Vetrexa Competências

IAM & Segurança

O Identity Access Management (IAM) e a segurança de TI são o alicerce de qualquer paisagem de TI moderna e regulada. Requisitos regulatórios crescentes como MaRisk, BAIT, DORA, NIS-2 e ISO 27001:2022, arquiteturas cloud híbridas e o princípio Zero Trust exigem um IAM que aplique de ponta a ponta o princípio do menor privilégio (Least-Privilege) e se mantenha auditável em qualquer momento. Estruturas de autorizações herdadas, sistemas-alvo heterogéneos e uma governança de papéis fraca conduzem, pelo contrário, a constatações de auditoria, risco de acesso elevado e recertificações ineficientes. A Vetrexa apoia-o como parceiro experiente e independente de fornecedores – da arquitetura-alvo de IAM à seleção de ferramentas (SailPoint IIQ, Microsoft Entra ID, CyberArk, One Identity, NEXIS) e à operação do dia a dia, incluindo gestão por KPI. O nosso foco recai em setores fortemente regulados como banca, seguros, indústria automóvel e setor público, onde entregamos há muitos anos resultados demonstráveis em governança, conformidade e eficiência.

Visão geral

Porquê IAM & Segurança?

A digitalização, a migração para a cloud e os modelos Zero Trust estão a redesenhar a lógica de segurança. Ao mesmo tempo, o MaRisk, o BAIT, o DORA e a ISO 27001 elevam as exigências ao nível de evidência, controlo e auditabilidade. Muitas organizações debatem-se com estruturas de autorizações herdadas, sistemas-alvo heterogéneos e recertificações ineficientes. É precisamente aqui que entramos – como consultora independente sem dependência de fornecedores, focada em governança sustentável e resultados mensuráveis.

A nossa abordagem cobre toda a cadeia de valor: da estratégia de IAM à arquitetura-alvo, seleção de ferramentas e implementação, até à otimização em operação. Trazemos experiência de vários programas em EMEA, APAC e nos EUA, com foco claro em banca, seguros e indústria – onde regulação, escala e complexidade se cruzam.

A pressão regulatória intensifica-se claramente em 2026: a revisão do MaRisk especifica os requisitos para a gestão de autorizações de TI (AT 7.2 e capítulos BT específicos de TI), enquanto o BAIT e o regulamento europeu DORA, com os respetivos Regulatory Technical Standards (RTS) de nível 2, exigem uma gestão de risco ICT third-party de ponta a ponta, logs granulares de acesso, procedimentos de emergência documentados e prova sólida de continuidade de negócio. Em paralelo, a NIS-2 alarga significativamente o perímetro regulado – abrangendo indústria, energia, saúde e entidades públicas – e obriga a processos formais de risco e de reporte de incidentes. A ISO 27001:2022, com os novos controlos A.5.15 a A.5.18, coloca o controlo de acessos, a gestão de identidades, a informação de autenticação e a revogação de direitos no centro. Traduzimos estas exigências em controlos concretos: intervalos de recertificação baseados em criticidade, uma matriz SoD com tratamento documentado de exceções, contas break-glass com cadeia completa de PAM session recording, access reviews com atestação do owner e relatórios automatizados para auditores externos, auditoria interna e supervisores (BaFin, Bundesbank, BCE).

Os nossos serviços

O que entregamos

Arquitetura-alvo e Estratégia de IAM

Derivamos uma arquitetura-alvo de IAM robusta a partir da sua estratégia de negócio e TI – incluindo modelo operacional, estratégia de sourcing e roadmap. Consideramos paisagens de cloud híbrida, sistemas core legados e ligações a terceiros, e derivamos uma visão coerente de identity fabric. O resultado é um blueprint sólido com governança clara, responsabilidade sobre papéis e KPI quantificáveis para os comités de acompanhamento de programa.

