O risco que nenhum firewall consegue detectar: acesso legítimo de ex-colaborador
Quando um atacante externo invade um sistema, ele usa credenciais roubadas ou explora vulnerabilidades. O firewall pode detectar comportamento anômalo. O EDR pode identificar o malware. O monitoramento de rede pode sinalizar tráfego suspeito.
Quando um ex-colaborador acessa o CRM da empresa com as credenciais que ainda estão ativas porque o offboarding de TI não foi executado, nenhuma dessas proteções funciona. O sistema recebe o login, reconhece as credenciais como válidas e libera o acesso. Do ponto de vista técnico, não há nada de errado acontecendo. A proteção aqui não é tecnológica: é processual.
Cenário 1: acesso remanescente acidental
O colaborador saiu, o RH comunicou o desligamento para a TI, mas a TI desativou apenas o e-mail corporativo e esqueceu o CRM, o acesso à VPN e o token de integração com a plataforma de e-commerce. O ex-colaborador não tem intenção maliciosa mas pode acessar dados de clientes por meses antes que alguém perceba. Em auditoria de conformidade LGPD, esse acesso remanescente é evidência de processo falho.
Frequência
Muito comum em empresas sem checklist formal de offboarding. Auditorias encontram isso sistematicamente.
Cenário 2: acesso intencional pós-desligamento
O colaborador foi demitido sem justa causa, saiu insatisfeito e continua acessando o sistema de gestão de projetos por duas semanas depois do desligamento porque ninguém revogou o acesso. Extrai informações de clientes, projetos em andamento e precificações que leva para o concorrente onde foi trabalhar. O dano é real, documentável e poderia ser inteiramente prevenido com um processo de offboarding executado no dia do desligamento.
Impacto
Vazamento de dados, perda de clientes e potencial ação judicial. Dificílimo de provar e remediar após o fato.
Cenário 3: credencial de ex-colaborador comprometida por terceiros
O ex-colaborador usa a mesma senha do e-mail corporativo em outros serviços. Três meses após o desligamento, o e-mail corporativo ainda está ativo (ninguém desativou), a senha aparece em um data breach de outro serviço e um atacante usa essas credenciais para acessar os sistemas da empresa. O ex-colaborador não foi o agente do ataque, mas a conta esquecida abriu a porta.
Impacto
Invasão via conta legítima: nenhuma tecnologia de perímetro detecta. Só processo de offboarding previne.
O ponto cego que a tecnologia não cobre
Uma conta ativa de colaborador que saiu há seis meses, ainda conectada a sistemas financeiros ou ao CRM, representa uma superfície de ataque que nenhuma solução de endpoint ou firewall consegue cobrir porque o acesso é tecnicamente legítimo. O que muda nesse cenário é estrutural: apenas um processo documentado de revogação de acessos, executado no dia do desligamento e auditado periodicamente, elimina esse vetor de risco.
Onboarding de TI: o que configurar antes do primeiro dia
Um onboarding de TI bem executado garante que o novo colaborador chegue ao primeiro dia com tudo que precisa para trabalhar: e-mail configurado, acesso aos sistemas do seu perfil de função, equipamento pronto e senha temporária para trocar no primeiro login. Sem esse processo, é comum que o novo colaborador passe as primeiras horas ou dias esperando que a TI configure o que deveria ter sido preparado com antecedência.
O onboarding de TI começa com o RH, não com a TI. O gatilho é a admissão confirmada no sistema de RH, que deve notificar a TI com pelo menos 3 a 5 dias de antecedência do início para que o provisionamento seja feito antes da chegada do colaborador.
