Dupla custódia no controle de acesso: regra de duas pessoas, dual access e dual occupancy

Guia técnico sobre dupla custódia em controle de acesso: regra de duas pessoas, dual access, dual credential, dual occupancy, exceções e testes.

Confira!

A dupla custódia no controle de acesso é uma regra de segurança em que uma única pessoa não consegue concluir sozinha determinada entrada, saída ou permanência em área crítica. Em sistemas eletrônicos de controle de acesso, essa lógica pode ser implementada por funções de dual access/dual credential, que exigem duas ou mais solicitações de acesso autorizadas em sequência, e por dual occupancy, que controla a presença mínima de duas pessoas em uma área.

A regra de duas pessoas não é sinônimo de autenticação multifator. MFA combina fatores diferentes para autenticar um único usuário. Dupla custódia exige participação de usuários distintos e autorizados, reduzindo risco de ação isolada, fraude interna, coerção ou erro em atividades sensíveis.

A IEC 60839 distingue acesso múltiplo de ocupação múltipla

A ABNT NBR IEC 60839-11-1 define funções de credencial dupla ou múltipla, acesso duplo ou múltiplo e ocupação dupla ou múltipla. O ponto central é que a lógica pode atuar no momento da autorização do portal ou no controle de presença dentro da área.

A série normativa também trata níveis de acesso, registros, alertas, neutralizações e verificação de presença. O projeto precisa combinar essas funções de forma coerente com o risco do ambiente.

Dual access exige duas autorizações válidas

No dual access, a passagem só é autorizada quando duas ou mais solicitações válidas são apresentadas na sequência definida e dentro de um período configurável. Cada usuário precisa ter direito próprio para participar daquela regra.

Não basta apresentar duas vezes a mesma credencial. O sistema deve distinguir identidades e rejeitar combinações que não atendam à política.

Dual occupancy controla quem permanece na área

A ocupação dupla vai além da abertura da porta. O sistema conta entradas e saídas e procura garantir que a área permaneça ocupada por pelo menos duas pessoas autorizadas quando a política assim exigir.

Essa função depende de boa disciplina de entrada e saída, leitoras nos dois sentidos quando aplicável e tratamento consistente de exceções.

MFA e dupla custódia resolvem riscos diferentes

Autenticação multifator fortalece a prova de identidade de uma pessoa: cartão mais PIN, cartão mais biometria ou outra combinação. Dupla custódia distribui a autorização entre pessoas distintas.

Uma área crítica pode exigir ambos: cada usuário apresenta dois fatores e, além disso, dois usuários válidos precisam participar da abertura.

Controle	Quem participa	Objetivo principal
MFA	um usuário	elevar confiança na identidade
dual access	dois ou mais usuários	impedir autorização individual
dual occupancy	dois ou mais usuários presentes	impedir permanência isolada
anti-passback	um ou mais usuários	preservar coerência de entrada/saída
anti-tailgating	fluxo físico	impedir passagem múltipla com uma credencial

A regra precisa nascer da análise de risco

Dupla custódia não deve ser aplicada indiscriminadamente. Ela aumenta segurança, mas também pode reduzir disponibilidade e elevar tempo de acesso. O requisito faz sentido quando o impacto de uma ação individual supera o custo operacional da dependência entre pessoas.

Áreas de valores, ambientes de alta criticidade, laboratórios, salas de chaves, infraestrutura sensível e determinados processos industriais podem justificar essa lógica conforme o risco e a governança da organização.

Perfis de usuários precisam ser independentes

O projeto deve definir quem pode formar par com quem. Em alguns ambientes, qualquer dois usuários de um grupo podem atender à regra. Em outros, exige-se combinação entre funções diferentes, como operador e supervisor.

A matriz funcional deve registrar essas condições para que a regra não fique escondida apenas na configuração do software.

Janela de tempo precisa ser dimensionada

O sistema normalmente usa uma janela para receber as credenciais. Curta demais causa recusa operacional; longa demais permite que duas autorizações não relacionadas sejam combinadas.

A escolha deve considerar ergonomia, fluxo, posição das leitoras e procedimento do local.

