Acesso condicional ao Siafi por endereço IP

No dia 15/05/2024, foi implantada no SIAFI uma funcionalidade que permite restringir, de forma opcional, o acesso dos usuários de determinada Unidade Gestora (UG) somente a partir de origens (IPs) previamente cadastradas. Com isso, o órgão pode garantir que os usuários da UG utilizem o SIAFI somente a partir de sua rede, de forma controlada, bloqueando o acesso por endereços IPs desconhecidos ou suspeitos e evitando acessos não autorizados.

O objetivo é dar maior segurança aos usuários responsáveis pela execução orçamentária e financeira dessas unidades e permitir que o próprio órgão implemente controles adicionais sobre seus usuários, recursos e condições de acesso, compatíveis com seus níveis de criticidade e exigência de segurança, somando esforços na mitigação dos riscos associados ao uso indevido das credenciais desses usuários.

Para aderir ao controle de acesso condicional por IP, o órgão deve enviar lista de UGs e IPs de origem dos acessos autorizados por ofício para a STN-COSIS, incluindo contatos de usuários para testes antes da implantação do controle.

Para aderir a essa forma de acesso deve ser aberto um chamado na ferramenta E-serviços (https://e-servicos.tesouro.gov.br), categoria Universo Siafi, subcategoria Controle de acesso, chamado Incluir/Alterar dados do órgão ou UG para o CAC-Controle de acesso condicional SIAFI. No chamado deve ser anexado ofício seguindo esse modelo, endereçado a Abdsandryk Cunha de Souza, Coordenador Geral da COSIS-Coordenação de Sistemas e Tecnologia da Informação. O ofício deve ser assinado eletronicamente pelo responsável pela unidade.

Ao aderir, é importante comunicar efetivamente a mudança aos seus usuários, uma vez que o órgão poderá garantir esse acesso pela sua rede por diferentes caminhos (acesso presencial, VPN, ambientes virtualizados, etc.). Essa orientação é imprescindível para evitar que os usuários sejam surpreendidos e procurem os canais de atendimento do SIAFI para conhecer um procedimento que será específico do próprio órgão de origem.

Acesso ao SIAFI pelo mecanismo de UG secundária

 Para UGs que implantaram o Controle de Acesso Condicional por IP (CAC) e que são acessadas por usuários de outras UGs por UG secundária, será necessário formalizar a autorização para esse acesso. Para isso, deverá ser aberto chamado na ferramenta E-serviços (Universo Siafi / Controle de Acesso / Incluir/Alterar dados do órgão ou UG para o CAC-Controle de acesso condicional SIAFI) , anexando um ofício informando expressamente quais UGs poderão acessar a UG que aderiu ao CAC.

Segue o modelo do ofício: ofício.

Veja no vídeo abaixo as orientações sobre o pedido e teste do acesso condicional:

Observações importantes:

1- A adesão ao acesso condicional por IP se dá por Unidade gestora (UG). Uma vez feita a adesão, todos os usuários da UG que aderiu somente conseguirão acessar o Siafi a partir da rede dessa UG, ou seja, o sistema deixa de aceitar acessos dos usuários da UG a partir de IP’s diferentes dos cadastrados. O acesso a partir da rede da sua UG pode ser presencialmente na unidade ou a partir de VPN provida pela UG.

2- Para usuários em trabalho remoto, orientamos o uso de dispositivos configurados para acessar a rede da UG. Não haverá a possibilidade de acesso ao sistema fora da rede da UG. 

3- Se houver um range de IPs, deve ser implementado NAT-Network Address Translation para ter um IP de saída.

4-O acesso condicionado não restringe somente a emissão de OBPix, uma vez implementado, ele restringe o acesso ao Siafi como um todo, conforme item 1. Em acréscimo, uma vez implementado o acesso condicional, a emissão de OBPix será permitida para essa unidade.

5- Deve ser informado o(s) IP(s) da saída de rede e não o IP pessoal de usuário.

6- O objetivo do acesso condicional é contar com os mecanismos de segurança da rede do órgão, então pra acesso de casa pelo servidor em trabalho remoto, deve ser feito via VPN, não é possível indicar endereços IPs residenciais.

7- Não serão cadastrando IPs na versão IPv6 mas somente IPv4.