Desprovisionamento de Acessos: Exigências no Offboarding

Resumo

• O desprovisionamento de acessos é o processo técnico de revogar todas as permissões digitais de um colaborador no desligamento.
• O processo manual de offboarding não escala com o crescimento do SaaS: cada ferramenta tem seu próprio processo de revogação, e tokens de API, contas OAuth e service accounts raramente aparecem nos checklists.
• BACEN, LGPD, ISO 27001 e PCI DSS têm exigências específicas sobre desprovisionamento, e todas demandam evidência auditável.
• Os achados de auditoria mais comuns em offboarding são as falhas de processo: revogação executada sem evidência, SaaS fora do escopo e tokens de API esquecidos.
• A única forma de gerar evidências contínuas e completas de desprovisionamento é com automação, conectando o evento de desligamento do RH diretamente ao processo de revogação em todos os sistemas.

Um ex-colaborador foi desligado, o RH registrou a rescisão, recolheu o crachá e encerrou o contrato. Para a maioria das empresas, o processo termina aí. Para o BACEN, a LGPD, a ISO 27001 e o PCI DSS, ele mal começou.

O desprovisionamento de acessos, a revogação formal e documentada de todas as permissões digitais de um colaborador ou prestador, é uma das exigências regulatórias mais frequentemente auditadas e uma das mais negligenciadas. Este artigo explica o que cada norma exige, quais evidências precisam existir e como estruturar um processo que funcione continuamente.

O que é Desprovisionamento de Acessos

O desprovisionamento de acessos é o processo formal de remover ou revogar todas as permissões digitais de uma identidade, seja  ela de um colaborador, prestador ou conta de serviço, quando essa identidade deixa de ter necessidade operacional de acesso.

É um componente crítico do ciclo de vida de identidades (JML: Joiners, Movers, Leavers) e se aplica a três momentos distintos: desligamento de colaboradores, encerramento de contratos com prestadores e mudança de função interna que torna certos acessos desnecessários.

A diferença entre desprovisionamento e offboarding de RH

O offboarding de RH trata do encerramento do vínculo trabalhista: rescisão, homologação, devolução de equipamentos e acesso ao sistema de folha. É um processo bem estruturado na maioria das empresas e tem data e responsável definidos.

O desprovisionamento de acessos trata do encerramento das permissões digitais: desativação da conta de e-mail, revogação de acesso ao ERP, remoção de perfis em sistemas de pagamento, revogação de tokens de API e encerramento de sessões OAuth ativas. É um processo que, na maioria das empresas, depende de comunicação manual entre RH e TI e que raramente cobre todos os sistemas aos quais o colaborador tem acesso.

A diferença é simples: o RH pode encerrar o vínculo em um dia. O TI pode levar dias, semanas ou, nos casos mais críticos, nunca completar o processo em todos os sistemas. 

Em muitas organizações, o tempo médio para identificar e revogar completamente os acessos de um ex-colaborador pode se estender por semanas após o desligamento formal, expondo a empresa a riscos desnecessários durante esse período.

Por que o desligamento no sistema de RH não encerra os acessos digitais

Em ambientes com dezenas de SaaS em uso simultâneo, o Active Directory ou o sistema de diretório central raramente tem integração automática com todos eles. Desativar a conta no AD encerra o acesso aos sistemas que dependem de SSO, mas não necessariamente aos que têm credenciais próprias, tokens de API independentes ou sessões OAuth ativas que não expiram automaticamente.

Cada ferramenta de SaaS tem seu próprio processo de desprovisionamento: algumas requerem ação no console de administrador, outras precisam de chamado específico, outras ainda mantêm o usuário ativo até que o administrador da ferramenta seja notificado manualmente. Em um ambiente com 20 ou 30 SaaS em uso, o risco de algum acesso permanecer ativo após o desligamento é alto, especialmente se não houver processo automatizado.

Por que o Desprovisionamento Falha 

O desprovisionamento falha com mais frequência por problemas estruturais de processo do que por negligência. Três mecanismos concentram a maioria dos casos:

O processo manual não escala, o SaaS agrava o problema

Um checklist de offboarding manual funciona quando a empresa tem 20 colaboradores e 5 sistemas. Mas com 200 colaboradores e 40 SaaS, ele se torna um documento que ninguém consegue manter atualizado. Cada nova ferramenta adicionada ao stack precisa ser incluída manualmente no checklist.

