Numa empresa de engenharia que a Trinity TI assumiu no Rio, arquivos de projeto seguiram sendo abertos e movidos de lugar por dois meses depois de um desligamento. Ninguém invadiu nada: a conta do ex-funcionário nunca foi desativada e a VPN aceitava a mesma senha. Não é exceção. Pesquisa publicada em outubro de 2026 pela Sagiss, com 1.000 profissionais americanos que deixaram um emprego com uso de computador nos últimos cinco anos, mediu que 79% ainda tinham pelo menos um acesso de trabalho funcionando depois do último dia — e 44% tinham três ou mais. Nas auditorias de entrada que fazemos em empresas com mais de 50 computadores, encontramos rastro de atividade de ex-colaborador em 4 de cada 10 ambientes. A PME é o alvo mais fácil porque nela o desligamento é decidido numa conversa e comunicado à TI por recado.

O desligamento é sempre mais rápido que a revogação de acesso

O RH tem processo: aviso, homologação, rescisão, prazo legal. A TI, na maioria das PMEs, tem um WhatsApp. O resultado é uma janela — de horas ou de anos — em que a pessoa já não trabalha ali e as credenciais continuam válidas. Na mesma pesquisa, 30% disseram que o acesso durou mais de um mês; e 62% achavam que tudo havia sido cortado no último dia, dos quais 78% descobriram depois que alguma coisa ainda abria. A amostra é americana, autodeclarada e o estudo saiu de um fornecedor de serviços gerenciados — a ressalva é justa. Mas o mecanismo é igual em qualquer país: ninguém dispara um alerta quando um acesso continua aberto. O monitoramento avisa quando o acesso é negado, nunca quando é concedido demais.

O que normalmente fica aberto depois que a pessoa sai

O erro clássico é tratar offboarding como “desativar o usuário do Windows”. A conta de rede é só a primeira camada. O que sobra ativo é:

• VPN e acesso remoto com credencial local, fora do Active Directory — não morre quando o usuário de domínio é desativado.
• Sessões já autenticadas no Microsoft 365, no Google Workspace e no celular: desabilitar a conta não encerra o token ativo.
• Contas de SaaS compradas pela área, não pela TI — CRM, ferramenta de IA, emissor de nota.
• Senhas compartilhadas do Wi-Fi, do roteador e do painel da operadora, que a pessoa sabe de cabeça.
• Acessos de terceiros — o técnico que saiu do fornecedor e nunca foi removido daqui.

Sem inventário de sistemas, o offboarding só fecha o que a TI conhece: a assinatura que o gerente comercial pagou no cartão da empresa fica acessível indefinidamente, porque não há nem onde desligar. É trocar a fechadura da porta da frente e deixar a chave da porta de serviço com quem foi embora.

O que as normas e a LGPD esperam

Isso não é zelo opcional, é controle previsto. A ISO/IEC 27002:2022 separa o tema em dois: o controle 5.11 cobre a devolução de ativos (notebook, celular, token) e o 6.5, as responsabilidades que valem depois do fim do vínculo — confidencialidade, principalmente. Os CIS Controls v8 trazem a medida mais objetiva, já no grupo de implementação 1, o dos ambientes mais simples: o Safeguard 5.3 manda excluir ou desabilitar contas inativas por 45 dias, e depende do 5.1, que é manter inventário de contas.

Do lado legal, a LGPD cobra no artigo 46 medidas capazes de proteger dados pessoais de acesso não autorizado — e conta de ex-funcionário ativa é exatamente isso. Se virar incidente, o artigo 48 obriga a comunicar ANPD e titulares — e a ANPD virou agência reguladora, com poder de sanção, pela Lei 15.352/2026.

Quando o acesso esquecido vira processo

Há jurisprudência brasileira. Em decisão da 5ª Vara Cível de São Paulo noticiada em 2024, uma prestadora de TI foi condenada a pagar R$ 98.655 a uma empresa cliente depois que um ex-funcionário dela atacou o ambiente do cliente — e-mails falsos de demissão, impressoras com defeito e invasão e exclusão do servidor, rastreados por perícia judicial. O detalhe que interessa ao dono de PME: a juíza rejeitou o argumento de que a culpa era do cliente por ter deixado o acesso ativo, e entendeu que a cláusula de confidencialidade valia após o fim do contrato. Acesso aberto depois do desligamento não é só risco técnico — é litígio, com perícia e com valor.

Como proteger a sua empresa

1. Gestor avisa RH e TI no mesmo momento

O gatilho não pode ser o acaso. Quem decide o desligamento comunica RH e TI simultaneamente, e a TI entra no círculo de confidencialidade como qualquer outro envolvido. Saber do desligamento depois dele não é discrição, é falha de desenho.

2. Corte o acesso em horas, e revogue as sessões

Servidor, Active Directory, Microsoft 365, VPN e sistemas sem login único devem ser revogados em poucas horas — nos casos de demissão, antes ou junto da comunicação. E desabilitar o usuário não encerra o que já está autenticado: force a revogação de sessões e tokens, remova o dispositivo do gerenciamento e troque as senhas compartilhadas que a pessoa conhecia.

3. Trabalhe com inventário de contas e de equipamentos

Mantenha lista viva de contas por sistema (inclusive SaaS comprado fora da TI) e de ativos por pessoa. A devolução é conferida contra o inventário, e o RH pode condicionar o acerto final à entrega.

4. Audite a cada dois meses: contas ativas x folha

A auditoria periódica pega o que o processo deixou passar. Compare as contas ativas com a relação atual de funcionários — e inclua quem mudou de cargo, porque essa pessoa ganha a permissão nova sem perder a antiga.

5. Quem volta recebe credencial nova

Recontratado não reativa a conta antiga. Recebe credencial nova, com permissão revisada para a função atual. Reativar a conta de 2019 é herdar todos os acessos acumulados nela.

O custo não está no offboarding

Executar esse checklist leva algumas horas por desligamento. Caro é quando ele falha: revisão emergencial do ambiente, perícia, dado vazado, cliente avisado, ANPD comunicada. E quase nunca o problema é competência técnica — é que ninguém definiu quem avisa, em quanto tempo e quem confere. Offboarding é processo antes de ser ferramenta, e por isso cabe num contrato de TI gerenciada: o fornecedor vira o dono do checklist, com prazo e registro.

🔐 Quantas contas ativas existem hoje na sua empresa a mais do que funcionários na folha? Fale com os especialistas da Trinity TI e peça uma auditoria de contas e acessos.