D6 · Identidade e acesso
- Peso: 2 (risco de segurança direto)
- Prática: 07 · Identidade e acesso
N1 significa que o critério de N2 não foi atingido. ★ indica indicador crítico.
| ID | Indicador | Evidência | N2 | N3 | N4 | N5 |
|---|---|---|---|---|---|---|
| D6.1 ★ | Permissões apenas via grupos | ACLs e memberships com usuário direto | Permissões inventariadas | ≤ 20% atribuídas diretamente a usuários | 0% diretas; todos os grupos vêm do Entra ID | Acesso elevado just-in-time |
| D6.2 ★ | Service connections sem segredo | Esquema de autenticação das service connections | Inventariadas, com dono | ≥ 50% com Workload Identity Federation | 100% onde suportado; o restante com rotação ≤ 90 dias | Nenhuma credencial de longa duração |
| D6.3 ★ | Contas administrativas | Membros de Project Collection Administrators | Listados | ≤ 5 contas | ≤ 3 contas, com PIM | Uso de privilégio admin auditado e alertado |
| D6.4 | Personal Access Tokens | PATs ativos: escopo e validade | Inventariados | Nenhum PAT full scope novo | Full scope bloqueado; validade máxima ≤ 90 dias | PATs substituídos por identidades gerenciadas |
| D6.5 | Políticas de organização (projetos públicos off, OAuth de terceiros off, Conditional Access, restrição de PAT, audit streaming) | Configuração da org | ≥ 1 controle | ≥ 3 controles | 5 controles, gerenciados como código | Desvio detectado e alertado |
| D6.6 | Revisão de acessos | Registros de revisão; contas inativas | Ad hoc | Anual | Trimestral, automatizada pelos grupos | Contínua; inativos > 90 dias removidos automaticamente |
| D6.7 | Segredos fora do pipeline | Variable groups ligados ao Key Vault × variáveis secretas locais | Segredos inventariados | ≥ 70% no Key Vault | 100% no Key Vault | Rotação automática dos segredos |
Fonte: modelo/indicadores.yaml.