As organizações que tratam dados pessoais em países onde o Regulamento Geral sobre a Proteção de Dados (GDPR) se aplica devem manter controlos de segurança rigorosos para estar em conformidade. Quer se trate de uma empresa tecnológica, de um prestador de serviços financeiros, de uma organização de saúde ou de uma plataforma SaaS, o acesso a dados pessoais dentro da sua rede empresarial precisa de ser regido por sistemas de autenticação. Isto significa que práticas deficientes de gestão de credenciais são uma das fontes mais comuns de risco regulamentar.
Os reguladores esperam cada vez mais que as empresas demonstrem que implementaram salvaguardas técnicas e organizacionais adequadas para proteger dados pessoais. Na prática, muitos incidentes que conduzem a investigações ou a notificações de violação de dados têm origem numa vulnerabilidade simples, mas crítica: credenciais comprometidas.
A gestão de palavras-passe tornou-se um componente importante das estratégias de proteção de dados empresariais. Quando implementado corretamente, um gestor de palavras-passe empresarial como o Proton Pass for Business pode ajudar a cumprir vários princípios fundamentais do GDPR, incluindo o tratamento seguro, o acesso controlado a dados pessoais e a responsabilização.
Embora um gestor de palavras-passe empresarial, por si só, não garanta a conformidade com o GDPR, a gestão estruturada de credenciais reduz significativamente a exposição a alguns dos riscos operacionais mais comuns que levam a incidentes de dados e ao escrutínio regulamentar.
Requisitos do GDPR em matéria de autenticação, controlo de acesso e proteção de dados
O papel da autenticação e da autorização no cumprimento do GDPR
Como a má gestão de credenciais aumenta o risco de incidentes de dados e de incumprimento do GDPR
Como a gestão de palavras-passe ajuda a cumprir as obrigações do GDPR
Como pode a gestão de palavras-passe ajudar no cumprimento do GDPR?
O cumprimento do GDPR vai além dos gestores de palavras-passe
Estruturar a sua abordagem: orientação passo a passo para empresas
Sugestões práticas para um melhor controlo de acesso e maior segurança das palavras-passe
Como o Proton Pass for Business ajuda a gerir de forma segura o acesso
Perguntas frequentes sobre o GDPR e a gestão de palavras-passe
Requisitos do GDPR em matéria de autenticação, controlo de acesso e proteção de dados
Na essência, os requisitos de conformidade com o GDPR destinam-se a garantir que os dados pessoais são tratados de forma responsável e protegidos contra acesso não autorizado, perda ou utilização indevida. Embora o regulamento abranja muitos aspetos da governação de dados, a segurança e o controlo de acesso desempenham um papel central.
Diversas disposições do regulamento estão diretamente relacionadas com a autenticação e a governação de acessos:
- Artigo 5 — Princípios do tratamento: Exige salvaguardas de integridade e confidencialidade no tratamento de dados pessoais.
- Artigo 25 — Proteção de dados desde a conceção e por predefinição: As organizações devem implementar sistemas que limitem o acesso a dados pessoais apenas a quem dele necessita.
- Artigo 32 — Segurança do tratamento: Exige medidas técnicas e organizacionais, como encriptação, resiliência dos sistemas e mecanismos que garantam confidencialidade e integridade contínuas.
Do ponto de vista operacional, espera-se que as organizações implementem medidas como:
- Controlos de acesso robustos para sistemas internos e bases de dados.
- Contas de utilizador únicas que permitem rastrear as ações realizadas nos sistemas.
- Práticas seguras de armazenamento de credenciais.
- Revisões periódicas de quem tem acesso aos dados pessoais.
- Salvaguardas técnicas que impedem o acesso não autorizado ou o comprometimento de credenciais.
As autoridades reguladoras também esperam cada vez mais que as empresas demonstrem, com provas, a aplicação destas medidas, sobretudo ao responder a reclamações de titulares de dados, a inquéritos regulamentares ou a investigações de incidentes. Uma governação rigorosa das credenciais é tanto uma questão de segurança como de documentação e responsabilização.
O papel da autenticação e da autorização na conformidade com o GDPR
A autenticação e a autorização são mecanismos fundamentais para aplicar os princípios de segurança do GDPR.