As 4 etapas do onboarding de TI bem executado
|
1
|
RH notifica TI com antecedência mínima de 3 dias úteis
Informações necessárias: nome completo, função, setor, gestor direto, data de início e se trabalha presencialmente, remotamente ou em modelo híbrido. Com essas informações, a TI identifica o perfil de acesso padrão da função e inicia o provisionamento sem precisar de chamadas ou e-mails adicionais.
|
|
2
|
TI provisiona conta, acessos e equipamento
Criação da conta corporativa (e-mail, Microsoft 365 ou Google Workspace), configuração dos acessos nos sistemas conforme perfil de função, preparação do equipamento com sistema operacional, softwares necessários e endpoint protegido, e geração de senha temporária que o colaborador troca no primeiro login. Equipamento para trabalho remoto: configuração de VPN e validação de acesso remoto antes da entrega.
|
|
3
|
Primeiro dia: entrega, ativação e validação
Entrega do equipamento com checklist de recebimento assinado pelo colaborador. Ativação das contas e confirmação de que o colaborador consegue acessar todos os sistemas necessários para sua função. Orientação rápida sobre política de segurança (senha forte, MFA, política de uso de dispositivos). A validação deve ser feita pelo próprio colaborador, não assumida pela TI.
|
|
4
|
Documentação no inventário de ativos e acessos
Registro no inventário de TI: qual equipamento foi entregue, número de série, quais sistemas foram provisionados e com qual perfil de acesso. Esse registro é o que permite que o offboarding seja completo: sabe-se exatamente o que precisa ser recolhido e revogado quando o colaborador sair.
|
Offboarding de TI: o que revogar no dia do desligamento
O offboarding de TI tem uma regra simples e inegociável: todos os acessos devem ser revogados no dia do desligamento, não no dia seguinte, não na semana seguinte e definitivamente não “quando a TI tiver tempo”. Em desligamentos involuntários com potencial de conflito, a revogação deve acontecer simultaneamente à comunicação do desligamento ao colaborador, antes que ele tenha acesso ao computador corporativo após receber a notícia.
A distinção crítica entre desligamento voluntário e involuntário
Em desligamentos voluntários com aviso prévio, a revogação pode ser planejada para o último dia de trabalho, com período de transferência de conhecimento e acesso supervisionado. Em desligamentos involuntários, especialmente em cargos com acesso a dados sensíveis ou estratégicos, a revogação de acessos deve acontecer no momento do desligamento ou imediatamente após a comunicação. O colaborador que acabou de receber uma demissão não planejada não deve ter acesso irrestrito a sistemas críticos enquanto ainda está nas dependências da empresa.
O que revogar: categorias de acesso no offboarding de TI
| Categoria |
O que inclui |
Prazo máximo |
| Conta corporativa principal |
E-mail corporativo (Microsoft 365, Google Workspace), conta de domínio (Active Directory, Azure AD), login único (SSO) |
Dia do desligamento |
| Acesso remoto e VPN |
VPN corporativa, RDP, acesso remoto a servidores, credenciais de acesso externo |
Dia do desligamento |
| Sistemas de negócio |
ERP, CRM, sistema financeiro, plataforma de e-commerce, sistema de gestão de projetos, ferramentas de atendimento ao cliente |
Dia do desligamento |
| Ferramentas SaaS e colaboração |
Slack, Teams, Zoom, ferramentas de design (Canva, Figma), repositórios de código, plataformas de marketing, ferramentas de analytics |
Até 24h |
| Tokens de API e integrações |
Tokens de API pessoais, conexões OAuth, integrações com plataformas externas criadas pelo colaborador, chaves de acesso a serviços em nuvem |
Até 24h |
| Acesso físico |
Crachá de acesso, senha de alarme, chaves físicas, acesso a datacenters ou salas de servidores |
Dia do desligamento |
| Equipamentos |
Notebook, celular corporativo, token de segurança físico (MFA hardware), carregadores e acessórios |
Dia do desligamento |
O checklist completo de onboarding e offboarding de TI
👤
Checklist de onboarding de TI: novo colaborador
Executar antes do primeiro dia (antecedência mínima: 3 dias úteis)
| RH enviou notificação com nome, função, setor, gestor direto e data de início |
☐ |
| Conta de e-mail corporativo criada (Microsoft 365 / Google Workspace) |
☐ |
