Quem revê, o que acontece a quem não responde, e recorrência

Para que servem

Ter atribuído acesso corretamente uma vez não significa que continue correto seis meses depois — pessoas mudam de equipa, projetos terminam, parceiros saem. Os access reviews obrigam a confirmar periodicamente que o acesso ainda faz sentido, em vez de acumular permissões indefinidamente ("privilege creep").

O que pode ser revisto

Pertença a grupos, atribuição a aplicações empresariais, atribuições de funções do Microsoft Entra (incluindo via PIM) e acesso concedido através de access packages do entitlement management.

Quem faz a revisão

• Self-review — o próprio utilizador confirma se ainda precisa do acesso
• Managers — o gestor direto do utilizador
• Resource owners — donos do grupo/aplicação/recurso
• Um grupo específico de revisores designado manualmente

O que acontece a quem não responde

A revisão pode ser configurada para, no final do prazo, remover automaticamente o acesso de quem não respondeu (mais seguro por omissão) ou mantê-lo (menos disruptivo, mas arriscado se ninguém estiver a policiar ativamente).

Recorrência

Uma access review pode ser pontual (uma vez) ou recorrente (ex. trimestral), com o histórico de decisões anteriores disponível para auditoria — decisões passadas não se perdem entre ciclos.

Monitorizar a atividade

O admin pode acompanhar o progresso de uma revisão em curso (quantos já responderam, quantos pendentes) e agir sobre revisões que estagnaram antes do prazo terminar.