DT Cyber Solutions
Onboarding e offboarding de TI: como controlar acessos de colaboradores sem criar riscos
A entrada ou a saída de um colaborador altera mais do que um cadastro de e-mail. Ela pode envolver notebook, Microsoft 365 ou Google Workspace, ERP, CRM, sistema financeiro, pastas compartilhadas, telefonia, VPN, Wi-Fi, aplicativos em nuvem, chaves de acesso e credenciais de fornecedores. Quando essas mudanças são feitas por mensagens soltas ou apenas pela memória de alguém, a empresa tende a liberar mais acesso do que o necessário e a descobrir contas ativas somente depois de uma auditoria, uma fraude ou um incidente. Um processo de onboarding e offboarding de TI transforma essas etapas em uma rotina verificável: define o que cada função precisa, quem aprova, quando o acesso começa, como é revisado e como é removido.
- O acesso deve ser definido pela função e pelo processo que a pessoa executa, não pela conveniência de copiar permissões de outra conta.
- Todo onboarding precisa ter responsável, aprovação, prazo e registro dos recursos entregues.
- No offboarding, a prioridade é proteger a empresa sem perder dados, comunicação ou processos legítimos que precisam continuar.
- Revisões periódicas de acessos encontram exceções e mudanças que o fluxo inicial não capturou.
Acesso esquecido é um risco que continua existindo mesmo depois da mudança de pessoa ou função
Contas antigas, dispositivos não recolhidos, caixas de e-mail delegadas, aplicativos conectados e permissões em pastas podem manter portas abertas para dados e sistemas importantes. Ao mesmo tempo, um desligamento conduzido sem planejamento pode interromper atendimento, faturamento ou processos que dependiam de uma pessoa. O objetivo não é bloquear a operação: é conciliar velocidade com controle. Com um fluxo claro, a empresa consegue entregar os recursos corretos a quem chega, preservar informações necessárias, revogar o que não é mais autorizado e deixar evidências de que a mudança foi concluída.
Riscos que merecem atenção
- Criar contas com permissões amplas por urgência e nunca reduzir o acesso depois da adaptação do colaborador.
- Manter e-mail, VPN, sistemas em nuvem, grupos compartilhados ou aplicativos autorizados ativos após um desligamento.
- Perder arquivos, contatos, aprovações ou conhecimento operacional ao desativar uma conta sem transição planejada.
- Usar contas compartilhadas para evitar burocracia, sem conseguir identificar quem acessou ou alterou informações.
Mapeie os acessos que cada função realmente precisa
Antes de criar uma conta, defina um catálogo simples por função: quais sistemas, grupos, pastas, equipamentos e canais de comunicação são necessários para vendas, financeiro, atendimento, operação, gestão e TI. Não precisa ser uma matriz enorme. O essencial é registrar a finalidade de cada acesso, seu responsável pelo negócio e o nível de sensibilidade dos dados tratados. Esse catálogo reduz o hábito de copiar permissões de um colaborador antigo, prática que costuma reproduzir acessos excessivos e exceções esquecidas. Quando a função muda, a empresa deve comparar o perfil anterior com o novo e remover o que deixou de ser necessário, em vez de apenas somar permissões ao longo do tempo.
Crie um fluxo de onboarding que una RH, gestor e TI
A admissão deve acionar um processo com antecedência definida. RH confirma data e vínculo; o gestor informa função, unidade, sistemas e aprovações necessárias; TI prepara conta individual, MFA, equipamento e grupos autorizados. Para cada item entregue, registre número de patrimônio ou identificação do dispositivo, e-mail, licenças, grupos relevantes e quem aprovou o acesso. Evite enviar senhas por canais informais ou criar credenciais compartilhadas para a primeira semana. Quando houver urgência, use um perfil temporário com escopo mínimo e data de revisão. Assim, a pessoa começa a trabalhar sem transformar a exceção em acesso permanente.