A autenticação verifica a identidade de um utilizador que acede a um sistema, enquanto a autorização determina o âmbito dos dados e sistemas a que esse utilizador pode aceder. Quando estes controlos falham, os dados pessoais podem ficar expostos a partes não autorizadas, criando riscos de segurança e responsabilidades de conformidade.
As salvaguardas padrão esperadas em ambientes empresariais modernos incluem:
- Identidades de utilizador únicas associadas a cada colaborador.
- Requisitos rigorosos para palavras-passe e restrições à reutilização de palavras-passe.
- Práticas seguras de armazenamento e transmissão de credenciais.
- Autenticação de dois fatores (2FA) para sistemas principais.
- Registo e monitorização de eventos de autenticação.
- Expiração automática de sessões e controlos de inatividade.
Apesar destas boas práticas estabelecidas, muitas organizações continuam a ter dificuldade em aplicar políticas consistentes de credenciais em dezenas ou mesmo centenas de aplicações internas e serviços de terceiros.
Em ambientes de trabalho distribuídos, em que os colaboradores dependem fortemente de ferramentas na nuvem e plataformas SaaS, a gestão centralizada de credenciais torna-se essencial para manter controlos de segurança consistentes.
Como a má gestão de credenciais aumenta o risco de incidentes de dados e de incumprimento do GDPR
O comprometimento de credenciais continua a ser uma das causas mais comuns de incidentes de dados. Segundo o Verizon 2025 Data Breach Investigations Report, a principal forma de hacking, tanto nas PME como nas grandes organizações, é a utilização de credenciais roubadas, representando 32% nas grandes organizações e 33% nas PME. A utilização de credenciais roubadas tem sido uma das formas mais comuns de entrar numa organização nos últimos anos.
O comportamento humano desempenha um papel importante neste risco. Os colaboradores reutilizam frequentemente palavras-passe em vários sistemas, partilham credenciais de forma informal com colegas ou armazenam detalhes sensíveis de início de sessão em documentos não protegidos.
Exemplos típicos incluem:
- Palavras-passe armazenadas em folhas de cálculo ou documentos internos
- Partilha insegura de credenciais de plataformas partilhadas, sem supervisão nem controlo
- Reutilização de palavras-passe em contas empresariais e pessoais
- Contas órfãs que permanecem ativas após a saída de colaboradores
Estas práticas aumentam significativamente a superfície de ataque das organizações. Se uma única credencial for comprometida através de phishing, credential stuffing ou malware, os atacantes podem obter acesso a sistemas que contêm dados pessoais.
Como explicamos na nossa análise das maiores ameaças de cibersegurança que as empresas enfrentam atualmente, os ataques de phishing e o roubo de credenciais continuam entre os métodos mais eficazes utilizados por atacantes para obter acesso não autorizado a sistemas empresariais.
Para as organizações sujeitas ao GDPR, estes tipos de incidentes podem desencadear obrigações de notificação regulamentar, sanções financeiras e danos reputacionais.
A ligação entre o controlo de acesso e a minimização de dados
Um dos princípios fundamentais do GDPR é a minimização de dados, que exige que as organizações limitem tanto a quantidade de dados pessoais recolhidos como o número de pessoas que lhes podem aceder.
Na prática, este princípio exige que as empresas implementem políticas rigorosas de governação de acessos que garantam que os dados pessoais só estão acessíveis ao pessoal cujas funções assim o exijam.
A má gestão de credenciais compromete este objetivo. Quando as credenciais de acesso são amplamente partilhadas ou mal monitorizadas, as organizações perdem visibilidade sobre quem realmente tem acesso a sistemas sensíveis.
Isto cria vários riscos de conformidade:
- Os colaboradores podem manter o acesso a sistemas muito depois de as suas funções terem mudado.
- Prestadores de serviços ou fornecedores podem continuar a aceder a sistemas após o fim dos projetos.
- Partilha de credenciais (sem utilizar um gestor de palavras-passe com registos de atividade ativados), o que torna impossível atribuir ações a utilizadores específicos.
Uma gestão eficaz de palavras-passe melhora a visibilidade sobre a titularidade das credenciais e simplifica o processo de conceder, rever e revogar direitos de acesso.
Como a gestão de palavras-passe apoia as obrigações do GDPR
Os gestores de palavras-passe evoluíram de simples ferramentas de armazenamento de credenciais para plataformas abrangentes de gestão de acessos. Para organizações que gerem grandes volumes de contas em serviços na nuvem, sistemas internos e aplicações de terceiros, podem funcionar como uma camada importante de segurança e governação de acessos.