Combinações válidas precisam ser explicitamente modeladas

A expressão “duas pessoas” pode esconder regras muito diferentes. Em um ambiente, dois integrantes de qualquer perfil autorizado podem formar o par; em outro, exige-se um operador e um supervisor; em outro, duas pessoas do mesmo grupo são proibidas por segregação de funções.

O sistema precisa representar essas combinações de maneira auditável. Uma política que depende de memória do operador ou de procedimento informal deixa de ser um controle técnico.

Modelo	Exemplo de regra	Risco que reduz
par livre	dois usuários do grupo A	ação individual
par por função	operador + supervisor	conflito de função
par cruzado	manutenção + segurança	autorização unilateral
ocupação mínima	sempre duas pessoas na área	permanência isolada

A sequência das credenciais faz parte da regra

O projeto deve definir se a ordem dos usuários é relevante. Em algumas aplicações, qualquer sequência válida é suficiente. Em outras, a primeira credencial inicia a solicitação e a segunda precisa pertencer a um perfil hierarquicamente distinto.

Também é necessário definir o que acontece quando a segunda apresentação é inválida, expira o tempo ou pertence a usuário não elegível. O sistema deve encerrar a tentativa de forma previsível e registrar a causa da recusa.

Uma credencial não pode preencher duas posições

A lógica deve impedir que a mesma identidade seja apresentada duas vezes para satisfazer a regra. Isso parece óbvio, mas precisa ser testado porque implementações inadequadas podem validar duas apresentações sem verificar unicidade do usuário.

Quando existem cartões substitutos, credenciais móveis e biometria para a mesma pessoa, a unicidade deve ser feita pela identidade lógica, não apenas pelo identificador físico do token.

Dual occupancy depende de estado de presença confiável

Para manter ocupação mínima, o sistema precisa saber quem entrou e quem saiu. Isso exige leitoras ou eventos confiáveis nos dois sentidos, coerência de presença e tratamento para situações em que alguém sai sem registrar a passagem esperada.

Se o estado de presença estiver errado, a regra pode bloquear usuários legítimos ou, pior, acreditar que duas pessoas permanecem na área quando uma já saiu. Por isso, dual occupancy costuma depender de disciplina operacional mais rigorosa do que dual access.

Anti-passback ajuda a preservar o estado de presença

O anti-passback pode complementar a dupla ocupação ao exigir coerência entre entrada e saída. Ele não substitui a regra de duas pessoas, mas reduz estados impossíveis e reutilização inadequada de credenciais.

Eclusas podem reforçar a separação física da regra

Em áreas críticas, dual access pode ser combinado com eclusa ou mantrap. A lógica eletrônica valida identidades; a eclusa controla sequência física entre portais.

Essa combinação é útil quando não basta saber que duas pessoas foram autenticadas: é necessário reduzir passagem adicional, controlar direção e impedir abertura simultânea incompatível com a política.

Tailgating continua sendo um risco independente

Mesmo com duas credenciais válidas, uma terceira pessoa pode tentar acompanhar o grupo. A dupla custódia não é mecanismo de singularização. Quando esse risco importa, o projeto precisa combinar sensores, barreira física, eclusa, vídeo ou lógica anti-tailgating.

Áreas críticas precisam de política de saída

Uma regra que exige duas pessoas para entrar precisa dizer como elas saem. Pode ser necessário exigir saída conjunta, impedir que uma pessoa permaneça sozinha ou apenas registrar a condição e gerar alerta.

O comportamento correto depende do risco e das exigências de segurança da vida. Nenhuma lógica de dupla custódia deve criar bloqueio perigoso de saída em emergência.

Exceções precisam existir sem destruir a regra

Férias, afastamento, plantão reduzido, indisponibilidade de equipe ou manutenção emergencial podem tornar a dupla custódia operacionalmente difícil. O erro é resolver isso criando credencial mestre permanente ou removendo a regra de forma informal.

Exceções devem ter autorização explícita, validade limitada, registro, responsável e retorno automático ao estado normal. Em ambientes de alta criticidade, a exceção pode exigir aprovação de função independente.

