# Roles e Permissões na Prática: 5 Cenários Reais em Sistemas de Gestão para OSCs > O que um assistente social, oficineiro, voluntário, coordenador e admin devem ver — e o que não devem. 5 cenários reais de RBAC em OSCs, com base em NIST, ISO 27001 e LGPD art. 37 e 46. - URL: https://blog.nexussocial.com.br/posts/nexus-social-roles-permissoes-casos-uso - Publicado em: 2026-07-05 - Autor: Equipe Nexus (Blog Nexus Social) - Palavras-chave: roles, permissões, RBAC, controle de acesso, menor privilégio, OSCs, ONGs, LGPD, NIST, ISO 27001, segregação de funções, Nexus Social ## Pontos-Chave sobre Roles e Permissões em OSCs - **68% das violações de dados** envolvem um elemento humano (erro ou engenharia social) - **Credenciais roubadas** foram o vetor de ataque inicial mais comum em 2024 (16% das violações) - **O princípio do menor privilégio** (NIST) é a base técnica para cumprir a LGPD art. 46 - **A ANPD recomenda** controle de acesso com níveis de permissão na proporção da necessidade ## Por Que Roles e Permissões são a Primeira Linha de Defesa Toda OSC tem pessoas com funções diferentes: quem atende, quem coordena, quem administra, quem voluntaria. Cada uma precisa de acesso a informações diferentes — e, principalmente, **não precisa** de acesso ao que não usa. O problema é que, em planilhas e sistemas sem controle de acesso granular, todo mundo vê tudo. Um voluntário de oficina acessa o histórico de saúde de um atendido. Um oficineiro vê dados financeiros de doadores. Um estagiário exporta a base completa de CPFs. Nenhum desses acessos é malicioso — mas cada um é uma violação da [LGPD (art. 46)](https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm), que exige "medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados". A [Verizon, no DBIR 2024](https://www.verizon.com/about/news/2024-data-breach-investigations-report-vulnerability-exploitation-boom), revelou que "mais de dois terços (68%) das violações envolvem um elemento humano não malicioso, como erro ou engenharia social". A [IBM, no Cost of a Data Breach 2024](https://newsroom.ibm.com/2024-07-30-ibm-report-escalating-data-breach-disruption-pushes-costs-to-new-highs), identificou que "credenciais roubadas/comprometidas foram o vetor de ataque inicial mais comum, representando 16% das violações". A primeira linha de defesa não é firewalls nem antivírus — é garantir que cada pessoa só tenha acesso ao que precisa. É o que se chama **controle de acesso baseado em papéis (RBAC)**. > **Diferencial do Nexus Social:** 6 roles nativas (admin, diretor, coordenador, assistente_social, oficineiro, voluntário) com permissões granulares por módulo, aplicadas via Row Level Security no PostgreSQL — o filtro acontece no banco, não na aplicação. [Conheça o controle de acesso do Nexus](/posts/controle-acesso-permissoes-oscs). ## O Que RBAC e o Menor Privilégio Significam ### RBAC segundo o NIST O [NIST (National Institute of Standards and Technology)](https://csrc.nist.gov/Projects/role-based-access-control) define RBAC como "o modelo predominante para controle de acesso avançado porque reduz o custo e a complexidade da administração de segurança em grandes redes". Em vez de gerenciar permissões usuário por usuário, gerencia-se por **papel** — e cada usuário herda as permissões do papel que ocupa. ### Princípio do menor privilégio O [NIST define](https://csrc.nist.gov/glossary/term/least_privilege) o menor privilégio como "princípio de segurança segundo o qual um sistema deve restringir os privilégios de acesso de usuários (ou processos) ao mínimo necessário para realizar as tarefas atribuídas". A [NIST SP 800-171](https://nvlpubs.nist.gov/nistpubs/SpecialPublications/800-171r3/NIST.SP.800-171r3.html) orienta a "permitir apenas acesso autorizado ao sistema para usuários necessário para realizar tarefas organizacionais atribuídas". ### A recomendação da ANPD A [ANPD, no Guia de Segurança para Agentes de Pequeno Porte](https://www.gov.br/anpd/pt-br/centrais-de-conteudo/materiais-educativos-e-publicacoes/guia_seguranca_da_informacao_para_atpps___defeso_eleitoral.pdf/@@display-file/file), recomenda "implementar um sistema de controle de acesso aplicável a todos os usuários, com níveis de permissão na proporção da necessidade de trabalhar com o sistema e de acessar dados pessoais". E explicita: "a premissa que deve ser aplicada