Os modernos gestores de palavras-passe empresariais, como o Proton Pass for Business, combinam o armazenamento seguro de credenciais com funcionalidades como a encriptação ponto a ponto, o controlo de acesso centralizado e a partilha segura de credenciais, ajudando as organizações a gerir os riscos de autenticação de forma mais eficaz.
Quando implementadas como parte de uma estratégia de segurança mais ampla, estas capacidades podem apoiar diretamente várias obrigações do GDPR relacionadas com o tratamento seguro, o acesso controlado a dados pessoais e a responsabilização operacional.
Segurança do tratamento
O artigo 32.º exige que as organizações implementem medidas técnicas adequadas para garantir a segurança dos dados pessoais.
Os gestores de palavras-passe reforçam a segurança da autenticação ao gerarem automaticamente palavras-passe fortes e únicas para cada serviço ou sistema. Isto elimina a reutilização de palavras-passe e reduz o risco de ataques de força bruta ou de credential stuffing.
Gestores de palavras-passe empresariais como o Proton Pass for Business também aplicam encriptação ponto a ponto às credenciais e aos metadados armazenados, garantindo que as informações de início de sessão permanecem protegidas mesmo que a infraestrutura seja comprometida.
Controlo de acesso
Os gestores de palavras-passe ajudam as organizações a aplicar um controlo de acesso estruturado e o princípio do menor privilégio em todos os seus sistemas. Em vez de depender de partilha informal ou de credenciais estáticas, o acesso a contas sensíveis pode ser gerido de forma centralizada e ajustado à medida que as necessidades do negócio mudam.
Os administradores podem:
- Conceder acesso a credenciais conforme necessário.
- Partilhar credenciais de forma segura sem expor a palavra-passe subjacente.
- Revogue imediatamente o acesso quando colaboradores saírem ou as responsabilidades mudarem.
- Atualize ou renove as credenciais para manter a segurança ao longo do tempo.
Estas capacidades facilitam a manutenção de registos de acesso precisos, reduzem a exposição não autorizada e garantem que os dados pessoais só são acessíveis a pessoal autorizado.
Auditabilidade e responsabilização
O GDPR atribui grande importância à responsabilização. As organizações devem ser capazes de demonstrar que existem salvaguardas adequadas e que o acesso aos dados pessoais é monitorizado.
Os gestores de palavras-passe fornecem registos de atividade detalhados que registam quando as credenciais são acedidas, modificadas ou partilhadas. Estes registos podem ajudar as equipas de segurança a investigar incidentes, demonstrar conformidade durante auditorias e responder a inquéritos regulamentares.
Redução do risco de incidentes
A reutilização de credenciais e as palavras-passe fracas contribuem fortemente para incidentes de dados. Os gestores de palavras-passe mitigam estes riscos através da geração automática de palavras-passe, de alertas de deteção de incidentes e de mecanismos seguros de partilha de credenciais. Também executam verificações da Integridade da palavra-passe, notificando o utilizador sobre palavras-passe fracas ou reutilizadas e permitindo alterá-las de imediato para máxima segurança.
Reduzir a probabilidade de comprometimento de credenciais apoia diretamente o objetivo do GDPR de minimizar tanto a probabilidade como o impacto de incidentes que envolvam dados pessoais.
Como pode a gestão de palavras-passe apoiar a conformidade com o GDPR?
A gestão estruturada de credenciais desempenha um papel central nesta abordagem. Ao normalizar a forma como as palavras-passe são geradas, armazenadas e partilhadas, as organizações podem aplicar boas práticas de forma consistente, em vez de dependerem do comportamento individual de cada utilizador. Com o Proton Pass for Business, as equipas podem impor requisitos rigorosos em matéria de palavras-passe, adotar a autenticação de dois fatores (2FA) e estabelecer práticas seguras de partilha de dados que reduzem o risco de exposição.
Os gestores de palavras-passe podem apoiar a conformidade com o GDPR em vários cenários operacionais:
- Saída de colaboradores: Quando um colaborador deixa a organização, os administradores podem revogar imediatamente o acesso a credenciais partilhadas e a sistemas internos, reduzindo o risco de acesso não autorizado.
