Deixa eu fazer uma pergunta desconfortável.
Uma pessoa saiu da sua empresa há seis meses. Você tem certeza — certeza mesmo — de que ela não consegue mais acessar nenhum sistema? O e-mail, o ERP, aquela ferramenta de nuvem, o painel financeiro, o repositório de código?
Se você hesitou, você não está sozinho. Essa é uma das perguntas que mais faz gestor de TI suar frio — porque quase ninguém consegue responder com confiança.
E o motivo é simples: acesso é fácil de dar e difícil de acompanhar.
Por que o controle de acesso vira um nó
Dar acesso é rápido. Alguém entra na empresa, precisa trabalhar, e vai recebendo permissões: e-mail, sistemas, pastas, ferramentas. Cada uma concedida por uma pessoa diferente, em um momento diferente, muitas vezes “na correria”.
O problema é o outro lado. Quando a pessoa muda de área, os acessos antigos raramente são revogados — ela só acumula os novos. Quando sai da empresa, o desligamento formal acontece, mas cada sistema tem seu próprio cadastro, e é muito comum sobrar acesso vivo em algum canto que ninguém lembrou de fechar.
Multiplique isso por dezenas de sistemas e centenas de pessoas ao longo dos anos. O resultado é um emaranhado onde ninguém tem a visão completa de quem pode o quê.
O problema não é ter acesso. É não conseguir enxergar.
Repare que a dificuldade não é técnica — cada sistema, individualmente, tem sua tela de usuários. O problema é que essa informação está espalhada.
Pra responder “o que a Maria acessa?”, você teria que abrir o ERP, depois o e-mail, depois a nuvem, depois o financeiro, depois cada ferramenta — um por um — e cruzar tudo na cabeça (ou numa planilha). Ninguém faz isso na prática. Então a pergunta fica sem resposta, e o risco fica invisível.
E é um risco real:
Ex-funcionários com acesso ativo. O clássico. Alguém saiu, mas o login continua funcionando em um sistema esquecido. Isso é uma porta aberta com o nome de alguém que não deveria mais entrar.
Acesso acumulado (privilégio excessivo). A pessoa que passou por três áreas e carrega as permissões das três. Se a conta dela for comprometida, o estrago é proporcional a tudo que ela pode tocar — muito além do que o trabalho atual exige.
O “ninguém sabe quem aprovou”. Acessos concedidos sem registro de quem pediu, quem autorizou, por quê. Quando a auditoria pergunta, não há resposta.
Por que isso importa mais do que parece
Controle de acesso costuma ser tratado como assunto de segurança — e é. Mas ele também é a base de três coisas que todo gestor de TI precisa entregar:
- Segurança: a maioria dos incidentes graves envolve um acesso que não deveria existir. Fechar as portas certas é a defesa mais barata que existe.
- Compliance: toda auditoria (LGPD, ISO, financeira) pergunta “quem acessa os dados sensíveis e como isso é controlado?”. Sem uma resposta clara, você não passa.
- Operação: saber quem acessa o quê é o que permite conceder e revogar com rapidez, sem quebrar o trabalho de ninguém.
O caminho: consolidar a visão
A solução não é trocar todos os sistemas nem endurecer tudo a ponto de travar a operação. É juntar a informação que já existe — hoje espalhada — em um lugar onde você consiga ver, de forma cruzada:
- Quem são as pessoas (e quais ainda são ativas na empresa).
- O que cada uma acessa, em todos os sistemas, no mesmo painel.
- As inconsistências que saltam quando você cruza isso: o ex-funcionário com login vivo, a pessoa com acesso que não condiz com a função, a conta sem dono.
O poder está no cruzamento. Um sistema isolado te diz “essas são as pessoas cadastradas aqui”. O cruzamento te diz “essa pessoa saiu há seis meses e ainda tem acesso a estes quatro sistemas” — e é essa frase que fecha uma brecha antes que ela vire incidente.
Volte à pergunta do começo
“Quem tem acesso a quê nos meus sistemas?”
Se hoje a resposta exige abrir dez telas diferentes e cruzar na mão, você tem um ponto cego — e ele não vai se resolver sozinho, porque a cada mês entram acessos novos e saem pessoas.
O primeiro passo é o mesmo de sempre na governança: parar de depender da memória e passar a enxergar — de forma consolidada, cruzada e atualizada.
Foi por isso que criamos o Cobalto Manager — uma plataforma que consolida os acessos de todos os seus sistemas num só painel, cruzando pessoas e permissões para revelar exatamente quem pode o quê (e o que não deveria mais existir).
Conheça o Cobalto ManagerEste texto faz parte do “Diário de um Gerente de TI”, uma série sobre os problemas reais de governança, custos e infraestrutura que a TI enfrenta na prática.