  • Avaliações de maturidade e prontidão de IAM
  • Desenho do estado-alvo (IGA, PAM, autenticação, federação)
  • Framework Zero Trust e segmentação
  • Modelação de business case e ROI
  • Roadmap com waves de entrega e framework de KPI
  • Arquitetura identity fabric com integrações cloud híbrida
  • Análise sourcing e build-vs-buy com TCO

SailPoint IIQ – Implementação e Otimização

Desde a implementação de raiz à modernização de instalações existentes – configurável, com desempenho e auditável. Trazemos experiência profunda com SailPoint IdentityIQ – da definição do modelo de dados às campanhas de recertificação configuráveis, até rules BeanShell à medida e conectores personalizados. Para plataformas existentes entregamos health checks estruturados, caminhos de upgrade e otimização de desempenho.

  • Configuração de provisionamento e workflows
  • Integração de sistemas-alvo (SAP, AD, ServiceNow)
  • Campanhas de recertificação e modelos de política
  • Afinação de desempenho e health checks
  • Conceitos UAT, cutover e hypercare
  • Migração de IIQ 8.x para releases LTS atuais
  • Desenvolvimento de conectores custom e desenho de rules BeanShell

Privileged Access Management (PAM)

Colocamos os acessos privilegiados sob controlo – desde o desenho conceptual à proteção de sistemas críticos. Os blocos centrais são o PAM session recording com armazenamento à prova de manipulação, o acesso Just-in-Time (JIT) com workflows de aprovação e os Privileged Access Thresholds (PAT) claramente definidos, que escalam automaticamente atividades de risco elevado. Complementamos com o reforço de contas de serviço, o desacoplamento de sistemas legados e uma integração limpa com SIEM e ferramentas de threat detection.

  • Estado-alvo PAM e modelo operacional
  • Conceitos de cofre e sessão (CyberArk, One Identity)
  • Acesso Just-in-Time e processos break-glass
  • Integração com SIEM e monitorização
  • Reforço de contas de serviço e sistemas legados
  • PAM session recording com retenção à prova de manipulação
  • Delegation chains e princípio dos quatro olhos para break-glass

Modelação RBAC e SoD

Modelos de papéis claros são a base de uma governança eficiente. Consolidamos, limpamos e modelamos para o longo prazo – com role mining baseado em dados e uma matriz SoD robusta que reflete categorias de conflito exigidas pela supervisão. O resultado são business roles compreensíveis para o negócio, papéis técnicos manejáveis e um ciclo de vida com owners claros que evita o crescimento descontrolado de papéis.

  • Análise e limpeza de estruturas de papéis herdadas
  • Role mining e desenho de business roles
  • Regras de SoD e verificação de conflitos
  • Ownership de papéis e processos de ciclo de vida
  • Modelação com Plataforma NEXIS / IVIP
  • Matriz SoD com gestão de exceções e controlos compensatórios
  • Extensões ABAC para afinação baseada em risco

Recertificação e Prontidão para Auditoria

Tornamos a sua paisagem de acessos à prova de auditoria – perante a auditoria interna, auditores externos e supervisores. Desenhamos campanhas de recertificação baseadas em risco que desincentivam aprovações em massa, ancoramos os access reviews ao nível do owner e acompanhamos os findings de forma consistente. O resultado são controlos auditáveis alinhados com MaRisk AT 7.2, BAIT, DORA e ISO 27001:2022, com um trilho de evidência completo.

  • Processos de recertificação alinhados com MaRisk e DORA
  • Modelos de ownership e lógica de escalonamento
  • Dashboards de KPI e compliance (Power BI)
  • Preparação de auditoria e gestão de findings
  • Documentação de controlo sustentável
  • Campanhas de recertificação com priorização baseada em risco
  • Access reviews com atestação do owner e princípio dos quatro olhos

Desenvolvimento de Conectores

Integrações à medida onde os conectores standard atingem os seus limites – robustas, sustentáveis e documentadas. Aplicamos padrões comprovados de idempotência, retry e rate limiting e entregamos documentação operacional que inclui o conceito de monitorização. Assim, mesmo triggers de HR complexos, APIs de cloud e sistemas legados integram-se de forma limpa em workflows IGA e em delegation chains.