| Acessos nos sistemas de negócio provisionados conforme perfil de função (ERP, CRM, etc.) |
☐ |
| MFA ativado na conta corporativa principal |
☐ |
| Equipamento preparado: SO instalado, softwares necessários, endpoint configurado |
☐ |
| VPN configurada e testada (se trabalho remoto ou híbrido) |
☐ |
| Colaborador e equipamento registrados no inventário de ativos de TI |
☐ |
| Equipamento entregue com Termo de Recebimento assinado pelo colaborador |
☐ |
| Colaborador acessou e-mail, sistemas e ferramentas com a senha temporária e fez a troca |
☐ |
| Política de segurança (senhas, dispositivos, dados) apresentada e assinada |
☐ |
| Canal de abertura de chamados de TI comunicado e testado pelo colaborador |
☐ |
🚪
Checklist de offboarding de TI: desligamento de colaborador
Executar no dia do desligamento (imediatamente em desligamentos involuntários)
| Conta de e-mail corporativo desativada ou redirecionada para o gestor direto |
☐ |
| Conta no diretório corporativo (Active Directory / Azure AD) desabilitada |
☐ |
| Acesso à VPN e ao acesso remoto revogado |
☐ |
| Acessos em todos os sistemas de negócio desativados (ERP, CRM, sistema financeiro, e-commerce) |
☐ |
| Crachá de acesso físico bloqueado e senha de alarme trocada |
☐ |
| Equipamentos recolhidos: notebook, celular corporativo, token físico, chaves e acessórios |
☐ |
| Registro de devolução de equipamentos assinado pelo colaborador |
☐ |
Executar em até 24 horas após o desligamento
| Ferramentas SaaS individuais desativadas (Slack, Zoom, Canva, ferramentas de marketing) |
☐ |
| Tokens de API pessoais e conexões OAuth revogados |
☐ |
| Transferência de arquivos e documentos do e-mail e drives do colaborador para o gestor |
☐ |
Documentação obrigatória (LGPD)
| Log de revogação de acessos documentado com data, hora e responsável pela execução |
☐ |
| Novo responsável designado para os dados pessoais que estavam sob responsabilidade do colaborador |
☐ |
| Inventário de ativos atualizado com a devolução do equipamento |
☐ |
Gestão de perfis de acesso: como definir quem acessa o quê
O pré-requisito para um onboarding e offboarding de TI eficiente é ter perfis de acesso definidos por função, não por colaborador. Quando os acessos são concedidos caso a caso, sem padrão, o provisionamento é lento e o desprovisionamento é incompleto porque ninguém sabe com certeza a quais sistemas cada colaborador tinha acesso.
| Perfil |
Acessos padrão |
O que NÃO deve ter acesso |
| Comercial / Vendas |
CRM, e-mail, ferramentas de apresentação, WhatsApp Business, plataforma de proposta |
Sistema financeiro (além de visualização básica de status), ERP financeiro, folha de pagamento |
| Financeiro / Contabilidade |
ERP financeiro, sistema bancário, conciliação, ferramentas contábeis, e-mail |
CRM completo (dados de clientes além do necessário para faturamento), repositório de código, dados de RH completos |
| TI / Infraestrutura |
Todos os sistemas técnicos, painéis de administração, VPN, acesso a servidores, ferramentas de monitoramento |
Aprovação de transações financeiras, dados de RH sensíveis além do necessário para configuração de contas |
| RH / Gestão de Pessoas |
Sistema de RH, folha de pagamento, ferramentas de recrutamento, e-mail, formulários de admissão |
CRM de clientes, dados financeiros além de visualização de estrutura salarial autorizados, repositório de código |
| Estagiário / Junior |
Ferramentas específicas da função com permissão de leitura ou edição limitada, e-mail, acesso supervisionado |
Permissões de administrador em qualquer sistema, acesso a dados financeiros ou estratégicos completos, configuração de infraestrutura |
| Princípio do mínimo privilégio: cada colaborador recebe apenas os acessos necessários para executar sua função. Qualquer acesso adicional deve ser aprovado formalmente pelo gestor direto e registrado como exceção ao perfil padrão. |
LGPD e offboarding: as obrigações que a lei impõe
O desligamento de colaboradores com acesso a dados pessoais de clientes, fornecedores ou outros colaboradores exige procedimento formal de offboarding sob a ótica da LGPD. A lei não define um prazo específico para revogação de acessos, mas o princípio da segurança e prevenção (Art. 46 da LGPD) exige que a empresa adote medidas técnicas e administrativas para proteger os dados de acessos não autorizados, o que inclui acessos de ex-colaboradores.