Proteja a conta desde o primeiro acesso
Uma conta nova deve começar com controles básicos já configurados: senha inicial entregue com segurança ou processo de ativação confiável, MFA, dispositivo atualizado quando for corporativo e permissões compatíveis com a função. Contas administrativas, financeiras ou que administram sistemas críticos merecem regras mais rígidas, como conta separada para tarefas de administração, aprovação adicional e registro de uso. Também verifique aplicativos de terceiros conectados ao e-mail ou à identidade corporativa. Uma autorização OAuth antiga pode manter acesso a arquivos ou mensagens mesmo que a senha seja alterada; por isso, o inventário de aplicativos autorizados faz parte do ciclo de vida da conta.
Planeje o desligamento antes do último dia
O offboarding precisa de um horário de execução e de uma pessoa responsável por confirmar a mudança. Em desligamentos planejados, o gestor pode identificar atividades em transição, documentos necessários, caixas compartilhadas, contatos de clientes e acessos que precisam ser transferidos. No momento definido, revogue sessões ativas, VPN, sistemas em nuvem, aplicativos autorizados, grupos, acesso físico e métodos de MFA; recolha equipamentos e preserve registros conforme a necessidade do negócio. Em situações de risco elevado, a contenção pode precisar ser imediata, mas ainda assim deve haver uma etapa posterior para avaliar dados, redirecionamentos e responsabilidades pendentes. Não basta desativar o e-mail: o processo deve cobrir todos os caminhos pelos quais a pessoa acessava informação.
Preserve informações sem transformar a conta antiga em conta compartilhada
E-mails, arquivos e histórico de relacionamento podem ser importantes para a continuidade, mas manter a conta de uma pessoa ativa e passar sua senha adiante reduz rastreabilidade e pode expor dados pessoais. Prefira transferir propriedade de documentos, configurar acesso delegado quando permitido, redirecionar mensagens por período limitado e documentar qual gestor ficará responsável pelos processos em andamento. Avalie requisitos legais, contratuais e de privacidade antes de acessar ou reter conteúdos. A regra prática é separar a continuidade do negócio da identidade individual: informações necessárias devem ficar em repositórios, caixas e sistemas corporativos com donos definidos, não em contas pessoais reaproveitadas.
Revise exceções e confirme que o processo funcionou
Mesmo um bom checklist não substitui revisão. Periodicamente, compare listas de colaboradores ativos com contas de e-mail, VPN, ERP, CRM, grupos privilegiados, dispositivos de gestão e fornecedores com acesso remoto. Procure contas sem proprietário, licenças sem uso, acessos incompatíveis com a função e pessoas desligadas que ainda aparecem em sistemas. Guarde evidências simples de cada entrada, mudança e saída: solicitação, aprovação, recursos provisionados e confirmação de remoção. Esses registros ajudam a investigar incidentes, atender auditorias e melhorar o próprio fluxo. Quando uma falha é encontrada, ajuste o catálogo ou o checklist para impedir que ela se repita.
Checklist prático
- Criar um catálogo de acessos por função, com sistemas, grupos, dispositivos e responsável pela aprovação.
- Usar solicitação formal de onboarding com data de início, gestor responsável, escopo de acesso e registro dos recursos entregues.
- Ativar MFA, conta individual e permissões mínimas desde o primeiro acesso; evitar credenciais compartilhadas.
- Executar o offboarding em horário definido, revogando sessões, grupos, VPN, aplicativos autorizados, MFA e acessos físicos.
- Revisar periodicamente contas, licenças, grupos e acessos de terceiros contra a lista atual de colaboradores e funções.
Sua empresa consegue comprovar quem tem acesso a cada sistema e remover esse acesso na hora certa?
A DT Cyber Solutions ajuda empresas a organizar identidades, MFA, permissões, dispositivos e rotinas de entrada e saída de colaboradores para reduzir riscos sem travar a operação.