A Senha Partilhada e o Computador do Balcão
Numa repartição, todos os funcionários do balcão usam a mesma conta de utilizador no sistema, com a senha afixada num papel na gaveta, porque «é mais rápido». O sistema contém dados fiscais de cidadãos. Um funcionário novo precisa de consultar processos enquanto o colega está ausente. Outro funcionário recebeu um email a pedir «confirmação da senha» para «actualização do sistema», com um link externo. O chefe de repartição quer resolver os dois problemas antes do fim da semana, sem parar o atendimento.
1. Quais são os riscos da conta partilhada e como corrigir sem parar o serviço?
Read the worked answer
Raciocínio:
- Riscos: perde-se a responsabilização (quem consultou o quê?), facilita acessos indevidos, viola princípios de segurança e protecção de dados, e a senha afixada é uma falha grave.
- Correcção faseada: criar contas individuais com perfis de acesso mínimos; o funcionário novo recebe conta própria com permissões apenas de consulta; período de transição com supervisão; remover o papel com a senha e alterar a senha partilhada.
- Continuidade: o atendimento não pára se as contas forem criadas pelo informático em paralelo, com apoio no balcão. Resposta-modelo: plano em três passos - contas individuais, permissões mínimas, alteração imediata da senha comum - com registo de acessos activado.
2. Como deve o funcionário reagir ao email que pede a senha, e que regra deve ficar estabelecida?
Read the worked answer
Raciocínio:
- Nenhum serviço legítimo pede senhas por email. É phishing: o objectivo é capturar credenciais.
- Acções: não clicar no link, não responder, não introduzir dados; reportar ao informático e ao chefe; se alguém já clicou, alterar senhas e verificar acessos.
- Regra institucional: credenciais são pessoais e intransmissíveis; pedidos de alteração seguem canal interno verificado. Resposta-modelo: eliminar o email após reporte, comunicar o incidente, reforçar formação breve na equipa e registar a ocorrência. A resposta correcta combina segurança técnica e dever de diligência do funcionário.