é a do princípio do menos privilégio (need to know)". A [Resolução CD/ANPD nº 2/2022](https://www.gov.br/anpd/pt-br/acesso-a-informacao/institucional/atos-normativos/regulamentacoes_anpd/resolucao-cd-anpd-no-2-de-27-de-janeiro-de-2022) aprova o regulamento para agentes de pequeno porte — categoria que inclui "pessoas jurídicas de direito privado, inclusive sem fins lucrativos" — e exige "medidas administrativas e técnicas essenciais e necessárias, com base em requisitos mínimos de segurança da informação". *Fontes: [NIST — Role-Based Access Control](https://csrc.nist.gov/Projects/role-based-access-control); [NIST — Least Privilege](https://csrc.nist.gov/glossary/term/least_privilege); [NIST SP 800-171r3](https://nvlpubs.nist.gov/nistpubs/SpecialPublications/800-171r3/NIST.SP.800-171r3.html); [ANPD — Guia de Segurança para Agentes de Pequeno Porte](https://www.gov.br/anpd/pt-br/centrais-de-conteudo/materiais-educativos-e-publicacoes/guia_seguranca_da_informacao_para_atpps___defeso_eleitoral.pdf/@@display-file/file); [ANPD — Resolução CD/ANPD nº 2/2022](https://www.gov.br/anpd/pt-br/acesso-a-informacao/institucional/atos-normativos/regulamentacoes_anpd/resolucao-cd-anpd-no-2-de-27-de-janeiro-de-2022)* ## 5 Cenários Reais: O Que Cada Papel Vê (e Não Vê) ### Cenário 1: Assistente Social **Maria** é assistente social de uma OSC que atende famílias em situação de vulnerabilidade. Ela acompanha 40 famílias. **O que vê:** - Prontuários completos das 40 famílias sob sua responsabilidade - Histórico de atendimentos, encaminhamentos e evolução - Dados sensíveis (saúde, situação jurídica) dos seus casos - Relatórios de atendimento que ela mesma gerou **O que não vê:** - Prontuários de famílias de outros assistentes sociais - Dados financeiros da OSC (doações, despesas) - Configurações do sistema ou gestão de usuários - Base completa de CPFs exportável **Por quê:** o [Código de Ética do CFESS (art. 17)](https://www.cfess.org.br/arquivos/CEP_CFESS-SITE.pdf) veda revelar sigilo profissional. Maria só deve acessar casos sob sua responsabilidade. O [prontuário digital](/posts/prontuario-digital-atendidos-oscs-lgpd) deve refletir essa segregação. > **Diferencial do Nexus Social:** a Row Level Security no PostgreSQL garante que Maria só veja registros onde `responsavel_id = seu_id`. Não é filtro de tela — é filtro de banco. Mesmo uma query direta não burla. ### Cenário 2: Oficineiro **João** ministra oficina de marcenaria para 15 adolescentes. **O que vê:** - Lista de participantes da sua oficina (nome, idade, contato de emergência) - Registro de frequência das suas turmas - Avaliações de resultado das atividades que coordena - Materiais de apoio da oficina **O que não vê:** - Histórico de saúde ou situação social dos participantes - Dados financeiros da OSC - Prontuários de atendidos não vinculados à sua oficina - Outras oficinas que não coordena **Por quê:** João precisa saber quem está na oficina e se compareceu — não precisa saber que o adolescente X tem laudo psiquiátrico. O acesso a dados sensíveis é proporcional à necessidade (menor privilégio). ### Cenário 3: Voluntário **Ana** é voluntária que ajuda em eventos pontuais (campanhas de Natal, distribuição de cestas). **O que vê:** - Lista de tarefas do evento em que participa - Materiais de divulgação - Contato do coordenador do evento **O que não vê:** - Qualquer dado de atendidos (CPF, endereço, situação) - Dados financeiros - Base de doadores - Outros módulos do sistema **Por quê:** voluntários eventuais não têm relação continuada com a OSC. Conceder acesso a dados sensíveis a quem participa de 2 eventos por ano é expor dados sem necessidade — violação direta do art. 46 da LGPD. Saiba mais em nosso [guia de gestão de voluntários](/posts/gestao-voluntarios-oscs-engajamento-retencao). ### Cenário 4: Coordenador **Carlos** coordena o programa de assistência social, com 5 assistentes sociais sob sua supervisão. **O que vê:** - Prontuários de todos os atendidos do programa (não só os seus) - Relatórios agregados do programa (número de atendidos, evolução, indicadores) - Gestão de equipe (exceto criar/remover admins) - Aprovações de nível intermediário **O que não vê:** - Configurações técnicas do sistema - Gestão de roles e permissões - Dados de outros programas que não coordena - Logs de auditoria de sistema (acesso restrito a