Gestão da Vigência, Renovação e Revogação de Certificados Digitais: como fortalecer a governança digital e reduzir riscos operacionais

A transformação digital não termina quando a assinatura digital é implantada

Muitas organizações comemoram quando concluem a implantação da assinatura digital. Os processos se tornam mais ágeis, a circulação de documentos ganha velocidade e a dependência do papel começa a diminuir. No entanto, existe uma etapa menos visível que costuma receber pouca atenção durante os projetos de transformação digital: a gestão contínua dos certificados digitais utilizados pelos colaboradores.

Uma pergunta simples ajuda a ilustrar esse desafio: Quem está acompanhando as identidades digitais que sustentam toda a operação?

À medida que hospitais, instituições financeiras, empresas privadas e órgãos públicos ampliam o uso de assinaturas digitais, cresce também a necessidade de controlar vencimentos, planejar renovações, revisar permissões de acesso e garantir que apenas usuários autorizados continuem representando a organização em ambientes eletrônicos.

Nesse contexto, o desafio não está apenas em assinar documentos digitalmente. Está em governar toda a infraestrutura de confiança que torna essas assinaturas possíveis.

Segundo o National Institute of Standards and Technology (NIST, 2017), a gestão do ciclo de vida das identidades digitais é um dos pilares para a construção de ambientes digitais seguros e confiáveis. Essa visão tem sido cada vez mais incorporada às estratégias de Governança Digital adotadas por organizações em diferentes setores.

O certificado digital deve ser tratado como um ativo estratégico

Quando se fala em certificação digital, é comum associar o tema apenas ao momento da emissão do certificado. Na prática, porém, o certificado digital possui um ciclo de vida que exige acompanhamento constante. Após sua emissão, ele passa por diferentes etapas, incluindo utilização, renovação, eventual suspensão, revogação e expiração.

Sob a ótica da governança corporativa, cada certificado representa uma identidade digital formalmente vinculada a uma pessoa física ou jurídica. Em muitos casos, essa identidade possui poder para validar contratos, assinar documentos regulatórios, aprovar processos internos e registrar atos com valor jurídico.

A Medida Provisória nº 2.200-2, de 2001, responsável pela criação da Infraestrutura de Chaves Públicas Brasileira (ICP-Brasil), estabeleceu as bases legais que garantem autenticidade, integridade e validade jurídica aos documentos assinados digitalmente no país (BRASIL, 2001).

Isso significa que o certificado digital não deve ser visto apenas como uma ferramenta tecnológica, mas como um ativo estratégico que requer gestão permanente.

Quando a vigência deixa de ser monitorada

Imagine um hospital em que médicos não conseguem assinar prontuários eletrônicos porque seus certificados expiraram sem aviso prévio. Ou uma instituição financeira cujo representante legal fica impossibilitado de formalizar documentos regulatórios devido ao vencimento de sua credencial digital.

Situações como essas são mais comuns do que parecem, pois o problema normalmente não está na tecnologia utilizada, mas na ausência de processos estruturados para monitorar a vigência dos certificados e planejar suas renovações.

As consequências podem incluir atrasos operacionais, interrupção de fluxos críticos, dificuldades em auditorias e até riscos regulatórios. De acordo com a ENISA (2023), a gestão adequada das identidades digitais e dos serviços de confiança é um componente essencial para a segurança e a continuidade das operações digitais.

Em outras palavras, a validade de um certificado não deve ser acompanhada apenas pelo usuário. Ela precisa fazer parte da estratégia de governança da organização.

O desafio dos desligamentos e das mudanças de função

Outro ponto frequentemente negligenciado está relacionado à movimentação de pessoas dentro da organização. Sempre que ocorre um desligamento, promoção ou mudança de responsabilidade, a identidade digital associada ao colaborador também deve ser revisada.

Na prática, porém, muitas empresas concentram seus esforços em bloquear e-mails e acessos corporativos, mas deixam de avaliar os certificados digitais vinculados ao usuário.

Esse cenário favorece o surgimento das chamadas identidades digitais órfãs, ou seja, credenciais que permanecem ativas mesmo quando a autorização para seu uso já não existe. Sob a perspectiva da segurança da informação, esse tipo de situação representa um risco significativo para a organização.

O NIST (2017) destaca que a gestão do ciclo de vida das credenciais deve estar integrada aos processos de admissão, movimentação e desligamento de usuários, reduzindo riscos associados a acessos indevidos e utilização inadequada de identidades digitais.

Referências

BRASIL. Medida Provisória nº 2.200-2, de 24 de agosto de 2001. Institui a Infraestrutura de Chaves Públicas Brasileira – ICP-Brasil. Brasília, DF, 2001.

BRASIL. Lei nº 14.063, de 23 de setembro de 2020. Dispõe sobre o uso de assinaturas eletrônicas em interações com entes públicos. Brasília, DF, 2020.

BRASIL. Lei nº 13.709, de 14 de agosto de 2018. Lei Geral de Proteção de Dados Pessoais (LGPD). Brasília, DF, 2018.

ENISA. Electronic Signatures Guidance for Small and Medium-sized Businesses. Heraklion: European Union Agency for Cybersecurity, 2023.

MCKINSEY & COMPANY. The Keys to a Successful Digital Transformation. New York, 2021.

NATIONAL INSTITUTE OF STANDARDS AND TECHNOLOGY (NIST). Digital Identity Guidelines. Special Publication 800-63-3. Gaithersburg, 2017.

DELOITTE. Digital Transformation Trends. Deloitte Insights, 2023.

INSTITUTO NACIONAL DE TECNOLOGIA DA INFORMAÇÃO (ITI). Documentos Principais da ICP-Brasil. Brasília, DF.