  • Integração SAP (HR, ERP, S/4HANA)
  • Active Directory e Entra ID
  • Integrações ServiceNow e fulfilment
  • Extensões MIM/FIM e caminhos de migração
  • Conectores REST/SOAP com tratamento de erros
  • Triggers HR baseados em eventos para joiner-mover-leaver
  • Manual de operação e monitorização por conector

Metodologia

A nossa abordagem em 4 fases

  1. Análise

    Levantamento da arquitetura atual, paisagem de autorizações, requisitos regulatórios e maturidade. Resultado: uma base sólida e campos de atuação claros.

  2. Estratégia

    Definição da arquitetura-alvo de IAM, seleção das ferramentas adequadas, modelo operacional e governança, e um roadmap de entrega priorizado.

  3. Implementação

    Estabelecimento de processos, configuração dos sistemas-alvo, onboarding das áreas de negócio, migração de dados, testes e rollout controlado por waves.

  4. Otimização

    Melhoria contínua em operação: gestão por KPI, ciclos de recertificação, afinação de desempenho e adaptação a alterações regulatórias.

Regulação

Regulação e conformidade em detalhe

Como alinhamos os controlos de IAM de forma concreta com os enquadramentos de supervisão.

MaRisk e BAIT

A revisão do MaRisk para 2026 e o BAIT precisam os requisitos para a gestão de autorizações de TI (AT 7.2 e capítulos BT específicos de TI). Ancoramos os princípios de menor privilégio, separação de funções e rastreabilidade em processos concretos: intervalos de recertificação baseados em risco, controlos SoD, workflows de pedido de acesso e logging completo. Todos os controlos são documentados de forma auditável e evidenciados através de dashboards de KPI perante a auditoria interna, os auditores externos e a BaFin.

DORA (incl. RTS de nível 2)

O Digital Operational Resilience Act é vinculativo desde 17 de janeiro de 2025 – os RTS de nível 2 relativos à gestão de risco ICT third-party, à classificação de incidentes e ao threat-led penetration testing concretizam ainda mais a implementação em 2026. Fornecemos o fundamento do lado do IAM: estruturas de governança, logs de acesso e de alteração, controlo de acesso de terceiros, acessos break-glass com session recording e reporting às autoridades de supervisão competentes. O resultado é um trilho de evidência DORA auditável para as suas funções ICT críticas.

ISO 27001:2022 e NIS-2

A ISO 27001:2022 revista, com o Anexo A e os controlos A.5.15 a A.5.18, coloca o controlo de acessos, a gestão de identidades, a informação de autenticação e a revogação de direitos no centro. A NIS-2 alarga o perímetro regulado a muitas organizações da indústria, energia e setor público e exige processos formais de risco, reporte e formação. Mapeamos os seus controlos de IAM em ambos os enquadramentos, colmatamos lacunas de evidência e preparamos as auditorias de certificação de forma sistemática.

Referências

Experiência em projetos IAM & Segurança

Referências selecionadas por setor – sem indicação de clientes.

Banca

Governança de IAM e Prontidão para Auditoria

Construção de uma governança de IAM baseada em COBIT com processos de recertificação auditáveis e dashboards Power BI para gestão de KPI perante auditores e supervisores.

  • Ferramentas: ServiceNow, Jira/XRay, Confluence, Power BI
  • Metodologia: COBIT, MaRisk, engenharia de requisitos, Scrum

Seguros

Recertificação IAM e Processos de Auditoria

Desenho e entrega de recertificações à prova de auditoria – incluindo owner reviews, lógica de escalonamento e reporting – implementado em SailPoint IIQ com estruturas de ownership claras.

