O Identity Access Management (IAM) e a segurança de TI são o alicerce de qualquer paisagem de TI moderna e regulada. Requisitos regulatórios crescentes como MaRisk, BAIT, DORA, NIS-2 e ISO 27001:2022, arquiteturas cloud híbridas e o princípio Zero Trust exigem um IAM que aplique de ponta a ponta o princípio do menor privilégio (Least-Privilege) e se mantenha auditável em qualquer momento. Estruturas de autorizações herdadas, sistemas-alvo heterogéneos e uma governança de papéis fraca conduzem, pelo contrário, a constatações de auditoria, risco de acesso elevado e recertificações ineficientes. A Vetrexa apoia-o como parceiro experiente e independente de fornecedores – da arquitetura-alvo de IAM à seleção de ferramentas (SailPoint IIQ, Microsoft Entra ID, CyberArk, One Identity, NEXIS) e à operação do dia a dia, incluindo gestão por KPI. O nosso foco recai em setores fortemente regulados como banca, seguros, indústria automóvel e setor público, onde entregamos há muitos anos resultados demonstráveis em governança, conformidade e eficiência.
Visão geral
Porquê IAM & Segurança?
A digitalização, a migração para a cloud e os modelos Zero Trust estão a redesenhar a lógica de segurança. Ao mesmo tempo, o MaRisk, o BAIT, o DORA e a ISO 27001 elevam as exigências ao nível de evidência, controlo e auditabilidade. Muitas organizações debatem-se com estruturas de autorizações herdadas, sistemas-alvo heterogéneos e recertificações ineficientes. É precisamente aqui que entramos – como consultora independente sem dependência de fornecedores, focada em governança sustentável e resultados mensuráveis.
A nossa abordagem cobre toda a cadeia de valor: da estratégia de IAM à arquitetura-alvo, seleção de ferramentas e implementação, até à otimização em operação. Trazemos experiência de vários programas em EMEA, APAC e nos EUA, com foco claro em banca, seguros e indústria – onde regulação, escala e complexidade se cruzam.
A pressão regulatória intensifica-se claramente em 2026: a revisão do MaRisk especifica os requisitos para a gestão de autorizações de TI (AT 7.2 e capítulos BT específicos de TI), enquanto o BAIT e o regulamento europeu DORA, com os respetivos Regulatory Technical Standards (RTS) de nível 2, exigem uma gestão de risco ICT third-party de ponta a ponta, logs granulares de acesso, procedimentos de emergência documentados e prova sólida de continuidade de negócio. Em paralelo, a NIS-2 alarga significativamente o perímetro regulado – abrangendo indústria, energia, saúde e entidades públicas – e obriga a processos formais de risco e de reporte de incidentes. A ISO 27001:2022, com os novos controlos A.5.15 a A.5.18, coloca o controlo de acessos, a gestão de identidades, a informação de autenticação e a revogação de direitos no centro. Traduzimos estas exigências em controlos concretos: intervalos de recertificação baseados em criticidade, uma matriz SoD com tratamento documentado de exceções, contas break-glass com cadeia completa de PAM session recording, access reviews com atestação do owner e relatórios automatizados para auditores externos, auditoria interna e supervisores (BaFin, Bundesbank, BCE).
Os nossos serviços
O que entregamos
01
Arquitetura-alvo e Estratégia de IAM
Derivamos uma arquitetura-alvo de IAM robusta a partir da sua estratégia de negócio e TI – incluindo modelo operacional, estratégia de sourcing e roadmap. Consideramos paisagens de cloud híbrida, sistemas core legados e ligações a terceiros, e derivamos uma visão coerente de identity fabric. O resultado é um blueprint sólido com governança clara, responsabilidade sobre papéis e KPI quantificáveis para os comités de acompanhamento de programa.
Avaliações de maturidade e prontidão de IAM
Desenho do estado-alvo (IGA, PAM, autenticação, federação)
Framework Zero Trust e segmentação
Modelação de business case e ROI
Roadmap com waves de entrega e framework de KPI
Arquitetura identity fabric com integrações cloud híbrida
Análise sourcing e build-vs-buy com TCO
02
SailPoint IIQ – Implementação e Otimização
Desde a implementação de raiz à modernização de instalações existentes – configurável, com desempenho e auditável. Trazemos experiência profunda com SailPoint IdentityIQ – da definição do modelo de dados às campanhas de recertificação configuráveis, até rules BeanShell à medida e conectores personalizados. Para plataformas existentes entregamos health checks estruturados, caminhos de upgrade e otimização de desempenho.
