Ex-funcionário com acesso ativo: perfis, permissões e 2FA na fábrica

Sexta, 17h, fábrica de embalagens plásticas. O supervisor de produção do turno B é desligado. RH faz o processo, portaria recolhe o crachá, T.I. recebe um e-mail para “desativar os acessos”. O e-mail chega às 17h40 numa sexta. O analista já foi embora.

Terça, 10h, o almoxarifado recebe uma requisição de estoque aprovada pelo login do supervisor desligado. Trinta rolos de filme. Ninguém sabe quem aprovou. O login dele continuava ativo, e a senha, como a de metade dos supervisores, estava num post-it colado no monitor da sala de produção. Qualquer pessoa do turno poderia ter feito.

O T.I. desativa o login na terça à tarde. Mas ninguém consegue responder à pergunta do gerente: o que mais foi feito com aquele login entre sexta e terça? O sistema não guarda. E o mesmo login era compartilhado por três pessoas do turno “porque só tinha uma licença”.

O que isso custa de verdade

Trinta rolos de filme é o custo visível, e talvez seja só isso. O custo escondido é não saber. Num cenário ilustrativo, uma fábrica com 150 usuários de sistema tem uma parcela de logins compartilhados, outra de ex-funcionários ainda ativos e uma terceira de pessoas com permissão de gerente porque “precisava aprovar uma vez e ninguém tirou”. Nenhuma dessas situações aparece até alguma coisa dar errado.

Quando dá errado, o custo é a investigação sem resposta. Se uma alçada foi burlada, uma O.S. foi apagada ou um documento foi alterado, e o login era compartilhado, não há a quem perguntar. A auditoria externa vê isso como ausência de controle, não como incidente isolado.

E o custo de conformidade: a lei de proteção de dados exige saber quem acessou o quê. Login compartilhado torna isso impossível por definição.

Por que acontece

O desligamento é um processo do RH, o acesso é do T.I., e o crachá é da portaria. Três áreas, três listas, três momentos. O e-mail de sexta à tarde é o elo, e ele quebra.

As permissões são dadas por urgência e nunca revisadas. Alguém precisa aprovar hoje, recebe perfil de gerente, e o perfil fica. Não existe perfil por função: cada pessoa tem um conjunto de permissões montado à mão. Licença é cara, então login é compartilhado. E senha no post-it é o resultado de exigir senha complexa sem oferecer um jeito prático de entrar no chão de fábrica.

O que fazer a partir de segunda-feira

1. Liste todos os logins ativos e cruze com a folha de pessoal. Quem não está na folha, desativa hoje.
2. Um login por pessoa. Sem exceção. Se falta licença, resolva a licença, não compartilhe o acesso.
3. Defina perfis por função, não por pessoa. Supervisor de produção tem este conjunto de permissões. Planejador tem aquele. Quem muda de função muda de perfil.
4. Desligamento com checklist único, disparado pelo RH no momento em que decide: acesso, crachá, e-mail, chaves. Antes de a pessoa sair da sala.
5. Revise permissões a cada trimestre. Quem tem perfil de gerente sem ser gerente perde. Quem não entrou em 60 dias perde.
6. Segundo fator para quem aprova. Quem libera compra, altera alçada ou aprova requisição precisa de mais que uma senha.

Como fica no ArkhiX

Em Acessos & Perfis, quem entra, no quê e até onde é definido por perfil, e o perfil é ligado ao cargo do RH. A pessoa nasce no cadastro uma vez; o desligamento no RH desativa o acesso ao sistema, o crachá na Portaria e o acesso físico no mesmo ato. O acesso físico segue o perfil: sem perfil ativo, a catraca não abre e o login não entra. Não depende de e-mail de sexta à tarde.

O 2FA é exigido por perfil: quem aprova, altera alçada ou mexe em cadastro-raiz confirma a identidade com segundo fator. A sessão única impede que o mesmo login esteja ativo em dois lugares ao mesmo tempo, o que acaba com o compartilhamento na prática. No chão de fábrica, o crachá no terminal identifica a pessoa sem post-it. Mudar Sentinela ou alçada pede confirmação de identidade.

Todo acesso vira registro: quem entrou, de onde, o que fez. A pergunta “o que foi feito com aquele login entre sexta e terça?” tem resposta na trilha de auditoria, com retenção de 5 anos. A contratada entra com perfil próprio, com escopo restrito e validade ligada à documentação, e o auditor externo vê o que precisa pelo Portal de Auditoria, sem receber login de gerente.

Checklist

• Todos os logins ativos correspondem a pessoas na folha ou contratadas em dia
• Não existe login compartilhado na fábrica
• As permissões são definidas por perfil de função, não por pessoa
• O desligamento desativa acesso, crachá e sistema no mesmo dia
• Quem aprova compra ou requisição usa segundo fator
• Consigo responder “o que este usuário fez na semana passada?” em minutos

Se o post-it com a senha do supervisor ainda está colado num monitor da sua fábrica, vale ver como perfis, desligamento e trilha ficam com os seus usuários e os seus cargos.