MFA para cartórios: autenticação multifator no Provimento 213
A autenticação multifator (MFA) adiciona mais de uma forma de verificar a identidade de quem acessa um sistema. No Provimento 213, ela aparece dentro das regras de autenticação individualizada e de controle de acesso proporcional ao perfil, à função e ao risco.
O MFA é obrigatório para cartórios?
O art. 5º, § 2º, estabelece a autenticação multifator como regra nos acessos a sistemas, bases de dados ou funcionalidades críticas. A mesma disposição admite autenticação por fator único para perfis de menor risco, desde que tecnicamente justificada. Portanto, o texto não diz que MFA é obrigatório em todos os acessos indistintamente.
O artigo também veda credenciais compartilhadas, genéricas ou que impeçam a responsabilização individual. A aplicação deve considerar normas específicas, perfis, funções e riscos.
O que é MFA?
MFA combina fatores diferentes para verificar uma identidade. Como explicação técnica, os fatores podem ser algo que a pessoa sabe, algo que possui ou algo que é. Esses exemplos ajudam a entender o conceito, mas não constituem uma lista ou produto indicado pelo CNJ.
O objetivo é reduzir o risco de um único segredo comprometido permitir acesso indevido. A solução escolhida deve ser compatível com o ambiente e com a avaliação de risco.
Identidade, perfis e rastreabilidade
O art. 5º exige mecanismos de autenticação individualizados e compatíveis com perfis, funções e grau de risco. Isso permite identificar o usuário, rastrear ações e responsabilizar pessoas por ações ou omissões. A regra alcança colaboradores, prepostos e fornecedores que utilizem os ambientes da serventia.
O Anexo II também prevê autenticação individualizada, MFA para acessos administrativos, de gestão de sistemas, bancos de dados e funcionalidades críticas, além da vedação de contas genéricas ou credenciais compartilhadas.
Onde avaliar MFA no ambiente do cartório?
Como metodologia técnica da GTINFORS, o diagnóstico pode examinar contas administrativas, servidores, acessos remotos, sistemas críticos, e-mail, serviços em nuvem, VPNs e consoles de administração. Essa é uma organização prática de avaliação; a página não afirma que cada item constitua obrigação individual autônoma do Provimento.
O levantamento deve registrar quais acessos são críticos, quais perfis existem, que justificativas sustentam eventual fator único e quais evidências comprovam as configurações.
MFA e credenciais compartilhadas
MFA não corrige uma identidade mal definida. Cada usuário precisa ter uma conta individual e permissões compatíveis com sua função. Credenciais genéricas ou compartilhadas enfraquecem a rastreabilidade e são vedadas pelo art. 5º, § 2º.
Para aprofundar o tema, consulte segurança da informação, monitoramento, adequação e as páginas de Classe 2 e Classe 3.
Como iniciar a avaliação?
A GTINFORS pode apoiar o diagnóstico técnico, o inventário de acessos e a organização de evidências. A implementação é definida conforme o risco e os requisitos aplicáveis, sem recomendar fornecedor específico ou prometer aprovação normativa.
Próximo passo
Precisa avaliar a situação da sua serventia?
Comece pelo diagnóstico do ambiente atual e organize os requisitos aplicáveis.