- Partilha segura de credenciais: As equipas que dependem de ferramentas SaaS partilhadas podem conceder acesso a credenciais sem expor a palavra-passe em si, garantindo que o acesso se mantém rastreável e controlado.
- Resposta a incidentes: Se uma credencial for comprometida durante um incidente de segurança, os administradores podem identificar rapidamente os sistemas afetados, alterar as palavras-passe e documentar medidas de mitigação para efeitos de comunicação regulamentar.
Estas eficiências operacionais são particularmente valiosas para organizações que gerem centenas ou milhares de serviços digitais em equipas distribuídas e plataformas na nuvem. O guia da Proton para criar uma cultura de cibersegurança nas pequenas empresas destaca a forma como as organizações podem combinar ferramentas de segurança com formação de colaboradores e políticas claras para reforçar práticas seguras em todas as equipas.
A conformidade com o GDPR vai além dos gestores de palavras-passe
Embora os gestores de palavras-passe reforcem os controlos de segurança, são apenas um componente de um programa abrangente de conformidade com o GDPR.
Não substituem:
- Mapeamento de dados e registos de atividades de tratamento.
- Avaliações jurídicas da licitude do tratamento de dados.
- Políticas de minimização de dados e estruturas de retenção.
- Formação de colaboradores e políticas internas de governação.
- Processos de deteção de incidentes e de notificação regulamentar.
A conformidade com o GDPR exige tanto salvaguardas técnicas como governação organizacional. Os gestores de palavras-passe contribuem para o lado técnico deste quadro, mas têm de ser integrados em práticas mais amplas de proteção de dados.
Integrar a gestão de palavras-passe numa estratégia de conformidade mais ampla
As organizações que procuram reforçar a conformidade com o GDPR devem tratar a gestão de credenciais como parte de uma arquitetura mais ampla de proteção de dados.
As estratégias eficazes combinam normalmente:
- Gestão centralizada de credenciais
- Governação de acesso baseada em cargos
- Formação de sensibilização dos colaboradores para a segurança
- Políticas documentadas de proteção de dados
- Monitorização contínua da atividade de autenticação
Quando combinada com políticas robustas e programas de sensibilização para a segurança, a gestão de palavras-passe torna-se um importante controlo operacional que apoia tanto a segurança como a responsabilização regulamentar.
Estruturar a sua abordagem: orientações passo a passo para empresas
A implementação de uma governação de acesso eficaz exige tanto controlos técnicos como processos estruturados. As organizações que estão a iniciar o seu percurso de segurança no âmbito do GDPR podem seguir a sequência prática abaixo para reforçar as práticas de autenticação.
- Faça o inventário de todos os sistemas e serviços que tratam ou armazenam dados pessoais. Isto inclui plataformas internas, aplicações SaaS e integrações de terceiros.
- Atribua contas de utilizador individuais aos colaboradores. Quando as contas partilhadas forem inevitáveis, o acesso deve ser gerido através de métodos seguros e auditáveis que mantenham a rastreabilidade e permitam aos administradores controlar, monitorizar e revogar o acesso conforme necessário.
- Implemente um gestor de palavras-passe empresarial, como o Proton Pass for Business, e atribua funções de administrador às equipas de segurança ou de TI.
- Armazene todas as credenciais empresariais no gestor de palavras-passe e aplique políticas rigorosas de geração de palavras-passe em todos os sistemas.
- Implemente procedimentos estruturados de integração e saída de colaboradores, garantindo que as credenciais são concedidas e revogadas em conformidade com os cargos dos colaboradores.
- Realize revisões periódicas de acesso, verificando que os utilizadores só mantêm acesso aos sistemas necessários para as suas responsabilidades atuais.
- Forneça formação aos colaboradores sobre riscos de segurança relacionados com palavras-passe, incluindo phishing, reutilização de credenciais e práticas seguras de partilha de credenciais.
- Mantenha registos de atividade e documente as revisões para demonstrar conformidade durante auditorias de segurança.
Ao seguir estes passos, as organizações podem reduzir significativamente a sua superfície de ataque, ao mesmo tempo que criam fluxos de trabalho repetíveis que apoiam a conformidade regulamentar contínua.
