O que é o PIM:
Explicação para Decisores

O resumo executivo

O Microsoft Entra Privileged Identity Management (PIM) é um serviço incluso nos planos Microsoft Entra ID P2 e Microsoft Entra ID Governance que permite controlar, de forma granular, quem tem acesso a recursos críticos, e por quanto tempo esse acesso está ativo.

Em vez de um administrador ter seu acesso privilegiado disponível permanentemente (24h por dia, mesmo quando não está trabalhando), o PIM implementa um modelo em que esse acesso precisa ser solicitado, justificado, aprovado e ativado, com tempo de validade pré-definido. Quando o tempo expira, o acesso é automaticamente desativado.

Por que ele existe: o problema que resolve

O modelo tradicional de administração de TI é baseado em atribuições de função permanentes. Um profissional recebe o papel de "Administrador Global" e fica com esse papel indefinidamente, mesmo que precise dele apenas uma vez por mês para uma tarefa específica.

Esse modelo cria três problemas concretos:

1. Superfície de ataque ampliada: Contas com privilégios permanentes são o alvo preferencial de invasores. Uma senha comprometida equivale a acesso irrestrito por tempo indeterminado.

2. Deriva de acesso (Access Creep): Ao longo do tempo, usuários acumulam funções que já não precisam, porque ninguém as remove ativamente. O PIM combate isso de duas formas: as elegibilidades podem ter data de validade (expiração automática, configurável na atribuição do papel) e revisões periódicas podem ser agendadas via Microsoft Entra Access Reviews, um recurso do Entra ID Governance que precisa ser configurado separadamente dentro do portal do PIM.

3. Falta de rastreabilidade: Sem PIM, é difícil responder "quem acessou o quê e por quê?" em uma auditoria. Com PIM, há um histórico completo e detalhado de cada ativação.

O que muda no dia a dia: a perspetiva do decisor

Do ponto de vista da gestão, o PIM não muda o que os administradores fazem. Muda quando e como eles têm permissão para fazê-lo. O processo de ativação leva menos de dois minutos e acontece inteiramente no portal Microsoft, sem ferramentas externas ou burocracia adicional.

Quando um administrador precisa executar uma tarefa crítica, solicita a ativação no portal, fornece uma justificativa, passa por verificação de identidade (MFA) e, para funções de alto risco, aguarda aprovação de um responsável. O acesso é concedido por um tempo pré-definido e revogado automaticamente ao fim desse período. Sem intervenção manual, sem dependência de alguém "lembrar de remover".

Dois conceitos que o decisor precisa dominar

Para acompanhar qualquer conversa sobre PIM com a equipa técnica, dois conceitos são suficientes:

Elegível vs. Ativo: Um utilizador "elegível" para uma função não a tem ativa. Pode ativá-la quando precisar, mediante verificação. Um utilizador "ativo" tem o acesso permanentemente disponível, sem qualquer etapa adicional. O objetivo do PIM é converter praticamente todos os acessos de "ativo" para "elegível", com exceção das contas de emergência (break-glass).

Just-in-Time (JIT): O modelo em que o acesso privilegiado é concedido apenas no momento em que é necessário e pelo tempo mínimo suficiente. É o princípio central do PIM e o oposto direto do modelo tradicional de acesso permanente.

A equipa técnica usará outros termos durante a implementação. O artigo 3 desta série (destinado à área técnica) cobre toda a terminologia de configuração.

O que o PIM gerencia

O PIM cobre três grandes áreas do ecossistema Microsoft. A escolha de por onde começar depende do nível de risco e da maturidade da organização.

Licenciamento: o que você precisa

O PIM requer uma das seguintes licenças para cada usuário que será gerenciado por ele, seja elegível para uma função ou responsável por aprovar ativações:

Regra prática de licenciamento: Cada usuário que é elegível para uma função no PIM, cada aprovador configurado, e cada usuário que realiza revisões de acesso precisa de uma licença Entra ID P2 ou equivalente. Usuários sem nenhuma função privilegiada não precisam dessa licença apenas para interagir com sistemas gerenciados pelo PIM.

PIM e Zero Trust: onde ele se encaixa

A estratégia Zero Trust da Microsoft é estruturada em seis pilares: Identidade, Endpoints, Dados, Aplicações, Infraestrutura e Rede. O PIM é um componente central do primeiro pilar: Identidade.

O Zero Trust parte do princípio de que nenhum usuário, dispositivo ou rede deve ser automaticamente confiável, mesmo dentro do perímetro corporativo. Cada solicitação de acesso deve ser verificada explicitamente. O PIM implementa esse princípio para o acesso privilegiado, exigindo verificação ativa (MFA, justificativa, aprovação) antes de conceder qualquer poder administrativo.

