso, garantindo que interagem apenas com os recursos e dados precisos para os quais estão autorizados, minimizando o risco da cadeia de fornecimento.
• Relato e Gestão de Incidentes: Os registos de auditoria detalhados gerados pela plataforma da Didit para cada evento de verificação e autenticação de identidade fornecem dados cruciais para a análise e relato de incidentes, ajudando a cumprir as obrigações de gestão de incidentes do DORA.

Pronto para Começar?

Implementar uma estratégia de micro-permissões para a conformidade com o DORA não precisa de ser uma tarefa avassaladora. Com a plataforma de identidade abrangente da Didit, pode construir um sistema de controlo de acesso flexível, seguro e resiliente, adaptado às exigências únicas da sua entidade financeira. Explore como a Didit pode ajudá-lo a alcançar uma resiliência operacional digital robusta.

Explorar Centro de Demonstrações

Aceder à Consola de Negócios

Ver Preços