admin) **Por quê:** Carlos precisa supervisionar a equipe e ver o panorama do programa. Mas não precisa configurar o sistema nem acessar logs de auditoria — isso é função de admin. A [ISO/IEC 27001:2022](https://www.iso.org/cms/live/live/en/sites/isoorg/contents/data/standard/08/28/82875.html) define requisitos de sistemas de gestão de segurança da informação que incluem segregação de funções. ### Cenário 5: Admin **Patrícia** é diretora da OSC e tem role de admin. **O que vê:** - Todos os módulos do sistema - Gestão completa de usuários (criar, editar, remover, atribuir roles) - Configurações da organização (nomenclaturas, integrações) - Trilha de auditoria completa (quem acessou o quê, quando) - Relatórios executivos e financeiros **O que não vê:** - Dados de outras OSCs no mesmo sistema (isolamento por tenant) **Por quê:** admin tem acesso amplo, mas **não irrestrito**. O isolamento por tenant (multitenancy) garante que nem o admin acessa dados de outra organização. A [ISO/IEC 27002:2022](https://www.iso.org/standard/75652.html) orienta sobre controles de acesso incluindo segregação. [Entenda o multitenancy seguro](/posts/multitenancy-white-label-oscs-nomenclaturas). ## A Base Técnica: Segregação de Funções e Auditoria ### Segregação de funções (SoD) O [COSO Internal Control Framework](https://www.coso.org/guidance-on-ic) define segregação de funções como atividade de controle essencial para mitigar riscos de fraude e erro. Em OSCs, isso significa: quem cadastra não aprova, quem aprova não executa, quem executa não audita. ### Trilha de auditoria (LGPD art. 37) A [LGPD art. 37](https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm) determina que "o controlador e o operador devem manter registro das operações de tratamento de dados pessoais que realizarem". A [NIST SP 800-53 (AC-2)](https://csrc.nist.gov/pubs/sp/800/53/r5/upd1/final) estabelece controles de gerenciamento de contas incluindo "definir e documentar os tipos de contas permitidas" e "revisar contas periodicamente". A trilha deve registrar: quem acessou, o quê visualizou, quando, de onde (IP), e a ação (consulta, edição, exportação). Sem trilha, é impossível investigar incidentes ou responder à ANPD. [Veja como o prontuário digital integra a trilha de auditoria](/posts/prontuario-digital-atendidos-oscs-lgpd). ### Governança no terceiro setor O [IBGC, no Guia de Melhores Práticas para Organizações do Terceiro Setor](https://fonif.org.br/wp-content/uploads/2020/06/GUIA_3SETOR_IBGC_WEB.pdf), aborda "gerenciamento de riscos, transparência e políticas de uma associação ou fundação". A [Rede Filantropia](https://filantropia.ong/informacao/alem-da-prestacao-de-contas-como-boas-praticas-de-governanca-fortalecem-as-oscs/) reforça que "governança não deve ser entendida apenas como um conjunto de regras formais ou exigências legais. Trata-se, sobretudo, de um sistema de práticas que orienta a forma como decisões são tomadas, responsabilidades são distribuídas e informações são compartilhadas". ## Comparativo: Acesso Sem Controle vs RBAC | Aspecto | Sem controle (planilha) | RBAC no Nexus Social | |---|---|---| | Acesso a dados sensíveis | Todos veem tudo | Apenas papel autorizado | | Filtro por responsável | Inexistente | RLS no PostgreSQL | | Voluntário vê dados de atendidos | Sim | Não | | Trilha de auditoria | Manual, incompleta | Automática (art. 37) | | Revogação de acesso | Manual, esquecida | Imediata ao desativar | | Conformidade com LGPD art. 46 | Difícil de demonstrar | Auditoria exportável | | Segregação de funções | Inexistente | Por role e por módulo | ## Perguntas Frequentes ### Quantas roles minha OSC precisa? Depende do tamanho e da complexidade. O Nexus Social oferece 6 roles nativas (admin, diretor, coordenador, assistente_social, oficineiro, voluntário) que cobrem a maioria das OSCs pequenas e médias. OSCs maiores podem criar roles personalizadas. O importante é aplicar o princípio do menor privilégio — cada papel vê apenas o necessário. ### Como revogo o acesso de quem saiu da OSC? No Nexus Social, basta desativar o usuário no painel de administração. O acesso é revogado imediatamente, em todos os módulos. A [NIST SP 800-53 (AC-2)](https://csrc.nist.gov/pubs/sp/800/53/r5/upd1/final) recomenda revisão periódica de contas para garantir que não haja acessos órfãos. ### Um voluntário pode