Na prática, isso significa que mesmo que um atacante tenha comprometido as credenciais de um administrador, obtidas por phishing, por exemplo, Ele não consegue ativar uma função privilegiada sem passar pela segunda camada de verificação (MFA em um dispositivo diferente) e, em funções críticas, sem aprovação de um segundo administrador.

Funcionalidades de governança incluídas

Além do controle de acesso just-in-time, o PIM inclui funcionalidades que atendem diretamente a requisitos de conformidade e governança:

Revisões de Acesso (Microsoft Entra Access Reviews): As revisões periódicas não são automáticas por padrão. Para utilizá-las, é necessário criar e configurar explicitamente uma Access Review dentro do portal do PIM (seção "Access Reviews" no Microsoft Entra ID). Nessa configuração, define-se o escopo (qual função ou grupo será revisado), a frequência (mensal, trimestral, semestral) e quem são os revisores (o próprio usuário, o gestor direto ou revisores específicos). Após configurada, o revisor responsável recebe uma notificação periódica e confirma (ou nega) se o usuário ainda precisa da elegibilidade. Elegibilidades não revisadas podem ser configuradas para expirar automaticamente ao fim do ciclo. Esse recurso requer licença Microsoft Entra ID P2 ou Microsoft Entra ID Governance.

Histórico de Auditoria: Toda ativação, aprovação, negação e expiração fica registrada por 30 dias no portal do Entra, e pode ser exportada para o Microsoft Sentinel ou outro SIEM para retenção estendida.

Alertas de Segurança: O PIM monitora padrões anômalos e emite alertas quando detecta, por exemplo, um grande número de Administradores Globais, usuários com funções permanentes que deveriam ser elegíveis, ou ativações fora do padrão histórico.

Notificações em Tempo Real: Administradores responsáveis recebem e-mails de notificação quando funções críticas são ativadas, quando há solicitações aguardando aprovação, e quando elegibilidades estão próximas do vencimento.

ISO 27001:2022: os controlos que o PIM endereça diretamente

Para organizações certificadas ou em processo de certificação ISO 27001:2022, o PIM endereça de forma direta e documentável vários dos controlos do Anexo A. Esta é uma das principais justificativas para a implementação junto a auditores e conselheiros.

Em termos práticos, o PIM transforma declarações de controlo em evidências concretas: em vez de afirmar à auditoria que "os acessos privilegiados são geridos", a organização apresenta logs de ativação, registos de aprovação, relatórios de Access Reviews e histórico de expirações automáticas.

O caso de negócio: por que implementar agora

A maioria das organizações que utiliza Microsoft 365 E5 ou Microsoft 365 E3 com o add-on Entra ID P2 já inclui o PIM na licença. Não existe custo adicional de software para começar. O investimento é de tempo técnico para configuração e de mudança de processo para as equipas de administração.

Além do risco técnico, existem três dimensões de negócio que tornam a decisão urgente:

Conformidade regulatória: ISO 27001:2022, SOC 2, NIS2 (diretiva europeia de cibersegurança) e LGPD exigem evidências de controlo sobre acessos privilegiados. Sem PIM, estas evidências são difíceis de produzir de forma sistemática.

Seguros cibernéticos: Seguradoras passaram a exigir, como condição de apólice ou de prémio reduzido, evidências de controlos de acesso privilegiado com MFA e revisões periódicas. O PIM produz exatamente essa documentação.

Continuidade do negócio: Uma conta de administrador comprometida com acesso permanente pode resultar em ransomware, eliminação de dados ou interrupção completa de serviços Microsoft 365 e Azure. O impacto operacional de um incidente deste tipo supera em muitas vezes o custo de implementação do PIM.

Perguntas que o decisor deve colocar à sua equipa técnica

Se este artigo gerou a decisão de avançar, estas são as perguntas certas para iniciar a conversa com a área de TI ou com o parceiro Microsoft:

O que o PIM não faz

Para definir expectativas corretas, é importante entender o escopo do PIM. Ele não é um sistema de PAM (Privileged Access Management) completo para on-premises. Não gerencia senhas de contas de serviço locais, não faz cofre de credenciais para servidores, nem controla sessões RDP. Para esses casos, soluções como CyberArk, BeyondTrust ou Azure Bastion são mais indicadas.

O PIM é focado no ecossistema de identidade Microsoft na nuvem: Microsoft Entra ID, Azure e Microsoft 365. Dentro desse ecossistema é a ferramenta certa para o problema certo.