  • Ferramentas: SailPoint IIQ, Jira/XRay, Confluence
  • Metodologia: Engenharia de requisitos, UAT, desenho de governança

Seguros

Preparação DORA nível 2

Construção de um enquadramento de governança, reporting e gestão de risco ICT third-party conforme com o DORA: registo dos contratos ICT third-party, classificação de incidentes segundo os RTS, logging de acesso a sistemas críticos, exercícios de crise e workflows de reporte às autoridades competentes. O resultado foi um trilho de evidência DORA auditável, entregue a tempo dos prazos dos RTS de nível 2.

  • Ferramentas: ServiceNow GRC, Confluence, Power BI
  • Metodologia: DORA RTS, ITIL, engenharia de requisitos

Indústria

Avaliação de Ferramentas IGA e Definição de POC

Avaliação estruturada de soluções IGA com workshops de requisitos, análise fit/gap, matriz de scoring e desenho de POC como base de decisão para a gestão.

  • Ferramentas: Azure, integração SAP, Confluence, Jira
  • Metodologia: Fit/gap, scoring, engenharia de requisitos

Automóvel

Rollout global de IAM e harmonização de papéis

Consolidação de paisagens de autorizações heterogéneas em vários locais fabris e entidades nacionais. Desenho de uma taxonomia harmonizada de business roles, migração para SailPoint IIQ e introdução de controlos baseados em SoD para sistemas SAP e de engenharia.

  • Ferramentas: SailPoint IIQ, SAP, Active Directory, Confluence
  • Metodologia: Role mining, fit/gap, alinhamento TISAX

Setor Público

Modernização de IAM e prontidão NIS-2

Consultoria a uma entidade pública na substituição de estruturas de Active Directory herdadas e no desenvolvimento de uma governança de IAM conforme com a NIS-2, com responsabilidades claras, processos de incidente e blocos de construção Zero Trust. Foco em requisitos de proteção de dados e processos acessíveis.

  • Ferramentas: Microsoft Entra ID, Active Directory, ServiceNow
  • Metodologia: NIS-2, BSI IT-Grundschutz, Zero Trust

Ferramentas e Frameworks

Toolset e Frameworks

Relacionados

Gestão de Autorizações

Modelos estruturados de papéis e acessos, RBAC/SoD, recertificação e limpeza de paisagens de autorizações herdadas.

Managed Services

Operação, monitorização e otimização contínua das suas plataformas de IAM e segurança – de forma fiável e suportada por SLA.

Parceiro: Plataforma NEXIS

Enquanto NEXIS Silver Partner, utilizamos a Plataforma NEXIS com IVIP para análise de papéis, visualização de governança e insights de risco.

Lições Aprendidas

Erros comuns em rollouts de IAM

Anti-padrões de vários programas – e como os evitamos ativamente nos nossos projetos.

Crescimento descontrolado de papéis em vez de business roles consolidados

As áreas de negócio pedem sempre novos papéis à medida enquanto os existentes nunca são limpos – o resultado são milhares de papéis sobrepostos, impenetráveis para owners e auditores. Prevenimos esta situação com um ciclo de vida rigoroso dos papéis, role mining baseado em dados e uma taxonomia de business roles claramente definida, mantida em conjunto com o negócio.

Governança de owner fraca e responsabilidades pouco claras

Quando papéis, aplicações e autorizações não têm owner de negócio, as decisões voltam para a TI e a governança degrada-se. Ancoramos uma estrutura de ownership sustentável com RACI, regras de substituição e owner reviews periódicos, para que access reviews e recertificações sejam assinados pelas pessoas certas – e resistam ao escrutínio.

Recertificação como formalidade de papel (aprovação em massa)

Campanhas de recertificação em que os gestores aprovam tudo em bloco não têm valor sob o ponto de vista da supervisão e aumentam o risco de auditoria. Introduzimos priorização baseada em risco, ecrãs ricos em contexto (utilização, criticidade, comparação com pares) e o princípio dos quatro olhos, para que a recertificação volte a ser um controlo real – e não um ritual de cliques.