Configuração de provisionamento e workflows
Integração de sistemas-alvo (SAP, AD, ServiceNow)
Campanhas de recertificação e modelos de política
Afinação de desempenho e health checks
Conceitos UAT, cutover e hypercare
Migração de IIQ 8.x para releases LTS atuais
Desenvolvimento de conectores custom e desenho de rules BeanShell
03
Privileged Access Management (PAM)
Colocamos os acessos privilegiados sob controlo – desde o desenho conceptual à proteção de sistemas críticos. Os blocos centrais são o PAM session recording com armazenamento à prova de manipulação, o acesso Just-in-Time (JIT) com workflows de aprovação e os Privileged Access Thresholds (PAT) claramente definidos, que escalam automaticamente atividades de risco elevado. Complementamos com o reforço de contas de serviço, o desacoplamento de sistemas legados e uma integração limpa com SIEM e ferramentas de threat detection.
Estado-alvo PAM e modelo operacional
Conceitos de cofre e sessão (CyberArk, One Identity)
Acesso Just-in-Time e processos break-glass
Integração com SIEM e monitorização
Reforço de contas de serviço e sistemas legados
PAM session recording com retenção à prova de manipulação
Delegation chains e princípio dos quatro olhos para break-glass
04
Modelação RBAC e SoD
Modelos de papéis claros são a base de uma governança eficiente. Consolidamos, limpamos e modelamos para o longo prazo – com role mining baseado em dados e uma matriz SoD robusta que reflete categorias de conflito exigidas pela supervisão. O resultado são business roles compreensíveis para o negócio, papéis técnicos manejáveis e um ciclo de vida com owners claros que evita o crescimento descontrolado de papéis.
Análise e limpeza de estruturas de papéis herdadas
Role mining e desenho de business roles
Regras de SoD e verificação de conflitos
Ownership de papéis e processos de ciclo de vida
Modelação com Plataforma NEXIS / IVIP
Matriz SoD com gestão de exceções e controlos compensatórios
Extensões ABAC para afinação baseada em risco
05
Recertificação e Prontidão para Auditoria
Tornamos a sua paisagem de acessos à prova de auditoria – perante a auditoria interna, auditores externos e supervisores. Desenhamos campanhas de recertificação baseadas em risco que desincentivam aprovações em massa, ancoramos os access reviews ao nível do owner e acompanhamos os findings de forma consistente. O resultado são controlos auditáveis alinhados com MaRisk AT 7.2, BAIT, DORA e ISO 27001:2022, com um trilho de evidência completo.
Processos de recertificação alinhados com MaRisk e DORA
Modelos de ownership e lógica de escalonamento
Dashboards de KPI e compliance (Power BI)
Preparação de auditoria e gestão de findings
Documentação de controlo sustentável
Campanhas de recertificação com priorização baseada em risco
Access reviews com atestação do owner e princípio dos quatro olhos
06
Desenvolvimento de Conectores
Integrações à medida onde os conectores standard atingem os seus limites – robustas, sustentáveis e documentadas. Aplicamos padrões comprovados de idempotência, retry e rate limiting e entregamos documentação operacional que inclui o conceito de monitorização. Assim, mesmo triggers de HR complexos, APIs de cloud e sistemas legados integram-se de forma limpa em workflows IGA e em delegation chains.
Integração SAP (HR, ERP, S/4HANA)
Active Directory e Entra ID
Integrações ServiceNow e fulfilment
Extensões MIM/FIM e caminhos de migração
Conectores REST/SOAP com tratamento de erros
Triggers HR baseados em eventos para joiner-mover-leaver
Manual de operação e monitorização por conector
Metodologia
A nossa abordagem em 4 fases
01
Análise
Levantamento da arquitetura atual, paisagem de autorizações, requisitos regulatórios e maturidade. Resultado: uma base sólida e campos de atuação claros.
02
Estratégia
Definição da arquitetura-alvo de IAM, seleção das ferramentas adequadas, modelo operacional e governança, e um roadmap de entrega priorizado.
03
Implementação
Estabelecimento de processos, configuração dos sistemas-alvo, onboarding das áreas de negócio, migração de dados, testes e rollout controlado por waves.
04
Otimização
Melhoria contínua em operação: gestão por KPI, ciclos de recertificação, afinação de desempenho e adaptação a alterações regulatórias.
Regulação
Regulação e conformidade em detalhe
Como alinhamos os controlos de IAM de forma concreta com os enquadramentos de supervisão.
MaRisk e BAIT
A revisão do MaRisk para 2026 e o BAIT precisam os requisitos para a gestão de autorizações de TI (AT 7.2 e capítulos BT específicos de TI). Ancoramos os princípios de menor privilégio, separação de funções e rastreabilidade em processos concretos: intervalos de recertificação baseados em risco, controlos SoD, workflows de pedido de acesso e logging completo. Todos os controlos são documentados de forma auditável e evidenciados através de dashboards de KPI perante a auditoria interna, os auditores externos e a BaFin.