O que a LGPD exige especificamente no offboarding
| Mapear quais dados pessoais estavam sob responsabilidade do colaborador (clientes, outros colaboradores, fornecedores) |
☐ |
| Designar novo responsável para os tratamentos de dados pessoais que o colaborador executava |
☐ |
| Verificar se houve downloads ou transferências de dados suspeitos nos dias anteriores ao desligamento |
☐ |
| Registrar (log) todas as ações de revogação como evidência de conformidade, com data e responsável |
☐ |
| Garantir que equipamentos devolvidos sejam formatados antes de reutilização (eliminação de dados pessoais) |
☐ |
| Documentar que as cláusulas de confidencialidade do contrato de trabalho continuam válidas após o desligamento |
☐ |
A situação que mais gera problema em auditoria LGPD
O cenário mais frequentemente encontrado em auditorias de conformidade LGPD em PMEs: o e-mail do ex-colaborador continua ativo por meses porque “pode chegar alguma coisa importante”. Esse e-mail ativo é uma conta com acesso a dados pessoais de clientes e comunicações estratégicas que nenhum ex-colaborador deveria ter. A solução correta é desativar o e-mail no dia do desligamento e configurar um auto-responder informando o redirecionamento para o novo responsável, não manter o acesso do ex-colaborador ativo.
Como estruturar o processo: o fluxo entre RH e TI
O maior problema de onboarding e offboarding de TI em PMEs não é falta de vontade: é falta de fluxo formalizado entre RH e TI. O RH admite ou desliga o colaborador, mas a TI não é notificada com antecedência suficiente ou com as informações necessárias para agir. O resultado é provisionamento atrasado no onboarding e revogação incompleta no offboarding.
| Etapa |
Responsável |
Onboarding |
Offboarding |
| Gatilho |
RH |
Admissão confirmada no sistema. RH notifica TI com mínimo 3 dias de antecedência via formulário padrão |
Desligamento confirmado. RH notifica TI imediatamente (mesmo dia, antes da comunicação ao colaborador em casos involuntários) |
| Execução |
TI |
Provisionamento de conta, acessos e equipamento conforme checklist e perfil de função |
Revogação de todos os acessos conforme checklist, recolhimento de equipamentos e documentação |
| Validação |
RH + TI |
Colaborador confirma acesso a todos os sistemas necessários no primeiro dia |
TI confirma conclusão do checklist para RH antes do encerramento da folha do colaborador |
| Documentação |
TI |
Registro no inventário: equipamento, número de série, acessos provisionados e perfil |
Log de revogação com data, hora, lista de sistemas e responsável. Inventário atualizado com devolução |
Próximo Passo
Sua empresa tem processo documentado de onboarding e offboarding de TI, ou funciona no improviso caso a caso?
A Mobit estrutura e executa o processo completo de onboarding e offboarding de TI: checklist, perfis de acesso por função, documentação para conformidade LGPD e auditoria periódica de contas ativas. Sua empresa para de ter ex-colaboradores com acesso que ninguém lembra que está aberto.
Quero estruturar o processo de onboarding e offboarding de TI →
Diagnóstico gratuito. Sem compromisso.
Perguntas frequentes sobre onboarding e offboarding de TI
O que é offboarding de TI e por que é tão importante? ▼
Offboarding de TI é o processo estruturado de revogação de todos os acessos, devolução de equipamentos e documentação de desligamento quando um colaborador encerra seu vínculo com a empresa. É importante porque o acesso de ex-colaborador a sistemas corporativos é um vetor de risco que nenhuma tecnologia de segurança consegue detectar: o sistema recebe as credenciais como válidas e libera o acesso porque ninguém informou que a pessoa saiu. Auditorias regularmente encontram ex-funcionários com acesso persistente a sistemas sensíveis semanas ou meses após a saída. Os riscos incluem acesso acidental não intencional a dados de clientes, acesso intencional para extração de informações estratégicas, e uso de credenciais de ex-colaboradores por atacantes externos em data breaches. Sob a ótica da LGPD, o offboarding de TI é parte obrigatória da gestão do ciclo de vida de dados pessoais: a empresa deve documentar a revogação de acessos como evidência de conformidade.