Neutralização precisa ser controlada e auditada

A IEC 60839 trata funções de neutralização e de registro. Se a plataforma permitir bypass da regra de duas pessoas, essa ação deve ser restrita a operadores autorizados, registrada e acompanhada de motivo. Um bypass silencioso transforma uma função de segurança em mera conveniência.

Emergência tem precedência sobre a política de dupla custódia

Regras de segurança patrimonial não podem impedir evacuação ou resposta a emergência. O projeto precisa definir comportamento diante de incêndio, falta de energia, falha de comunicação, acionamento de emergência e outros estados prioritários.

A lógica de entrada pode ser bloqueada, liberada ou neutralizada conforme a matriz de causa e efeito. A saída deve preservar os requisitos de segurança da vida aplicáveis ao local.

Coação precisa ser tratada separadamente

Dupla custódia reduz a possibilidade de ação individual, mas não elimina coerção sobre duas pessoas. Sistemas que suportam sinalização de coação podem gerar alerta silencioso sem alterar de forma visível o comportamento esperado pelo agressor.

A função de duress precisa ser projetada e testada de forma específica. Ela não deve ser presumida apenas porque a plataforma possui dupla credencial.

Operação offline precisa ser definida antes da falha

Em sistemas distribuídos, a controladora pode continuar tomando decisões localmente quando perde comunicação com o servidor. O projeto deve confirmar se a regra de dual access está disponível localmente e como o estado de dual occupancy é preservado ou degradado.

Se a função depender de estado global que não está disponível offline, o modo degradado deve ser conhecido. Negar todo acesso, permitir acesso sob procedimento alternativo ou liberar apenas perfis específicos são decisões de projeto, não improvisos de manutenção.

Perda de energia também altera a disponibilidade da regra

Controladoras, leitoras, atuadores e sensores precisam manter o comportamento previsto durante a autonomia definida. Se uma fonte cai antes da outra, a regra pode ficar parcialmente funcional e criar condição não prevista.

Os testes devem incluir alimentação normal, reserva, retorno da energia e reconstrução de estados quando aplicável.

Logs devem permitir reconstruir cada tentativa

Uma tentativa de dupla custódia deve produzir evidência suficiente para saber quem iniciou, quem completou, qual porta foi envolvida, qual horário, qual regra foi aplicada e por que uma tentativa foi recusada.

Sem esse nível de registro, investigações ficam limitadas e o administrador não consegue diferenciar erro de configuração, tentativa incompleta e violação deliberada.

Privacidade continua aplicável mesmo em área crítica

O fato de a área ser crítica não elimina princípios de minimização e governança de dados. Registros de acesso precisam ter finalidade, retenção e acesso administrativo compatíveis com a política da organização.

Especificação precisa transformar a política em requisitos testáveis

Termos como “dupla custódia” ou “regra de duas pessoas” não são suficientes em uma especificação. O documento deve definir número de usuários, combinações permitidas, janela de tempo, sentido de passagem, comportamento de saída, exceções, alarmes, logs, modo degradado e integração com outros sistemas.

Também é necessário informar se o requisito é dual access, dual occupancy ou ambos. Essa distinção evita que fornecedores atendam apenas à abertura conjunta da porta quando a intenção era impedir permanência individual.

Requisito	Pergunta de projeto	Teste correspondente
dual access	quais pares podem liberar?	combinações válidas e inválidas
janela	quanto tempo entre credenciais?	limite inferior e expiração
dual occupancy	pode alguém ficar sozinho?	entradas, saídas e estados
bypass	quem neutraliza e por quanto tempo?	autorização, log e retorno
falha	qual modo degradado?	rede, energia e controladora

FAT deve testar combinações e estados, não apenas a abertura

No FAT, deve-se simular usuários válidos, inválidos, pares incompatíveis, repetição da mesma identidade, janela expirada, credencial suspensa e neutralização autorizada. O objetivo é validar a lógica antes de depender das condições físicas de campo.

Se houver dual occupancy, os estados de presença precisam ser exercitados: duas entradas, uma saída, segunda saída, tentativa de saída individual quando proibida e recuperação após inconsistência controlada.