Dicas práticas para um melhor controlo de acesso e segurança das palavras-passe
As boas práticas de higiene de credenciais são mais eficazes quando combinam salvaguardas técnicas com políticas operacionais práticas. Se for responsável pela segurança e pela proteção de dados pessoais, deve considerar a implementação das seguintes práticas:
- Imponha palavras-passe únicas para cada serviço empresarial. A reutilização de palavras-passe aumenta significativamente o risco de comprometimento de credenciais através de ataques de credential stuffing.
- Renove periodicamente as credenciais dos sistemas sensíveis, sobretudo após a saída de colaboradores ou alterações de cargo.
- Evite transmitir credenciais por e-mail ou plataformas de mensagens. Em vez disso, utilize ferramentas seguras de partilha de palavras-passe disponíveis nos gestores de palavras-passe.
- Desative prontamente as contas não utilizadas. As contas inativas tornam-se frequentemente pontos de entrada para atacantes.
- Proporcione formação regular de sensibilização para a segurança. Lembretes curtos e frequentes sobre phishing e higiene das palavras-passe são muitas vezes mais eficazes do que sessões de formação anuais.
- Utilize ferramentas de monitorização da integridade das credenciais para identificar atempadamente palavras-passe fracas, reutilizadas ou comprometidas.
- Incentive os colaboradores a partilhar comentários sobre os fluxos de trabalho de autenticação para que as políticas de segurança se mantenham eficazes e práticas.
Estas práticas operacionais complementam as salvaguardas técnicas e ajudam as organizações a manter um ambiente de autenticação resiliente.
Como o Proton Pass for Business apoia a governação segura de acessos
Para as organizações que operam ao abrigo do GDPR ou de outros quadros de proteção de dados, a governação de acessos tem de ir além do armazenamento básico de palavras-passe. As empresas modernas dependem de dezenas, muitas vezes centenas, de aplicações SaaS, sistemas internos e serviços na nuvem, cada um dos quais exige autenticação segura e acesso controlado.
De acordo com a investigação do relatório Businesses at Work da Okta, as grandes organizações utilizam agora, em média, mais de 100 aplicações SaaS, o que cria uma complexidade significativa na gestão de credenciais e permissões entre equipas.
O Proton Pass for Business foi concebido para responder a este desafio operacional, combinando a gestão segura de credenciais com a governação de acessos de nível empresarial. Assente na infraestrutura centrada na privacidade da Proton, a plataforma aplica encriptação ponto a ponto às credenciais e aos metadados armazenados, garantindo que os dados sensíveis de autenticação permanecem sempre protegidos, até mesmo do fornecedor do serviço.
A arquitetura do Proton Pass também está estreitamente alinhada com os princípios de transparência e responsabilização incorporados no GDPR. O Proton Pass é de código aberto e auditado de forma independente, permitindo às organizações verificar as alegações de segurança e avaliar como os dados são tratados. Este nível de transparência é cada vez mais importante à medida que as empresas enfrentam um escrutínio crescente em torno das práticas de segurança dos fornecedores e do risco na cadeia de fornecimento.
As principais capacidades que apoiam a segurança e a governação relacionadas com o GDPR incluem:
- Controlos administrativos centralizados: As equipas de segurança podem atribuir, modificar e revogar o acesso a credenciais para colaboradores ou equipas em segundos, garantindo que os privilégios de acesso permanecem alinhados com os cargos organizacionais.
- Transparência de código aberto: O código publicamente disponível permite uma revisão de segurança independente e reduz o risco de fluxos de dados não divulgados.
- Encriptação ponto a ponto: Todas as credenciais armazenadas e os metadados sensíveis são encriptados no dispositivo do utilizador, garantindo que apenas utilizadores autorizados podem aceder aos dados de início de sessão.
- Jurisdição suíça em matéria de privacidade: A Proton opera ao abrigo das sólidas leis suíças de privacidade, proporcionando proteções jurídicas claras e uma supervisão jurisdicional previsível para o tratamento de dados.
- Auditorias de segurança independentes: Auditorias regulares realizadas por terceiros reforçam a responsabilização e validam as alegações de segurança.
- Implementação simplificada: Uma implementação rápida e interfaces intuitivas ajudam as organizações a adotar práticas robustas de autenticação sem perturbar os fluxos de trabalho.
- Integração fluida no fluxo de trabalho: O Proton Pass integra-se em ambientes de navegador e ferramentas de produtividade existentes, apoiando a integração rápida de colaboradores e prestadores de serviços.
