📑 Guia: SOX e ITGC no ambiente Microsoft

Auditoria SOX no Microsoft 365: evidência de ITGC

Em uma frase

Na maioria das empresas o controle existe. O que gera o achado é a evidência: provar, meses depois, que ele operou em todos os dias do período, com quem revisou, quando e qual foi a decisão. A auditoria testa o registro, não a tela de configuração.

Onde nasce o achado Avaliar meus controles
Onde nasce o achado

Seis achados que aparecem
em ambiente bem implementado.

Nenhum dos itens abaixo é falha de ferramenta. Todos são falha de processo ou de registro, e é exatamente por isso que empresas com o ambiente Microsoft maduro continuam recebendo apontamento de ITGC ano após ano.

🚪Acesso residual de quem já saiu

A conta foi bloqueada, mas não há registro de quando nem de quem pediu. Sem o vínculo entre o desligamento no RH e a ação no Entra ID, o auditor não consegue testar o controle e trata como exceção.

👑Privilégio permanente sem justificativa

Administradores globais atribuídos em caráter definitivo, alguns herdados de projetos antigos. O acesso privilegiado é o foco preferido da auditoria e o que menos costuma ter aprovação formal arquivada.

📋Revisão de acesso sem prova

A planilha circulou por e-mail e alguém respondeu que estava tudo certo. Falta o registro de decisão por usuário e a comprovação de que as exceções encontradas foram efetivamente removidas.

⏳Log que expira antes do período fechar

Os registros de entrada do Entra ID vivem semanas no portal, não anos. Quando o auditor pede a evidência do início do exercício, o dado já saiu da janela e não há como recuperar.

🔧Mudança em produção sem aprovação registrada

Ajuste de política, alteração de regra de transporte ou mudança de configuração feita direto no portal. Funcionou, mas não existe pedido, aprovação e registro de quem executou.

♻️Backup configurado, restore nunca testado

O controle de recuperação exige teste periódico com resultado documentado. Job verde no painel não comprova capacidade de restaurar, e essa distinção costuma pegar as equipes de surpresa.

Como operamos

De configuração
a artefato auditável.

O trabalho não é implantar recurso novo, é transformar o que já está ligado em evidência que sobrevive ao tempo. São quatro passos por controle, e eles se repetem no calendário até o fim do exercício.

1

Mapear o controle no recurso que o sustenta

Cada linha da matriz da auditoria é traduzida para o que existe no ambiente: revisão de acesso no Entra ID, elevação temporária de privilégio, política de acesso condicional, retenção no Purview, registro de alteração no Azure. Fica explícito o que já é coberto e o que ainda não tem sustentação técnica.

2

Definir o artefato que prova

Para cada controle, um artefato específico: qual relatório, gerado a partir de qual consulta, em qual formato, com qual escopo de datas. Evidência genérica é a principal causa de retrabalho, porque o auditor devolve pedindo o mesmo dado com outro recorte.

3

Colocar no calendário com responsável nomeado

Frequência definida por controle, mensal ou trimestral conforme a matriz, com dono nomeado e prazo. Controle que depende de alguém lembrar não passa no teste de operação, porque a falha aparece justamente no mês em que ninguém lembrou.

4

Arquivar com retenção e trilha

O artefato vai para um repositório com retenção maior que o ciclo de auditoria, com registro de quem gerou, quando e quem aprovou. Aqui entra o ponto crítico da retenção de log: o que precisa durar anos é exportado para fora da janela nativa antes de expirar.

Os quatro domínios de ITGC

O que a auditoria pede
e o que sustenta cada pedido.

A matriz muda de empresa para empresa, mas os domínios são estáveis. Abaixo, o que o ambiente Microsoft oferece como base de evidência em cada um deles.

Domínio 1

Acesso a programas e dados

  • Concessão e remoção de acesso com trilha de quem pediu e aprovou
  • Revisão periódica de acesso com decisão registrada por usuário
  • Elevação temporária de privilégio com justificativa e aprovação
  • Autenticação multifator e acesso condicional como controle preventivo
  • Segregação de funções entre papéis administrativos e de negócio
Domínio 2

Gestão de mudanças

  • Registro de alteração de configuração no tenant e nas assinaturas
  • Aprovação formal antes da mudança em ambiente produtivo
  • Rastreabilidade entre o pedido, quem executou e quando
  • Política de plataforma para impedir desvio silencioso de padrão
  • Plano de reversão documentado para mudanças de maior impacto
Domínio 3

Desenvolvimento e implantação

  • Separação entre ambientes de desenvolvimento, teste e produção
  • Evidência de aprovação de entrada em produção
  • Controle de quem pode publicar e com qual credencial
  • Infraestrutura descrita como código, versionada e revisada
  • Restrição de dado real em ambiente de teste
Domínio 4

Operações de tecnologia

  • Monitoramento com registro de incidente, tratativa e fechamento
  • Retenção de log compatível com o período de auditoria
  • Rotina de backup com teste de restauração documentado
  • Gestão de disponibilidade e comunicação de indisponibilidade
  • Trilha de auditoria unificada preservada fora da janela nativa

Parte desses controles depende de licenciamento avançado, especialmente revisão de acesso automatizada, elevação temporária de privilégio e auditoria com retenção estendida. Antes de recomendar compra, confirmamos o que já está incluso e desligado no seu tenant, e o que pode ser resolvido por processo sem custo adicional de licença.

O limite do nosso papel

Operamos o controle.
Não auditamos o controle.

A separação entre quem executa e quem avalia é um princípio da própria auditoria. Deixamos essa fronteira explícita porque ela protege a validade do trabalho dos dois lados.