DORA (incl. RTS de nível 2)
O Digital Operational Resilience Act é vinculativo desde 17 de janeiro de 2025 – os RTS de nível 2 relativos à gestão de risco ICT third-party, à classificação de incidentes e ao threat-led penetration testing concretizam ainda mais a implementação em 2026. Fornecemos o fundamento do lado do IAM: estruturas de governança, logs de acesso e de alteração, controlo de acesso de terceiros, acessos break-glass com session recording e reporting às autoridades de supervisão competentes. O resultado é um trilho de evidência DORA auditável para as suas funções ICT críticas.
ISO 27001:2022 e NIS-2
A ISO 27001:2022 revista, com o Anexo A e os controlos A.5.15 a A.5.18, coloca o controlo de acessos, a gestão de identidades, a informação de autenticação e a revogação de direitos no centro. A NIS-2 alarga o perímetro regulado a muitas organizações da indústria, energia e setor público e exige processos formais de risco, reporte e formação. Mapeamos os seus controlos de IAM em ambos os enquadramentos, colmatamos lacunas de evidência e preparamos as auditorias de certificação de forma sistemática.
Referências
Experiência em projetos IAM & Segurança
Referências selecionadas por setor – sem indicação de clientes.
Banca
Governança de IAM e Prontidão para Auditoria
Construção de uma governança de IAM baseada em COBIT com processos de recertificação auditáveis e dashboards Power BI para gestão de KPI perante auditores e supervisores.
Ferramentas: ServiceNow, Jira/XRay, Confluence, Power BI
Metodologia: COBIT, MaRisk, engenharia de requisitos, Scrum
Seguros
Recertificação IAM e Processos de Auditoria
Desenho e entrega de recertificações à prova de auditoria – incluindo owner reviews, lógica de escalonamento e reporting – implementado em SailPoint IIQ com estruturas de ownership claras.
Ferramentas: SailPoint IIQ, Jira/XRay, Confluence
Metodologia: Engenharia de requisitos, UAT, desenho de governança
Seguros
Preparação DORA nível 2
Construção de um enquadramento de governança, reporting e gestão de risco ICT third-party conforme com o DORA: registo dos contratos ICT third-party, classificação de incidentes segundo os RTS, logging de acesso a sistemas críticos, exercícios de crise e workflows de reporte às autoridades competentes. O resultado foi um trilho de evidência DORA auditável, entregue a tempo dos prazos dos RTS de nível 2.
Ferramentas: ServiceNow GRC, Confluence, Power BI
Metodologia: DORA RTS, ITIL, engenharia de requisitos
Indústria
Avaliação de Ferramentas IGA e Definição de POC
Avaliação estruturada de soluções IGA com workshops de requisitos, análise fit/gap, matriz de scoring e desenho de POC como base de decisão para a gestão.
Metodologia: Fit/gap, scoring, engenharia de requisitos
Automóvel
Rollout global de IAM e harmonização de papéis
Consolidação de paisagens de autorizações heterogéneas em vários locais fabris e entidades nacionais. Desenho de uma taxonomia harmonizada de business roles, migração para SailPoint IIQ e introdução de controlos baseados em SoD para sistemas SAP e de engenharia.
Ferramentas: SailPoint IIQ, SAP, Active Directory, Confluence
Metodologia: Role mining, fit/gap, alinhamento TISAX
Setor Público
Modernização de IAM e prontidão NIS-2
Consultoria a uma entidade pública na substituição de estruturas de Active Directory herdadas e no desenvolvimento de uma governança de IAM conforme com a NIS-2, com responsabilidades claras, processos de incidente e blocos de construção Zero Trust. Foco em requisitos de proteção de dados e processos acessíveis.
Ferramentas: Microsoft Entra ID, Active Directory, ServiceNow
Metodologia: NIS-2, BSI IT-Grundschutz, Zero Trust
Enquanto NEXIS Silver Partner, utilizamos a Plataforma NEXIS com IVIP para análise de papéis, visualização de governança e insights de risco.
Lições Aprendidas
Erros comuns em rollouts de IAM
Anti-padrões de vários programas – e como os evitamos ativamente nos nossos projetos.
Crescimento descontrolado de papéis em vez de business roles consolidados
As áreas de negócio pedem sempre novos papéis à medida enquanto os existentes nunca são limpos – o resultado são milhares de papéis sobrepostos, impenetráveis para owners e auditores. Prevenimos esta situação com um ciclo de vida rigoroso dos papéis, role mining baseado em dados e uma taxonomia de business roles claramente definida, mantida em conjunto com o negócio.