Quando os acessos de um colaborador demitido devem ser revogados? ▼
O prazo de revogação depende do tipo de desligamento. Em desligamentos voluntários com aviso prévio cumprido, a revogação pode ser planejada para o último dia de trabalho do colaborador, com período de transferência de conhecimento e acesso supervisionado nos dias anteriores. Em desligamentos involuntários, especialmente em cargos com acesso a dados sensíveis, financeiros ou estratégicos, a revogação deve acontecer no mesmo dia do desligamento, imediatamente após a comunicação, antes que o colaborador tenha acesso ao computador corporativo após receber a notícia. Para desligamentos com potencial de conflito ou com colaboradores em cargos de alta confiança, a revogação deve ser simultânea à comunicação do desligamento: a TI é acionada antes da reunião de desligamento e executa a revogação enquanto a reunião acontece, de forma que quando o colaborador sai da reunião os acessos já estão bloqueados.
O que é perfil de acesso por função em TI? ▼
Perfil de acesso por função é um mapeamento predefinido dos sistemas e permissões que cada cargo ou função na empresa deve ter, seguindo o princípio do mínimo privilégio: cada colaborador recebe apenas os acessos estritamente necessários para executar seu trabalho. Um colaborador comercial tem acesso ao CRM e às ferramentas de comunicação, mas não ao sistema financeiro. Um colaborador financeiro tem acesso ao ERP financeiro e ao sistema bancário, mas não ao repositório de código. Um estagiário tem acesso apenas às ferramentas específicas da sua função com permissão limitada. A vantagem do perfil de acesso por função é dupla: no onboarding, a TI sabe exatamente o que provisionar sem precisar perguntar caso a caso, e o provisionamento pode ser feito antes da chegada do colaborador; no offboarding, a TI sabe exatamente o que revogar sem precisar reconstruir o histórico de acessos de cada colaborador específico.
O que a LGPD exige no desligamento de colaboradores? ▼
A LGPD exige que empresas adotem medidas técnicas e administrativas para proteger dados pessoais de acessos não autorizados (Art. 46), o que inclui acessos de ex-colaboradores. No desligamento, as principais obrigações práticas são: mapear quais dados pessoais de clientes, colaboradores e fornecedores estavam sob responsabilidade do colaborador desligado; designar um novo responsável para esses tratamentos de dados pessoais; revogar os acessos a sistemas com dados pessoais no dia do desligamento; documentar o processo de revogação com data, hora e responsável pela execução como evidência de conformidade; verificar se houve downloads ou transferências de dados suspeitos nos dias anteriores ao desligamento; garantir que equipamentos devolvidos sejam formatados antes de reutilização para eliminar dados pessoais; e manter registros de que as cláusulas de confidencialidade do contrato de trabalho continuam válidas após o desligamento. Em caso de incidente de segurança envolvendo ex-colaborador, a empresa que não documentou o processo de revogação terá dificuldade de demonstrar conformidade para a ANPD.
Como a Mobit executa o onboarding e offboarding de TI? ▼
A Mobit executa onboarding e offboarding de TI como parte do processo estruturado de gestão de TI. No onboarding, o processo começa com a notificação do RH via formulário padronizado com mínimo 3 dias úteis de antecedência. A Mobit provisiona a conta corporativa, os acessos conforme perfil de função predefinido, configura o equipamento com endpoint protegido e valida que o colaborador tem acesso a tudo que precisa no primeiro dia. Todos os ativos e acessos são registrados no inventário. No offboarding, a notificação do RH dispara o checklist de revogação que a Mobit executa no dia do desligamento: conta corporativa, VPN, sistemas de negócio, acesso físico e equipamentos. Ferramentas SaaS e tokens de API são revogados em até 24 horas. Todo o processo é documentado com log de revogação para conformidade com a LGPD. A Mobit também realiza auditoria periódica de contas ativas para identificar acessos residuais de colaboradores que saíram sem offboarding formal.
+55 11 3500-4088
Deixe um comentário