SAT precisa validar a experiência física real

No ambiente real, posicionamento das leitoras, fluxo, visibilidade, comunicação entre usuários e tempo de abertura podem alterar completamente a experiência. Uma janela que funcionou em bancada pode ser inviável em uma eclusa estreita ou em área com EPIs.

O SAT deve combinar lógica eletrônica e passagem real, incluindo falhas, alarmes, vídeo associado quando aplicável e comportamento de emergência.

Treinamento operacional é parte do controle

Operadores precisam entender por que uma tentativa foi recusada, quando uma exceção pode ser concedida, como tratar inconsistência de presença e quem pode neutralizar a regra. Sem procedimento, a pressão operacional tende a gerar bypass permanente.

Revisões periódicas evitam que a regra perca sentido

Mudanças de equipe, organograma, processo ou criticidade podem tornar combinações antigas inadequadas. A governança deve revisar grupos, pares permitidos, usuários com privilégio de bypass e áreas sujeitas a ocupação mínima.

Essa revisão precisa ser tratada como gestão de requisito e acesso, não como simples cadastro.

Checklist de projeto e aceite

• definir se a necessidade é dual access, dual occupancy ou ambos;
• mapear perfis e combinações válidas;
• impedir reutilização da mesma identidade;
• definir janela de tempo e expiração;
• especificar entrada, saída e presença;
• definir bypass, autoridade e validade;
• estabelecer comportamento em emergência;
• testar falha de rede e energia;
• registrar eventos e causas de recusa;
• validar integração com eclusa, VMS e outros sistemas;
• executar FAT e SAT com casos negativos;
• treinar operação e revisar privilégios periodicamente.

Dupla custódia precisa ser modelada como política operacional completa

A regra de duas pessoas não termina na autorização de abertura. O projeto precisa definir quem pode compor a dupla, em quais horários, para quais áreas, em que sequência, com qual janela de tempo e sob quais exceções. Também precisa esclarecer se a segunda pessoa apenas autoriza a entrada ou se deve permanecer na área durante toda a atividade. Essa distinção muda a arquitetura de leitores, sensores, lógica de presença e procedimentos operacionais.

Em ambientes críticos, a política deve ser traduzida em estados verificáveis: área vazia, primeira autorização recebida, segunda autorização pendente, acesso liberado, ocupação válida, tentativa inválida, saída parcial, saída completa e condição de exceção. Sem essa modelagem, configurações diferentes podem produzir comportamentos contraditórios entre portas ou turnos.

Estado	Condição esperada	Risco a evitar	Evidência
Área vazia	nenhum ocupante registrado	entrada por credencial órfã	estado de presença
1ª autorização	aguarda usuário complementar	acesso individual	evento de tentativa
Dupla válida	liberação dentro da janela	combinação indevida	duas identidades distintas
Ocupação protegida	regra de saída preserva a dupla	permanência individual	controle de presença
Exceção	override autorizado e auditado	bypass permanente	registro de operador

Segregação de funções evita que a dupla seja apenas formal

Se qualquer dois usuários do mesmo grupo puderem abrir uma área crítica, a regra pode não produzir a segregação pretendida. Em certas aplicações, faz sentido exigir perfis complementares: por exemplo, operação e supervisão, manutenção e segurança, ou dois grupos organizacionais distintos. A engenharia deve documentar essa necessidade sem transformar o sistema em uma lógica impossível de operar.

A segregação precisa ser sustentada por governança de identidade. Alterações de cargo, lotação, vínculo ou função devem atualizar os grupos elegíveis. Caso contrário, uma regra bem configurada no início pode perder significado ao longo do tempo porque os perfis administrativos deixaram de refletir a organização real.

Capacidade operacional precisa ser avaliada antes de impor a regra

Dupla custódia aumenta segurança, mas também cria dependência de disponibilidade humana. Se uma área precisa de acesso frequente, a quantidade de usuários habilitados, turnos, férias, plantões e situações de emergência devem ser considerados. Uma regra que parece adequada no papel pode gerar esperas excessivas, bypass informal ou pressão para manter exceções permanentes.