Em conjunto, estas capacidades transformam o Proton Pass de um simples gestor de palavras-passe numa ferramenta centralizada de governação de acessos. Para os responsáveis de segurança encarregados de proteger dados sensíveis e manter a conformidade, a capacidade de gerir credenciais, impor práticas robustas de autenticação e manter visibilidade sobre a atividade de acesso é essencial.
À medida que as organizações expandem a sua infraestrutura digital, a gestão fragmentada de credenciais e políticas de autenticação inconsistentes tornam-se fatores de risco significativos. Um gestor de palavras-passe empresarial unificado ajuda a reduzir esta complexidade, ao mesmo tempo que reforça os controlos de segurança operacional.
Perguntas frequentes sobre o GDPR e a gestão de palavras-passe
Que papel desempenha a gestão de palavras-passe nos requisitos de segurança do GDPR?
A gestão de palavras-passe apoia os requisitos de segurança do GDPR ao reforçar a autenticação e o controlo de acesso nos sistemas que processam dados pessoais. Nos termos do artigo 32.º, as organizações devem implementar medidas técnicas e organizacionais adequadas para proteger os dados. Os gestores de palavras-passe ajudam a impor credenciais fortes, armazenamento seguro e acesso controlado às contas, reduzindo a probabilidade de acesso não autorizado e de ataques baseados em credenciais.
O GDPR exige políticas de palavra-passe fortes para as empresas?
O GDPR não prescreve regras específicas para palavras-passe, mas exige que as organizações implementem medidas de segurança adequadas para proteger dados pessoais. Na prática, isto significa impor políticas robustas de palavra-passe, prevenir a reutilização de palavras-passe e implementar sistemas de autenticação seguros. Muitas organizações utilizam gestores de palavras-passe para automatizar estas práticas e garantir uma aplicação consistente nos serviços na nuvem e nas aplicações internas.
Como reduzem os gestores de palavras-passe o risco de incidentes de segurança de dados?
Os gestores de palavras-passe reduzem o risco de incidentes ao gerar palavras-passe fortes e únicas para cada conta e ao armazená-las de forma segura em cofres encriptados. Isto evita vulnerabilidades comuns, como a reutilização de palavras-passe, credenciais fracas e armazenamento inseguro de credenciais.
Também reforçam as defesas ao oferecerem suporte à autenticação de dois fatores ou multifator (2FA/MFA), alertarem os utilizadores para credenciais comprometidas ou reutilizadas e permitirem a partilha segura de credenciais sem expor informações sensíveis.
Ao abordar tanto fragilidades técnicas como o erro humano, os gestores de palavras-passe ajudam as organizações a proteger os sistemas contra ataques de phishing, credential stuffing e outras formas de acesso não autorizado.
Como apoiam os gestores de palavras-passe a governação de acessos nas organizações?
Os gestores de palavras-passe melhoram a governação de acessos ao centralizar a gestão de credenciais e ao permitir que os administradores controlem quem pode aceder a sistemas ou contas específicos. As organizações podem acompanhar a utilização de credenciais através de registos de auditoria e revogar acessos rapidamente quando colaboradores saem ou mudam de cargo, o que ajuda a impor o princípio do menor privilégio e a reforçar a responsabilização entre equipas.
Que funcionalidades deve ter um gestor de palavras-passe para conformidade com o GDPR?
Ao avaliar gestores de palavras-passe para práticas de segurança alinhadas com o GDPR, as organizações devem procurar funcionalidades como encriptação ponto a ponto, controlos administrativos robustos, partilha segura de credenciais, registo detalhado de atividades e auditorias de segurança independentes. A transparência, a arquitetura de código aberto e políticas claras de proteção de dados também podem ajudar as organizações a verificar que a solução está alinhada com as expectativas de privacidade e conformidade.
Podem os gestores de palavras-passe ajudar durante uma auditoria ao GDPR ou uma revisão de conformidade?
Sim. Os gestores de palavras-passe podem fornecer documentação valiosa durante auditorias ou revisões de conformidade, demonstrando como as políticas de autenticação e controlo de acesso são aplicadas. Os registos de atividade, a gestão centralizada e os registos de acesso a credenciais podem mostrar aos auditores que a organização mantém supervisão sobre quem pode aceder a sistemas sensíveis e como essas permissões são geridas ao longo do tempo.
