Construindo o Processo do Ciclo de Vida de Governança de Identidade

Quando Usar

• A organização não possui processos automatizados de "admissão, movimentação e desligamento" (JML - Joiner-Mover-Leaver) para gerenciamento de identidade.
• O provisionamento de acesso é manual e leva dias, gerando perda de produtividade e lacunas de segurança.
• Ex-funcionários mantêm acesso a sistemas após o desligamento (contas órfãs).
• A explosão de papéis criou milhares de papéis com propriedade incerta e direitos sobrepostos.
• Requisitos de conformidade exigem processos documentados para o ciclo de vida de identidade (SOX, HIPAA, GDPR).
• Falta visibilidade centralizada de quem tem acesso a quê em toda a empresa.

Não use para gerenciamento de usuários de aplicativo único; a governança de identidade aborda o gerenciamento do ciclo de vida entre sistemas, exigindo a correlação de fontes de RH autoritativas com o provisionamento de aplicativos downstream.

Pré-requisitos

• Sistema de RH autoritativo (Workday, SAP SuccessFactors, BambooHR) como fonte da verdade para identidades.
• Plataforma IGA (SailPoint, Saviynt, One Identity) ou Microsoft Entra ID Governance.
• Active Directory e/ou Azure AD como serviços de diretório primários.
• Conectores de aplicativos para sistemas de destino que exigem provisionamento automatizado.
• Estrutura de papéis organizacionais e hierarquia de relatórios definidas.
• Apoio das partes interessadas de RH, TI, segurança e gerentes de unidades de negócios.

Fluxo de Trabalho

Etapa 1: Definir Estados e Transições do Ciclo de Vida da Identidade

Mapeie o ciclo de vida da identidade da contratação ao desligamento:

"""
Máquina de Estados do Ciclo de Vida da Identidade
Define todos os estados de identidade e transições válidas com ações automatizadas.
"""

IDENTITY_LIFECYCLE = {
    "states": {
        "PRE_HIRE": {
            "description": "Identidade criada a partir do feed de RH antes da data de início",
            "automated_actions": [
                "Criar registro de identidade na plataforma IGA",
                "Gerar ID de funcionário único",
                "Criar reserva de caixa de correio",
                "Atribuir papéis de nascimento com base no código do cargo",
                "Iniciar fluxo de trabalho de verificação de antecedentes"
            ],
            "valid_transitions": ["ACTIVE", "CANCELLED"]
        },
        "ACTIVE": {
            "description": "Funcionário iniciou, acesso completo provisionado",
            "automated_actions": [
                "Criar conta do Active Directory",
                "Criar caixa de correio de e-mail",
                "Provisionar acesso a aplicativos de nascimento",
                "Atribuir papéis específicos do departamento",
                "Adicionar a grupos de distribuição",
                "Emitir token MFA/chave de segurança",
                "Criar conta VPN se for trabalhador remoto"
            ],
            "valid_transitions": ["ROLE_CHANGE", "LEAVE_OF_ABSENCE", "TERMINATED"]
        },
        "ROLE_CHANGE": {
            "description": "Funcionário transferido, promovido ou mudou de departamento",
            "automated_actions": [
                "Recalcular atribuições de papéis com base no novo código do cargo",
                "Remover acesso de aplicativos do departamento anterior",
                "Provisionar acesso para aplicativos do novo departamento",
                "Atualizar associações de grupo",
                "Transferir gerente no diretório",
                "Disparar revisão de acesso para direitos retidos",
                "Notificar novo gerente sobre acesso herdado"
            ],
            "valid_transitions": ["ACTIVE", "LEAVE_OF_ABSENCE", "TERMINATED"]
        },
        "LEAVE_OF_ABSENCE": {
            "description": "Funcionário em licença estendida (médica, parental, sabática)",
            "automated_actions": [
                "Desabilitar login interativo (preservar conta)",
                "Suspender acesso VPN",
                "Definir resposta automática de fora do escritório",
                "Delegar caixa de correio ao gerente",
                "Preservar todas as atribuições de papéis para o retorno",
                "Definir data de reativação a partir do feed de RH"
            ],
            "valid_transitions": ["ACTIVE", "TERMINATED"]
        },
        "TERMINATED": {
            "description": "Funcionário deixou a organização",
            "automated_actions": [
                "Desabilitar conta AD imediatamente",
                "Revogar todo o acesso a aplicativos",
                "Revogar acesso VPN e remoto",
                "Converter caixa de correio para compartilhada (acesso do gerente por 90 dias)",
                "Transferir arquivos do OneDrive para o gerente",
                "Remover de todos os grupos de segurança e distribuição",
                "Revogar tokens OAuth e chaves de API",
                "Limpar dados corporativos de dispositivos móveis",
                "Arquivar registro de identidade",

…