O estudo deve estimar demanda de acessos, composição mínima de equipes, horários críticos e cenários de ausência. Em locais 24×7, a política precisa funcionar durante madrugada, finais de semana e contingências, não apenas no horário administrativo. Isso também afeta o desenho de escalonamento e a necessidade de autorização remota ou de perfis de contingência.

Eventos e alarmes devem distinguir falha, tentativa inválida e quebra de regra

Uma tentativa com apenas uma credencial não é necessariamente falha de equipamento. O sistema precisa diferenciar credencial inválida, primeira credencial válida aguardando complemento, segunda credencial incompatível, janela expirada, violação de ocupação, perda de estado de presença e override administrativo. Essa taxonomia é importante para a operação e para investigações posteriores.

Quando houver integração com VMS ou centro de operações, eventos relevantes podem ser associados a câmeras e procedimentos específicos. O objetivo não é alarmar toda tentativa incompleta, mas tornar visíveis comportamentos que representem risco real: repetição sistemática, combinação não permitida, neutralização da regra ou inconsistência de presença.

Comissionamento precisa testar cenários negativos e recuperação

Validar apenas a sequência correta não comprova a política. FAT e SAT devem testar também credenciais repetidas, usuários do mesmo grupo quando isso for proibido, ordem invertida, expiração da janela, cancelamento da primeira tentativa, perda de comunicação, queda e retorno de energia, reinicialização da controladora, perda de sincronismo e recuperação do estado de presença.

Para dual occupancy, os ensaios precisam incluir saída de apenas um ocupante, tentativa de reentrada, divergência entre leitor e sensor, passagem de pessoa não registrada e restauração manual do estado. Cada cenário deve ter resultado esperado e evidência. Sem isso, o aceite verifica somente o caso feliz e deixa as condições de falha sem validação.

Revisão periódica deve confirmar que a política continua justificável

O risco, a organização e a arquitetura mudam. Áreas podem receber novos ativos, processos podem ser automatizados, equipes podem ser reorganizadas e tecnologias de autenticação podem evoluir. A dupla custódia deve ser revista periodicamente para confirmar que ainda reduz um risco relevante e que os grupos, horários e exceções permanecem coerentes.

A revisão também deve procurar sinais de degradação de governança: overrides frequentes, credenciais compartilhadas, usuários genéricos, reset de presença como rotina, exceções sem validade e perfis que acumulam papéis incompatíveis. Esses sintomas indicam que a política formal existe, mas sua efetividade operacional foi reduzida.

Governança de identidade sustenta a regra ao longo do tempo

Dual access e dual occupancy dependem de identidades individuais, perfis coerentes e grupos atualizados. Se um usuário muda de função, deixa a organização ou passa a acumular papéis incompatíveis, a política de dupla custódia pode continuar tecnicamente configurada e, ainda assim, perder a segregação de funções que justificava sua existência.

A governança deve definir proprietário de cada grupo, critérios de inclusão, prazo de validade, recertificação periódica e processo de revogação. Contas genéricas ou credenciais compartilhadas são especialmente incompatíveis com esse tipo de controle porque destroem a rastreabilidade das duas identidades exigidas pela regra.

Turnos, plantões e contingências precisam ser testados como casos de projeto

A regra deve continuar operável quando a equipe está reduzida. Mudanças de turno, férias, afastamentos, plantões, finais de semana e atendimento emergencial podem reduzir drasticamente a disponibilidade das combinações autorizadas. Se o projeto ignora esses cenários, a operação tende a criar exceções permanentes ou depender de uma única pessoa para liberar a área.

É recomendável definir perfis de contingência, responsáveis por aprovação e limites temporais para uso excepcional. A concessão deve ser registrada, ter motivo, início e fim, e produzir evidência suficiente para revisão posterior. Contingência não pode se tornar um segundo caminho de acesso menos controlado que o fluxo normal.

Integração com VMS e centro de operações melhora investigação e resposta

Eventos de primeira credencial, segunda autorização, tentativa incompatível, janela expirada, override e violação de ocupação podem ser correlacionados com câmeras associadas ao ponto. Essa integração não substitui a lógica de controle de acesso, mas oferece contexto para diferenciar erro operacional, falha técnica e tentativa deliberada de violação.