O que fazemos

Operação e evidência

  • Traduzir a solicitação da auditoria para o recurso Microsoft que a sustenta
  • Executar o ciclo recorrente de revisão de acesso e de privilégio
  • Gerar os relatórios no escopo e no formato pedidos
  • Garantir retenção de log além da janela nativa da plataforma
  • Corrigir a lacuna técnica apontada e comprovar a correção
  • Responder a pedido de esclarecimento durante o trabalho de campo
O que não fazemos

Fora do nosso escopo

  • Emitir opinião ou parecer de auditoria sobre os controles
  • Substituir a auditoria interna ou o auditor independente
  • Definir sozinhos a matriz de controles da empresa
  • Certificar conformidade com SOX, que é resultado do processo inteiro
  • Atuar sobre controles de negócio, contábeis ou de processo financeiro
  • Prometer ausência de achado, que não depende só de tecnologia
As camadas por baixo

Identidade, dado
e recuperação.

A evidência de ITGC é gerada por controles que vivem em três camadas do ambiente Microsoft. Cada uma tem um guia próprio com a parte técnica em detalhe.

Quem acessa o quê, e com qual prova

Acesso condicional, autenticação multifator, revisão de acesso e privilégio elevado sustentam o domínio mais cobrado da auditoria.

Ver Microsoft Entra ID →

Retenção, classificação e trilha do dado

A auditoria unificada e as políticas de retenção do Purview são a base da evidência de operações e de tratamento de informação.

Ver Microsoft Purview →

Restore testado, não só backup verde

O controle de recuperação exige teste com resultado documentado. Entenda o que a retenção nativa cobre e o que não cobre.

Preciso de backup no M365? →
Perguntas frequentes

Dúvidas sobre SOX
no ambiente Microsoft.

A SOX não avalia o Microsoft 365 diretamente. Ela avalia os controles gerais de tecnologia, os ITGC, que sustentam a confiabilidade dos sistemas que produzem o número financeiro. Como o Microsoft 365 e o Azure carregam a identidade, o acesso, o e-mail e boa parte da infraestrutura desses sistemas, eles entram no escopo por consequência. Na prática o auditor quer ver quatro coisas: quem tem acesso e por que, quem tem privilégio elevado e com qual aprovação, como uma mudança chega em produção e o que o registro guarda sobre tudo isso durante todo o período avaliado.
Ter o controle é a política de acesso condicional ligada, o MFA exigido, o administrador nomeado. Ter a evidência é conseguir provar, meses depois, que aquilo operou em todos os dias do período, com registro de quem revisou, em que data e qual foi a decisão. A auditoria testa a operação do controle, não a tela de configuração no dia da visita. É por isso que ambientes tecnicamente bem implementados recebem achado: o controle estava lá, mas o artefato que comprova a execução não foi gerado, não foi guardado ou não sobreviveu à janela de retenção do log.
Menos tempo do que a maioria das pessoas imagina, e esse é um dos achados mais comuns. Os registros de entrada e de auditoria do Entra ID ficam disponíveis no portal por poucos dias na camada gratuita e por volta de trinta dias com licença premium. A auditoria unificada do Microsoft 365 tem retenção padrão na casa de seis meses e chega a períodos maiores apenas com licenciamento avançado ou complemento. Como o período fiscal mais o trabalho de campo do auditor costuma passar de um ano, a retenção nativa raramente basta. A correção é exportar os registros para um destino de longo prazo, como Log Analytics, conta de armazenamento ou Microsoft Sentinel, antes de precisar deles.
A revisão precisa ter quatro elementos registrados: o escopo revisado, o revisor nomeado, a data da decisão e o que foi feito com cada exceção encontrada. Planilha enviada por e-mail costuma falhar no último ponto, porque mostra que alguém olhou mas não prova que o acesso indevido foi removido. As revisões de acesso do Entra ID resolvem isso porque registram decisão por decisão e podem aplicar a remoção automaticamente, gerando o vínculo entre a revisão e a ação. Quando o recurso não está disponível na licença, o caminho é um processo documentado com export antes e depois, o que também é aceito desde que a evidência seja consistente.
Não, e essa separação é importante inclusive para a validade do trabalho. A Vireon opera os controles do ambiente Microsoft e produz a evidência, atuando do lado de quem executa. Quem define a matriz de controles, testa e emite opinião é a auditoria interna e o auditor independente, que precisam ser independentes de quem opera. O que fazemos é falar a linguagem dos dois lados: recebemos a solicitação da auditoria, traduzimos para o recurso Microsoft que a sustenta e devolvemos o artefato no formato pedido, sem que a área de TI precise reinterpretar cada pedido do zero.
Comece pelo que não dá para recuperar depois. Retenção de log é o primeiro item, porque registro que expirou não volta e nenhum esforço posterior conserta um período sem evidência. Em seguida vêm os acessos privilegiados, que são o foco preferido do auditor e concentram o maior risco por unidade de esforço, e a lista de contas ativas de pessoas desligadas, que é rápida de levantar e costuma render achado imediato. Só depois disso vale organizar o restante da matriz. Fazer nessa ordem evita gastar semanas em controles secundários enquanto a janela do log corre contra.

Você consegue provar
o controle de seis meses atrás?

Se a resposta depende de procurar, o problema não é o ambiente, é a evidência. Levantamos o que já está ligado, o que está expirando na janela de log e o que precisa virar rotina antes do próximo ciclo. Diagnóstico gratuito, para empresas em todo o Brasil.

Agendar diagnóstico gratuito Ver Segurança e Compliance