ter acesso a dados de atendidos? Não por padrão. Se houver necessidade excepcional (ex.: voluntário médico em campanha pontual), crie uma role temporária com escopo limitado e prazo de expiração. O acesso deve ser revogado ao término da atividade. ### RBAC atende à LGPD? Sim. A LGPD art. 46 exige medidas de segurança técnicas e administrativas. A ANPD recomenda explicitamente controle de acesso com princípio do menor privilégio. RBAC é a implementação técnica dessa recomendação. [Veja nosso guia completo de controle de acesso](/posts/controle-acesso-permissoes-oscs). --- Controle de acesso não é luxo de empresa grande — é obrigação da LGPD e proteção direta para as famílias que sua OSC atende. O [Nexus Social](https://nexussocial.com.br) entrega 6 roles nativas com RLS no PostgreSQL, trilha de auditoria automática e revogação imediata — pronto para usar, sem configurar segurança do zero. [Agende uma demonstração](https://wa.me/5511936180125?text=Ol%C3%A1!%20Quero%20ver%20as%20roles%20e%20permiss%C3%B5es%20do%20Nexus%20Social) e garanta que cada pessoa veja apenas o que deve. --- ## Fontes e Referências - [Planalto — Lei nº 13.709/2018 (LGPD), arts. 37 e 46](https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm) — Registro de operações de tratamento e medidas de segurança (2018) - [NIST — Role-Based Access Control](https://csrc.nist.gov/Projects/role-based-access-control) — RBAC como modelo predominante de controle de acesso avançado - [NIST — Least Privilege (Glossary)](https://csrc.nist.gov/glossary/term/least_privilege) — Definição do princípio do menor privilégio (CNSSI 4009-2015) - [NIST SP 800-171r3](https://nvlpubs.nist.gov/nistpubs/SpecialPublications/800-171r3/NIST.SP.800-171r3.html) — Aplicação do menor privilégio para usuários e processos (2020) - [NIST SP 800-53 r5 (AC-2)](https://csrc.nist.gov/pubs/sp/800/53/r5/upd1/final) — Account Management: definição de tipos de conta e revisão periódica (2020) - [ANPD — Guia de Segurança da Informação para Agentes de Pequeno Porte](https://www.gov.br/anpd/pt-br/centrais-de-conteudo/materiais-educativos-e-publicacoes/guia_seguranca_da_informacao_para_atpps___defeso_eleitoral.pdf/@@display-file/file) — Recomenda controle de acesso com princípio do menor privilégio (2023) - [ANPD — Resolução CD/ANPD nº 2/2022](https://www.gov.br/anpd/pt-br/acesso-a-informacao/institucional/atos-normativos/regulamentacoes_anpd/resolucao-cd-anpd-no-2-de-27-de-janeiro-de-2022) — Regulamento para agentes de pequeno porte, incluindo OSCs (2022) - [Verizon — 2024 Data Breach Investigations Report](https://www.verizon.com/about/news/2024-data-breach-investigations-report-vulnerability-exploitation-boom) — 68% das violações envolvem elemento humano (2024) - [IBM — Cost of a Data Breach Report 2024](https://newsroom.ibm.com/2024-07-30-ibm-report-escalating-data-breach-disruption-pushes-costs-to-new-highs) — Credenciais roubadas como vetor inicial mais comum (16%) (2024) - [OPSWAT/Ponemon — Insider Threat Statistics 2025](https://www.opswat.com/blog/new-study-reveals-insider-threats-and-ai-complexities-are-driving-file-security-risks-to-record-highs-costing-companies-millions) — 61% das organizações sofreram violações por insiders (2025) - [ISO/IEC 27001:2022](https://www.iso.org/cms/live/live/en/sites/isoorg/contents/data/standard/08/28/82875.html) — Norma mundial para sistemas de gestão de segurança da informação (2022) - [ISO/IEC 27002:2022](https://www.iso.org/standard/75652.html) — Controles de segurança da informação incluindo controle de acesso (2022) - [COSO — Internal Control Integrated Framework](https://www.coso.org/guidance-on-ic) — Segregação de funções como atividade de controle essencial (2013) - [IBGC — Guia das Melhores Práticas para Organizações do Terceiro Setor](https://fonif.org.br/wp-content/uploads/2020/06/GUIA_3SETOR_IBGC_WEB.pdf) — Governança para OSCs: riscos, transparência e políticas (2016) - [Rede Filantropia — Boas Práticas de Governança em OSCs](https://filantropia.ong/informacao/alem-da-prestacao-de-contas-como-boas-praticas-de-governanca-fortalecem-as-oscs/) — Governança como sistema de práticas e responsabilidades (2024) - [CFESS — Código de Ética do/a Assistente Social](https://www.cfess.org.br/arquivos/CEP_CFESS-SITE.pdf) — Arts. 15 a 17: sigilo profissional como direito e dever (1993, atualizado em 2011)