Desligamento de funcionário: como remover todos os acessos
Desligar um funcionário sem deixar acessos abertos é uma tarefa de horas, não de semanas: bloqueie as contas no mesmo dia da saída, troque as senhas compartilhadas que a pessoa conhecia, revogue tokens e chaves, recolha os aparelhos de autenticação e confirme nos registros que nenhuma entrada aconteceu depois. O erro típico não é a má-fé do ex-colega: é a conta de e-mail desativada enquanto o usuário de VPN, a chave SSH e o acesso ao painel do fornecedor seguem ativos por meses. Fechar contas na saída de alguém é o núcleo da cyber hygiene que a ENISA descreve: conhecimento e hábitos para que pessoas e organizações identifiquem e mitiguem riscos digitais do dia a dia.
Este guia cobre a revogação técnica de acessos no desligamento, voluntário ou por justa causa, em organizações de médio porte. Não cobre disputas trabalhistas, política de devolução de equipamentos nem afastamentos temporários — nesses casos, o bloqueio parcial dos acessos mais sensíveis já é recomendável. Todos os prazos do checklist e da tabela adiante são exemplo próprio desta equipe editorial, calibrados para caber em um dia útil, e devem ser ajustados ao contrato e ao risco de cada organização.
O risco da conta ativa
Uma conta que sobrevive ao contrato de trabalho é um convite duplo: o ex-funcionário pode voltar por hábito ou por ressentimento, e a senha abandonada pode circular em listas de vazamento sem que ninguém responda pelo alerta. Ao orientar organizações sobre autenticação, a CISA é direta: senhas fortes usadas sozinhas já não bastam para manter contas e sistemas seguros, e o multifactor authentication (MFA), autenticação multifator em português, exige duas ou mais formas de verificar a identidade do usuário antes de liberar o acesso. No desligamento, a leitura é dupla: o MFA reduz o risco da conta herdada enquanto ela existir, mas não substitui a revogação — o segundo fator também precisa sair das mãos do ex-colaborador.
Contas de administrador pedem pressa maior: elas mudam permissões, apagam registros e criam usuários novos. Se a organização não souber listar quem tem privilégio administrativo em cada sistema, o desligamento é a deixa para levantar esse inventário — e o momento ideal para trocar credenciais de root e de emergência que o ex-funcionário poderia ter visto.
O acesso residual também atrapalha auditorias: quando alguém pergunta quem alterou uma permissão ou aprovou uma operação, responder que foi a conta de um funcionário que já saiu destrói a credibilidade do controle. Revogação é etapa formal da saída, com responsável nomeado, lista de sistemas verificada e evidência de execução guardada. Sem isso, cada acesso criado às pressas — o usuário do banco de dados, o webhook de pagamento, a hospedagem paga no cartão pessoal — depende da memória de quem conduziu o desligamento, e a memória falha justamente nos itens fora do processo padrão.
Checklist de revogação imediata
O procedimento abaixo é um exemplo próprio, pensado para ser concluído em até um dia útil por alguém de TI, mesmo sem time dedicado de segurança:
- Bloqueie o login central (e-mail e diretório) e encerre todas as sessões ativas, inclusive as de celular.
- Troque as senhas compartilhadas que a pessoa conhecia: cofre, roteador, painel de DNS, banco, servidor de arquivos.
- Revogue tokens, chaves SSH, chaves de API e certificados, e desvincule o aplicativo de autenticação do número dela.
- Remova o usuário das listas de acesso: VPN, grupos do diretório, repositórios, dashboards e portais de suporte de fornecedores.
- Recolha equipamentos, chip e chaves físicas; confira se o número pessoal não segue como fator de recuperação de contas críticas.
- Crie encaminhamento temporário de e-mail para o gestor e procure regras de encaminhamento ocultas criadas antes da saída.
- Registre data e hora de cada ação: essa trilha sustenta qualquer auditoria futura.
A tabela resume a mesma rotina por janela de tempo. Os prazos são sugestão inicial desta equipe editorial, não exigência legal:
| Momento | Ação obrigatória | Evidência a guardar |
|---|---|---|
| No ato do desligamento | Bloquear o login central e encerrar sessões ativas | Captura do log de autenticação |
| Até 24 horas | Trocar senhas compartilhadas e revogar tokens e chaves | Histórico do cofre de senhas |
| Até 72 horas | Varrer listas de acesso de VPN, diretório e fornecedores | Exportação de usuários ativos |
| Até 7 dias | Revisar encaminhamento de e-mail e contas de pagamento | Lista conferida e assinada pelo gestor |
Contas compartilhadas e serviços SaaS
Aqui mora o ponto cego mais caro. Contas compartilhadas anotadas em planilha, e-mail e caderno não aparecem em nenhum relatório de usuários ativos — ninguém as desliga porque ninguém as administra. No dia da saída, troque todas que a pessoa citou e faça uma varredura nas senhas que ela poderia conhecer por convivência: wi-fi da recepção, alarme, sistema de ponto, balcão de atendimento.
Serviços SaaS comprados com cartão pessoal seguem a mesma lógica: o acesso continua válido enquanto a assinatura estiver no nome do ex-funcionário. Nomeie um dono substituto para cada serviço, migre a cobrança para a organização, remova o método de pagamento antigo e reveja quem aparece como contato de emergência. Não esqueça as contas de redes sociais e do registrador de domínio: a senha pode ser do time de marketing, mas o e-mail de recuperação costuma ser o de quem saiu.
Se o acesso indevido acontecer
Se a varredura revelar que a conta foi usada depois do desligamento, pare de limpar e comece a investigar. Preserve os registros antes de qualquer coisa — eles mostram quem entrou, quando e de onde — avise o gestor e o responsável de TI, e siga o mesmo caminho de qualquer incidente de segurança, conforme o guia de registros de eventos. Evite acusar antes de concluir a leitura: um login pode ser cache de aplicativo, não ação humana.
Quando o episódio envolve dados pessoais, entra a obrigação adicional: pelo art. 48 da LGPD, incidente de segurança que gere risco ou dano relevante deve ser comunicado à ANPD e também aos titulares dos dados afetados. A própria ANPD detalha que a mera comunicação à agência não encerra o dever — havendo risco ou dano, os titulares precisam ser avisados de fato. Para organizações que operam sob o RGPD, os deveres da equipe seguem a mesma lógica de segurança e resposta.
Ação útil imediata: congele o acesso remanescente, exporte os logs do período, dimensione quais dados foram tocados e só depois decida sobre comunicação. Fazer essa leitura com calma evita tanto a subnotificação quanto o alarme desnecessário.
Se a sua organização quer fazer essa conferência sem sobrecarregar a TI, fale com a AtalaiaSec: um diagnóstico inicial mapeia contas órfãs, acessos herdados e lacunas de registro antes de qualquer proposta de serviço.
Revisão editorial: 29 de outubro de 2026, Equipe Editorial AtalaiaSec. Este artigo usa apenas as fontes oficiais citadas abaixo.