O procedimento operacional deve indicar quais eventos exigem apenas registro, quais abrem vídeo automaticamente, quais acionam segurança local e quais precisam de escalonamento. Alarmar cada tentativa incompleta sem classificação tende a gerar fadiga. O valor está em tratar eventos com significado de risco e evidência suficiente para tomada de decisão.

Permissões administrativas também precisam de dupla verificação em mudanças críticas

A política física pode ser neutralizada por uma alteração administrativa mal governada. Um operador com privilégio excessivo pode incluir usuários em grupos complementares, ampliar horários, remover a exigência de segunda pessoa ou executar override sem controle. Por isso, segurança da configuração precisa acompanhar a segurança do acesso físico.

É recomendável aplicar menor privilégio, trilha de auditoria, revisão de funções administrativas e, quando o risco justificar, aprovação independente para mudanças críticas. O objetivo é impedir que a regra de duas pessoas exista na porta, mas possa ser desfeita unilateralmente no software sem evidência ou autorização adequada.

Contratação deve exigir matriz de regras, testes e evidências

Uma especificação que apenas solicita “função dual access” deixa margem para interpretações incompatíveis. O documento de engenharia deve explicitar combinações válidas, sequência, janela de tempo, ocupação mínima, comportamento de saída, exceções, offline, perda de energia, alarmes, logs, integrações e critérios de reset. Cada requisito deve ter um método de teste correspondente.

Na contratação, também é necessário definir responsabilidade por parametrização, cadastro inicial, integração, treinamento, documentação e suporte pós-aceite. A matriz de rastreabilidade requisito → configuração → teste → evidência reduz discussões no comissionamento e permite verificar se a função entregue corresponde à política aprovada, e não apenas se o software possui uma opção com nome semelhante.

Considerações finais

Dupla custódia é um controle de segregação física de responsabilidade. O projeto precisa definir claramente se a intenção é exigir duas autorizações para abrir o portal, manter presença mínima de duas pessoas ou combinar ambas. A eficácia depende de regras de identidade, estados de presença, tratamento de exceções, registros e testes.

Referências técnicas

[1] ABNT. ABNT NBR IEC 60839-11-1:2019 — Sistemas de segurança eletrônica e alarme — Parte 11-1: Sistemas eletrônicos de controle de acesso — Requisitos do sistema e dos componentes. Correspondente à IEC 60839-11-1:2013. Disponível em: https://webstore.iec.ch/en/publication/11873.

[2] IEC. IEC 60839-11-2 — Alarm and electronic security systems — Electronic access control systems — Application guidelines. Disponível em: https://webstore.iec.ch/en/publication/26292.

Perguntas frequentes

O que é dupla custódia em controle de acesso?

É uma regra que impede uma única pessoa de concluir sozinha determinado acesso ou permanência, exigindo duas ou mais identidades autorizadas conforme a política.

Dupla custódia é a mesma coisa que MFA?

Não. MFA combina fatores para autenticar uma pessoa; dupla custódia exige participação de pessoas distintas.

Qual a diferença entre dual access e dual occupancy?

Dual access exige múltiplas autorizações para liberar o portal. Dual occupancy controla a presença de pelo menos duas pessoas na área, conforme a regra configurada.

É possível combinar dupla custódia com biometria?

Sim. Cada participante pode ser autenticado por biometria, cartão, PIN ou MFA, enquanto a regra de dupla custódia continua exigindo usuários distintos.

Materiais técnicos complementares

Serviços relacionados

• Projeto de Controle de Acesso: arquitetura, dispositivos, integração e especificação
• Projeto de Segurança Eletrônica Integrada: CFTV, acesso, intrusão e integração
• Comissionamento

Conteúdos principais sobre o tema

• Sistema de Controle de Acesso: tipos, tecnologias, normas e projeto
• ABNT NBR IEC 60839: requisitos para sistemas de controle de acesso

Conteúdos técnicos correlatos

• Eclusa, mantrap e intertravamento no controle de acesso
• Anti-passback em controle de acesso