Contas SaaS compartilhadas: um risco de compliance

Uma conta SaaS compartilhada é um risco de compliance porque um único login corresponde a várias pessoas em vez de uma, o que quebra a trilha de auditoria exigida por SOC 2, ISO 27001 e a maioria dos contratos de licença de fornecedor. Se um login de suporte, uma vaga numa ferramenta de design ou uma conta de rede social é usado por mais de uma pessoa, você não consegue responder quem fez o quê e quando, e essa única lacuna basta para reprovar um teste de controle ou anular uma cláusula de licença por usuário nomeado.

O que conta como conta SaaS compartilhada?

Três padrões cobrem a maior parte do que aparece numa auditoria. Um login baseado em papel, como suporte@ ou social@, criado desde o início para uma equipe usar em conjunto. Uma única conta nomeada cuja senha vive num documento compartilhado ou num cofre de gerenciador de senhas que toda a equipe pode abrir. E um login de fornecedor ou agência que sobreviveu ao fim do contrato e continua sendo repassado para quem precisar em seguida. O primeiro é intencional e às vezes inevitável. Os outros dois se acumulam silenciosamente e são os primeiros que um auditor encontra, porque ainda trazem o nome de uma pessoa enquanto várias os usam.

Por que logins compartilhados criam um risco de compliance?

Todo framework de controle de acesso parte da mesma premissa: um login, uma pessoa responsável. Quebrar esse vínculo faz três coisas falharem ao mesmo tempo. Você não consegue provar quem realizou uma ação na ferramenta, exatamente o que um auditor pede ao testar um controle de acesso. Você não consegue revogar o acesso de uma pessoa sem bloquear todas as outras que compartilham o login, o que transforma um desligamento num evento coletivo em vez de uma remoção simples. E você não consegue mostrar um mapeamento limpo entre pessoas e licenças, exatamente o que uma auditoria de fornecedor ou uma negociação de renovação verifica primeiro.

A lacuna aparece mais rápido no desligamento. Leia o guia para achar licenças SaaS sem uso para a auditoria que pega quem saiu e manteve acesso; uma conta compartilhada é o único caso que essa auditoria sozinha não resolve, porque remover a pessoa não remove o login.

Quais normas realmente proíbem isso?

Dois frameworks aparecem em quase toda auditoria de empresa SaaS, e ambos tratam uma conta compartilhada como um achado, não uma preferência.

Nenhum dos três proíbe uma conta de papel por si só. Todos exigem um responsável nomeado e uma razão documentada para sua existência, o que a maioria das empresas pula.

Como encontrar as contas compartilhadas que você já tem?

Uma exportação por ferramenta, o mesmo ponto de partida de qualquer auditoria de licenças: puxar a lista de usuários de cada console de administração e marcar qualquer login cujo nome não seja uma pessoa. Um login com nome de equipe, papel, produto ou palavra genérica é a primeira filtragem. A segunda é mais difícil e pega mais: qualquer conta nomeada cujo titular saiu da empresa há mais de um mês, mas cujo login segue ativo, muitas vezes está sendo reutilizada pela próxima pessoa que precisou do acesso, e não realmente encerrada.

No espaço de demonstração do InventorIA, cada uma das 24 licenças está vinculada a uma pessoa nomeada em vez de um papel, exatamente o mapeamento que um auditor verifica e o que um login compartilhado quebra assim que aparece nessa lista.

Como remover um login compartilhado sem quebrar o fluxo de trabalho?

• Substitua por postos nomeados onde a licença permitir. A maioria dos fornecedores que vendem por posto também suporta vários usuários nomeados num mesmo plano; o login compartilhado costumava ser um atalho, não uma necessidade.
• Use acesso delegado em vez de uma conta de papel. Ferramentas com SSO ou SCIM permitem dar a um grupo de pessoas acesso a uma caixa ou canal compartilhado sem senha comum.
• Mantenha a exceção, mas nomeie um responsável. Algumas contas realmente precisam continuar baseadas em papel, como o login de uma página de status. Dê a ela um responsável nomeado, rotacione a credencial quando esse responsável mudar, e documente a razão da exceção.
• Registre a decisão. Um auditor aceita muito mais facilmente uma exceção documentada do que uma que ele mesmo encontra sem documentação.

O que dizer aos auditores quando ainda existe uma?

Não espere a auditoria encontrar. Liste todo login compartilhado ou baseado em papel que você conhece antes de a revisão começar, com a razão de negócio de sua existência, quem é o responsável, e quando a credencial foi rotacionada pela última vez. Essa lista costuma bastar para transformar um achado numa exceção aceita, porque mostra que o controle existe mesmo onde o login é compartilhado. O guia da taxa de utilização de licenças cobre o número de postos versus pessoas que os auditores pedem em seguida, e a detecção de shadow IT cobre as ferramentas nunca registradas como contas da empresa, a mesma lacuna um nível acima. Um registro que vincula cada licença a uma única pessoa nomeada, com as exceções marcadas de propósito, transforma isso de uma corrida antes da auditoria numa resposta de cinco minutos. Abra a demo ao vivo para ver postos vinculados a pessoas nomeadas, ou comece com as suas ferramentas.

Perguntas frequentes

Uma conta SaaS compartilhada é sempre uma violação de compliance?

Não automaticamente. Frameworks como SOC 2 e ISO 27001 aceitam contas baseadas em papel se tiverem um responsável nomeado, uma razão documentada e um processo de rotação e revisão. Um login compartilhado sem rastreamento e sem responsável é a versão que reprova numa auditoria.

Um login compartilhado quebra um contrato de licença por posto?

Frequentemente sim. A maioria dos contratos por posto define um posto como uma pessoa nomeada. Várias pessoas compartilhando as credenciais de um mesmo posto é um uso que a licença não cobre, algo que uma auditoria de fornecedor pode marcar como quebra.

Como encontro contas compartilhadas nas nossas ferramentas SaaS?

Exporte a lista de usuários de cada console de administração e marque qualquer login com nome de papel, equipe ou produto em vez de pessoa, depois verifique contas nomeadas cujo titular saiu da empresa mas cujo login segue ativo.

Qual a diferença entre uma conta compartilhada e uma conta de serviço?

Uma conta de serviço autentica uma integração ou um script, não uma pessoa, e normalmente não tem login interativo algum. Uma conta compartilhada é um login humano usado por mais de uma pessoa, o padrão que os auditores marcam.

O SSO pode eliminar a necessidade de logins compartilhados?

Na maioria dos casos, sim. SSO e SCIM permitem que várias pessoas acessem uma caixa, canal ou ferramenta compartilhada pela própria identidade em vez de uma senha comum, restaurando o mapeamento um para um que os auditores buscam.