Quem tem acesso a quê? O inventário de acessos que ninguém é dono

Um funcionário sai da empresa numa sexta-feira. O RH fecha a rescisão, a TI desativa o e-mail, e todos consideram o assunto encerrado. Três meses depois, alguém descobre que a conta dele no sistema de cobrança, na pasta compartilhada do financeiro e na ferramenta de anúncios continua ativa.

Ninguém errou de má-fé. O que faltava era uma lista que dissesse onde aquela pessoa tinha acesso e quem era responsável por conferir cada item.

Este artigo trata desse problema de gestão: o inventário de acessos e a pergunta de quem é dono dele.

Por que o acesso esquecido é um risco real

Conta ativa de quem já saiu tem três problemas.

Risco de segurança. A conta continua com a senha antiga, e essa senha pode estar reutilizada em outros serviços. Ela também deixa de ser vigiada, porque ninguém mais a usa e ninguém repara em um login estranho.

Risco de dados pessoais. A LGPD (Lei 13.709/2018), no artigo 46, determina que os agentes de tratamento adotem medidas de segurança, técnicas e administrativas, aptas a proteger os dados pessoais de acessos não autorizados. Um ex-colaborador com acesso à base de clientes é um acesso não autorizado que a empresa não consegue justificar numa fiscalização ou num incidente.

Risco de decisão. Sem lista, o dono da empresa não consegue responder perguntas simples. Quantas pessoas veem o cadastro de clientes? Quem pode alterar a conta bancária de pagamento? Quem tem acesso ao domínio da empresa? Se a resposta depende de perguntar a cinco pessoas, a empresa não controla esse risco.

O que a referência pública recomenda

O CIS Controls v8, publicado pelo Center for Internet Security, é uma das referências mais usadas para organizar segurança em empresas que ainda não têm um programa formal. Duas salvaguardas tratam diretamente deste tema:

1. 6.2, Estabelecer um processo de revogação de acesso. O processo deve rodar quando alguém é desligado ou muda de função, e desativar a conta em vez de apagá-la, para preservar o histórico.
2. 5.3, Desativar contas inativas. O documento sugere desativar contas sem uso após 45 dias.

Nenhuma das duas exige ferramenta cara. Ambas exigem uma lista de contas e uma pessoa responsável por percorrê-la.

Por que o inventário quase nunca tem dono

O padrão se repete em empresas em crescimento. Cada sistema entrou na empresa por uma necessidade de uma área: o financeiro contratou o sistema de cobrança, o marketing assinou a ferramenta de anúncios, o comercial montou o CRM. Cada área criou as contas dos seus próprios usuários.

O resultado é que o acesso nasce descentralizado, e a revogação depende de cada área lembrar. O RH conhece a data de saída, mas não sabe em quais sistemas a pessoa tinha conta. A TI sabe do e-mail e dos sistemas que instalou, mas não dos que cada área contratou por conta própria. O gestor direto sabe do trabalho da pessoa, mas não pensa em contas.

Cada parte tem um pedaço da informação e nenhuma tem a responsabilidade pelo todo. Sem alguém com mandato para manter a lista completa, o inventário não existe, ou existe uma vez e envelhece.

Como montar um inventário que funcione

Comece pequeno. Uma planilha serve para a primeira versão. Ela precisa de cinco colunas:

1. Sistema. O nome, e o endereço de acesso.
2. Tipo de dado. Se guarda dados de clientes, dados financeiros, dados de funcionários ou apenas operação.
3. Dono do sistema. A pessoa que decide quem entra e quem sai.
4. Quem tem conta. A lista de usuários, ou o local onde ela pode ser extraída.
5. Última revisão. A data em que alguém conferiu a lista contra a folha de pessoal.

Depois, defina três regras.

Prazo de revogação. Defina um prazo máximo entre a data de saída e a desativação das contas. O mesmo dia é o objetivo. Registre quem confirma que foi feito.

Aviso do RH. O RH informa ao responsável pelo inventário toda saída e toda mudança de função, com a data. Sem esse aviso, a revogação depende de alguém lembrar.

Revisão em data fixa. A cada trimestre, o responsável compara a lista de contas de cada sistema com a lista atual de funcionários e prestadores. O que não bate é desativado ou justificado por escrito.

Prestadores e contas compartilhadas

Dois casos merecem atenção especial, porque escapam da lista de funcionários.

Prestadores e fornecedores. Agência, consultor, desenvolvedor freelancer e suporte terceirizado recebem acessos durante o projeto e raramente têm data de fim. Registre, para cada acesso de terceiro, o contrato ao qual ele pertence e a data prevista de término.

Contas compartilhadas. Um login único usado por várias pessoas impede saber quem fez o quê, e a saída de uma delas não invalida a senha. Quando a conta compartilhada for inevitável, troque a senha a cada saída de quem a conhecia e registre a troca.

O que o inventário muda na prática

Com a lista pronta, três coisas mudam.

Primeiro, o desligamento deixa de depender de memória. Existe um passo a passo: abrir a lista, percorrer os sistemas da pessoa, confirmar cada desativação.

Segundo, a empresa passa a responder às perguntas básicas com rapidez. Em caso de incidente, saber quem tinha acesso a quê reduz o tempo entre a descoberta e a contenção.

Terceiro, a decisão sobre novos sistemas melhora. Quando uma área quer contratar uma ferramenta nova, a pergunta “quem será o dono dela e onde ela entra na lista?” vira parte da aprovação.

Um exemplo de revisão trimestral

Imagine uma empresa com 40 funcionários e doze sistemas com login próprio. A pessoa responsável pelo inventário reserva duas horas no fim do trimestre.

Primeiro, ela pede ao RH a lista atual de funcionários e prestadores ativos. Depois, exporta a lista de usuários de cada sistema. Em seguida, compara as duas listas e separa o resultado em três grupos:

1. Contas de quem saiu. Desativar no mesmo dia e registrar a data na planilha.
2. Contas que ninguém reconhece. Perguntar ao dono do sistema. Se ninguém justificar em cinco dias úteis, desativar.
3. Contas com permissão acima da função. Reduzir a permissão ao que a pessoa usa no trabalho diário.

No fim, a responsável registra a data da revisão e o número de contas corrigidas. Esse número é o indicador mais útil do processo. Se ele cai de um trimestre para o outro, o aviso do RH e o passo a passo de desligamento estão funcionando. Se ele continua alto, o problema está na origem: o desligamento não está acionando a revogação.

Esse tipo de revisão não substitui outros controles, como autenticação em dois fatores ou login único. Ela cobre uma lacuna diferente: a de saber, em cada momento, quem tem acesso a quê e por quê. Os outros controles protegem a porta. O inventário diz quantas chaves existem e com quem estão.

Onde isso encontra a direção de tecnologia

O inventário em si é simples. O difícil é manter alguém com mandato para exigi-lo: cobrar o aviso do RH, percorrer a lista a cada trimestre e dizer não quando uma área contrata um sistema sem registrar o dono.

Em empresa sem departamento de TI, essa função costuma ficar sem dono. Uma direção de tecnologia, seja interna, seja contratada por etapas, assume essa responsabilidade e a liga às outras decisões de risco, prioridade e fornecedor.

Comece pelo teste mais barato: pegue os desligamentos dos últimos doze meses e confira, sistema por sistema, se as contas ainda existem. O resultado mostra se o processo atual funciona e define a prioridade do próximo passo.