O Checklist Completo de Integração e Desligamento de TI para PMEs

As transições de funcionários estão entre as fontes mais comuns de incidentes de segurança de TI e perda de produtividade nas pequenas e médias empresas. Quando um novo funcionário começa sem uma estação de trabalho corretamente configurada e o acesso adequado provisionado, ele passa seus primeiros dias esperando — uma experiência ruim que custa dinheiro real. Quando um funcionário sai sem um desligamento de TI completo, ele pode reter acesso a e-mail, aplicações em nuvem, unidades compartilhadas e sistemas internos por semanas ou meses. Ambos os cenários são evitáveis com um processo documentado e repetível.

Por que a Integração e o Desligamento de TI são Eventos de Segurança

A maioria das empresas pensa na integração como um processo de RH e no desligamento como uma tarefa administrativa. A TI os vê de forma diferente. Cada nova conta criada é uma superfície de ataque — uma credencial que poderia ser alvo de phishing, uma caixa de correio que poderia ser comprometida, um endpoint que precisa ser protegido e monitorado. Cada saída é um evento potencial de exfiltração de dados e uma corrida de revogação de acesso.

Segundo o Relatório de Investigações de Violações de Dados da Verizon, o abuso de credenciais é a principal causa de violações. Uma parte significativa dessas credenciais pertence a ex-funcionários cujas contas nunca foram corretamente desprovisionadas. A solução não é tecnologia sofisticada — é um checklist documentado executado de forma consistente em cada saída.

Checklist de Integração de TI

Inicie este processo pelo menos 3–5 dias úteis antes do primeiro dia do funcionário. O provisionamento no mesmo dia gera atrasos, erros e uma má primeira impressão.

• Hardware: peça ou atribua uma estação de trabalho (laptop ou desktop), monitor, teclado, mouse, fones de ouvido e quaisquer periféricos específicos da função. Confirme a data de entrega em relação à data de início.
• Configuração da estação de trabalho: inscreva o dispositivo no seu MDM (Microsoft Intune, Jamf ou equivalente), aplique políticas de segurança de linha de base, instale o software necessário, configure a criptografia de disco (BitLocker ou FileVault) e ingresse no domínio ou Azure AD.
• Conta do Microsoft 365: crie a conta do M365, atribua o nível de licença apropriado, configure a caixa de correio, adicione aos grupos de distribuição e caixas de correio compartilhadas relevantes, e configure a assinatura de e-mail.
• Autenticação multifator: inscreva o usuário no MFA antes do primeiro login. Não permita o primeiro login sem MFA configurado — esta é a janela de maior risco para o comprometimento da conta.
• Acesso a aplicações: provisione acesso a todas as aplicações empresariais necessárias (CRM, ERP, gerenciamento de projetos, contabilidade, etc.) com o princípio do menor privilégio.
• Acesso à rede: crie credenciais de VPN se aplicável, configure o acesso Wi-Fi e atribua o acesso ao segmento de rede apropriado com base na função.
• Gerenciador de senhas: adicione o usuário ao gerenciador de senhas da empresa e compartilhe apenas os cofres relevantes para sua função.
• Treinamento de conscientização de segurança: inscreva o novo funcionário na sua plataforma de treinamento de conscientização de segurança e exija a conclusão dentro dos primeiros 30 dias.
• Orientação de TI: guie o funcionário pelas políticas de TI, uso aceitável, como enviar um ticket de helpdesk e o que fazer se suspeitar de um e-mail de phishing.
• Rastreamento de ativos: registre o hardware atribuído (números de série, etiquetas de ativos) no seu sistema de gerenciamento de ativos de TI, associado ao funcionário.
• Verificação de backup: confirme que a nova estação de trabalho está inscrita na sua solução de backup de endpoints.

Checklist de Desligamento de TI

As tarefas de desligamento devem ser concluídas no último dia do funcionário — idealmente dentro de uma hora após sua saída. Para demissões involuntárias, a revogação de acesso deve ocorrer simultaneamente com a conversa ou antes dela.

• Desabilite a conta do M365 imediatamente: não exclua — desabilite. Desabilitar preserva a caixa de correio e os dados enquanto impede o login. A exclusão é irreversível e deve aguardar 30 dias.
• Revogue os dispositivos MFA: remova todos os métodos MFA registrados (aplicativos de autenticação, números de telefone) da conta para evitar o contorno da conta desabilitada.
• Revogue todas as sessões ativas: use o centro de administração do M365 para desconectar todas as sessões ativas e revogar os tokens de atualização.
• Converta a caixa de correio em caixa de correio compartilhada: atribua acesso ao gerente ou a um delegado para que e-mails críticos para o negócio não sejam perdidos. Remova a licença do M365 para interromper o faturamento.
• Transfira os dados do OneDrive: conceda ao gerente acesso ao OneDrive do funcionário que está saindo por 30 dias para recuperar quaisquer arquivos empresariais antes que a conta seja excluída.
• Revogue o acesso a aplicações: remova sistematicamente o usuário de cada aplicação empresarial — CRM, ERP, contabilidade, gerenciamento de projetos, armazenamento em nuvem e qualquer ferramenta SaaS.
• Remova do gerenciador de senhas: remova o usuário do gerenciador de senhas da empresa e rotacione quaisquer credenciais compartilhadas às quais ele tinha acesso.
• Revogue o acesso VPN e de rede: desabilite as credenciais de VPN, remova os certificados Wi-Fi e revogue qualquer acesso remoto.
• Recupere o hardware: colete o laptop atribuído, o telefone, os cartões de acesso e qualquer outro equipamento da empresa. Limpe e reinstale o dispositivo antes de reatribuí-lo.
• Verifique a exfiltração de dados: revise o log de auditoria do M365 em busca de downloads de arquivos incomuns, regras de encaminhamento de e-mail ou grandes transferências de dados nos 30 dias anteriores à saída.
• Atualize o rastreamento de ativos: marque o hardware como devolvido e disponível para reatribuição no seu sistema de gerenciamento de ativos.
• Agende a exclusão da conta: defina um lembrete de calendário para excluir permanentemente a conta do M365 e os dados associados após 30 dias.

O Problema das Senhas Compartilhadas

Um dos riscos de desligamento mais negligenciados são as credenciais compartilhadas. Muitas PMEs têm uma cultura de compartilhamento de senhas por conveniência — uma conta de administrador compartilhada, um login de redes sociais compartilhado, um portal de fornecedor compartilhado. Quando um funcionário com acesso a credenciais compartilhadas sai, cada uma dessas senhas precisa ser rotacionada.

A solução é um gerenciador de senhas empresarial com controle de acesso baseado em cofres. A cada funcionário é concedido acesso apenas aos cofres relevantes para sua função. Quando eles saem, você os remove desses cofres e rotaciona as credenciais em qualquer cofre ao qual eles tinham acesso. Isso transforma um processo manual e propenso a erros em um sistemático e auditável.

Automatizando o Processo com um Manual de Procedimentos de TI

Os programas de integração e desligamento mais eficazes são documentados como manuais de procedimentos — procedimentos passo a passo que qualquer membro da equipe de TI pode executar de forma consistente, independentemente de quem esteja disponível naquele dia. Um bom manual inclui os itens do checklist acima, os sistemas usados para concluir cada etapa, a pessoa responsável e um campo de aprovação para fins de auditoria.