PAM sem session recording nem controlo de break-glass

Um tool PAM por si só não protege: sem session recording, processos de break-glass claros e delegation chains, os acessos privilegiados permanecem opacos. Desenhamos o PAM como uma cadeia de controlo fechada – da aprovação Just-in-Time à gravação da sessão, passando por retenção à prova de manipulação e análise no SIEM.

FAQ

Perguntas frequentes

Que ferramentas de IAM utiliza a Vetrexa?

Somos independentes em termos de ferramentas e trabalhamos com SailPoint IdentityIQ, Microsoft Entra ID, CyberArk, One Identity e Microsoft MIM/FIM, consoante o cenário do cliente. Enquanto NEXIS Silver Partner, utilizamos também a Plataforma NEXIS com IVIP para análise de papéis e visualização de governança.

Como apoia a Vetrexa na conformidade MaRisk/DORA?

Desenhamos modelos de governança de IAM alinhados com MaRisk AT 7.2, BAIT e DORA. Isto inclui processos de recertificação auditáveis, controlos de SoD, acessos de emergência (break-glass) e dashboards de KPI que resistem a auditoria interna, auditores externos e à BaFin.

Podem otimizar implementações SailPoint existentes?

Sim. Realizamos health checks, análises de desempenho e consolidações em instalações SailPoint IIQ existentes – desde a refatoração de workflows e otimização de conectores (SAP, AD, ServiceNow) até à modernização de campanhas de recertificação e modelos de papéis.

Quanto tempo demora um projeto típico de recertificação IAM?

Uma primeira campanha de recertificação auditável pode normalmente ser preparada em 3 a 6 meses. Programas de governança completos, com re-modelação de papéis, rollout de ferramentas e escala internacional, situam-se tipicamente entre 12 e 24 meses, faseados por sistema e área de negócio.

Qual a diferença entre IAM, IGA e PAM?

IAM (Identity & Access Management) é o termo abrangente para todos os processos em torno de identidades digitais, autenticação e autorização. IGA (Identity Governance & Administration) acrescenta ao IAM funções de governança como recertificação, verificações de SoD, gestão de ciclo de vida e atestação. O PAM (Privileged Access Management) foca-se especificamente em contas privilegiadas – com cofre, session recording, acesso Just-in-Time e processos break-glass. Na prática combinamos as três camadas numa abordagem coerente de identity fabric.

Como se distinguem RBAC e ABAC?

O RBAC (Role-Based Access Control) atribui permissões através de papéis alinhados com tarefas e estruturas organizacionais – ideal para processos estáveis e evidência regulatória. O ABAC (Attribute-Based Access Control) decide dinamicamente com base em atributos como departamento, localização, estado do dispositivo ou classe de risco, permitindo políticas granulares e sensíveis ao contexto. Em arquiteturas Zero Trust modernas combinamos ambos: RBAC como fundação sólida, ABAC para afinação baseada em risco e acessos Just-in-Time.

Qual o papel do Zero Trust na nossa estratégia?

Zero Trust não é um produto, mas sim um princípio de arquitetura: never trust, always verify. Cada acesso é avaliado em contexto – identidade, dispositivo, rede, sinais de risco. Ancoramos Zero Trust no IAM através de aplicação rigorosa do princípio do menor privilégio, autenticação forte (MFA, fatores resistentes a phishing), microsegmentação, avaliação contínua de sessão e integração profunda com SIEM e XDR. O resultado é um IAM que protege de forma consistente cloud híbrida, teletrabalho e acessos de terceiros.

Prontos para uma IAM Governance segura?

Fale connosco sobre o seu roadmap de IAM e segurança – de forma informal e a par.

Solicitar consultoria