Governança de owner fraca e responsabilidades pouco claras
Quando papéis, aplicações e autorizações não têm owner de negócio, as decisões voltam para a TI e a governança degrada-se. Ancoramos uma estrutura de ownership sustentável com RACI, regras de substituição e owner reviews periódicos, para que access reviews e recertificações sejam assinados pelas pessoas certas – e resistam ao escrutínio.
Recertificação como formalidade de papel (aprovação em massa)
Campanhas de recertificação em que os gestores aprovam tudo em bloco não têm valor sob o ponto de vista da supervisão e aumentam o risco de auditoria. Introduzimos priorização baseada em risco, ecrãs ricos em contexto (utilização, criticidade, comparação com pares) e o princípio dos quatro olhos, para que a recertificação volte a ser um controlo real – e não um ritual de cliques.
PAM sem session recording nem controlo de break-glass
Um tool PAM por si só não protege: sem session recording, processos de break-glass claros e delegation chains, os acessos privilegiados permanecem opacos. Desenhamos o PAM como uma cadeia de controlo fechada – da aprovação Just-in-Time à gravação da sessão, passando por retenção à prova de manipulação e análise no SIEM.
FAQ
Perguntas frequentes
Que ferramentas de IAM utiliza a Vetrexa?
Somos independentes em termos de ferramentas e trabalhamos com SailPoint IdentityIQ, Microsoft Entra ID, CyberArk, One Identity e Microsoft MIM/FIM, consoante o cenário do cliente. Enquanto NEXIS Silver Partner, utilizamos também a Plataforma NEXIS com IVIP para análise de papéis e visualização de governança.
Como apoia a Vetrexa na conformidade MaRisk/DORA?
Desenhamos modelos de governança de IAM alinhados com MaRisk AT 7.2, BAIT e DORA. Isto inclui processos de recertificação auditáveis, controlos de SoD, acessos de emergência (break-glass) e dashboards de KPI que resistem a auditoria interna, auditores externos e à BaFin.
Podem otimizar implementações SailPoint existentes?
Sim. Realizamos health checks, análises de desempenho e consolidações em instalações SailPoint IIQ existentes – desde a refatoração de workflows e otimização de conectores (SAP, AD, ServiceNow) até à modernização de campanhas de recertificação e modelos de papéis.
Quanto tempo demora um projeto típico de recertificação IAM?
Uma primeira campanha de recertificação auditável pode normalmente ser preparada em 3 a 6 meses. Programas de governança completos, com re-modelação de papéis, rollout de ferramentas e escala internacional, situam-se tipicamente entre 12 e 24 meses, faseados por sistema e área de negócio.
Qual a diferença entre IAM, IGA e PAM?
IAM (Identity & Access Management) é o termo abrangente para todos os processos em torno de identidades digitais, autenticação e autorização. IGA (Identity Governance & Administration) acrescenta ao IAM funções de governança como recertificação, verificações de SoD, gestão de ciclo de vida e atestação. O PAM (Privileged Access Management) foca-se especificamente em contas privilegiadas – com cofre, session recording, acesso Just-in-Time e processos break-glass. Na prática combinamos as três camadas numa abordagem coerente de identity fabric.
Como se distinguem RBAC e ABAC?
O RBAC (Role-Based Access Control) atribui permissões através de papéis alinhados com tarefas e estruturas organizacionais – ideal para processos estáveis e evidência regulatória. O ABAC (Attribute-Based Access Control) decide dinamicamente com base em atributos como departamento, localização, estado do dispositivo ou classe de risco, permitindo políticas granulares e sensíveis ao contexto. Em arquiteturas Zero Trust modernas combinamos ambos: RBAC como fundação sólida, ABAC para afinação baseada em risco e acessos Just-in-Time.
Qual o papel do Zero Trust na nossa estratégia?
Zero Trust não é um produto, mas sim um princípio de arquitetura: never trust, always verify. Cada acesso é avaliado em contexto – identidade, dispositivo, rede, sinais de risco. Ancoramos Zero Trust no IAM através de aplicação rigorosa do princípio do menor privilégio, autenticação forte (MFA, fatores resistentes a phishing), microsegmentação, avaliação contínua de sessão e integração profunda com SIEM e XDR. O resultado é um IAM que protege de forma consistente cloud híbrida, teletrabalho e acessos de terceiros.
Prontos para uma IAM Governance segura?
Fale connosco sobre o seu roadmap de IAM e segurança – de forma informal e a par.