A eficácia do processo de desprovisionamento depende diretamente da precisão do inventário de ferramentas em uso, e esse inventário muda constantemente. Isso gera lacunas: uma ferramenta adicionada no mês passado pode ainda não constar no checklist de offboarding, e um SaaS usado por um único departamento pode nunca ter chegado ao conhecimento do TI central. 

Cada uma dessas lacunas representa uma janela de acesso residual, ou seja, um período em que o ex-colaborador continua com acesso a sistemas mesmo após o desligamento.

Tokens de API, OAuth e contas de serviço: identidades que ninguém lembra de revogar

Além das contas de usuário convencionais, colaboradores frequentemente criam ou utilizam identidades digitais que não são rastreadas centralmente: tokens de API pessoais em plataformas de desenvolvimento, conexões OAuth que autorizam aplicativos de terceiros a acessar dados corporativos em nome do usuário, e contas de serviço criadas para integrações específicas.

Essas identidades raramente aparecem nos processos de offboarding porque não são visíveis no diretório central e não expiram automaticamente com o desligamento da conta principal. Um token de API criado por um desenvolvedor que saiu da empresa pode continuar ativo e funcional por meses ou anos após o desligamento, com acesso ao repositório, à infraestrutura ou aos dados que o desenvolvedor acessava.

Acesso residual

Acesso residual é qualquer permissão digital que permanece ativa após o desligamento de um colaborador ou encerramento de um contrato. É o resultado direto de desprovisionamento incompleto e representa um dos riscos de segurança e compliance mais frequentemente encontrados em auditorias do setor financeiro.

O problema do acesso residual é a impossibilidade de provar que ele não foi usado. Em uma auditoria de BACEN ou ISO 27001, a existência de uma conta ativa de ex-colaborador é um achado imediato, independentemente de qualquer evidência de uso malicioso. 

O que Cada Norma Exige do seu Processo de Offboarding

As quatro principais referências regulatórias para o mercado brasileiro têm exigências específicas sobre desprovisionamento e todas compartilham um requisito comum: a evidência de que o processo foi executado.

BACEN (CMN 4.893/2021 e CMN 5.274/2025): revogação documentada com data, hora e responsável

A Resolução CMN 4.893/2021 e sua atualização pela CMN 5.274/2025 exigem que as instituições financeiras autorizadas pelo BACEN mantenham processo documentado de revogação de acessos no desligamento de colaboradores e prestadores. O processo precisa cobrir todos os sistemas críticos e gerar registro com data e hora da revogação, sistemas afetados e responsável pela execução.

O que o BACEN verifica em visitas de supervisão é a evidência de que o processo funcionou para cada desligamento durante o período avaliado. Registros genéricos como “acesso revogado” sem especificação de sistemas e timestamps não atendem ao padrão exigido.

LGPD:  encerramento do acesso a dados pessoais e rastreabilidade

A Lei Geral de Proteção de Dados exige que o acesso a dados pessoais seja restrito a quem tem necessidade operacional documentada e base legal válida para o tratamento. Com o desligamento de um colaborador, a base legal para seu acesso a dados pessoais de clientes, funcionários ou parceiros cessa imediatamente.

Isso significa que qualquer acesso residual a sistemas que contêm dados pessoais após o desligamento representa uma potencial violação da LGPD, independentemente do ex-colaborador ter ou não acessado esses dados. A ANPD pode solicitar registros de tratamento e logs de acesso em prazos curtos, e a incapacidade de demonstrar que os acessos foram revogados no momento correto é tratada como falha de controle.

ISO 27001 (A.5.16 e A.5.18): ciclo de vida formal com evidência auditável

Os controles A.5.16 (Gestão de Identidades) e A.5.18 (Direitos de Acesso) da ISO 27001:2022 exigem que o encerramento de identidades siga um processo formal documentado, com evidência de execução. O controle A.5.16 cobre especificamente o offboarding como parte do ciclo de vida completo da identidade: criação, modificação e encerramento. O A.5.18 exige que os direitos de acesso sejam revogados no momento em que deixam de ser necessários, com registro de cada revogação.

Para a certificação ISO 27001, o auditor vai verificar se o processo existe na política e se existe evidência de que foi executado para desligamentos recentes. A ausência de registros de revogação para desligamentos ocorridos durante o período de certificação gera achados que podem comprometer a manutenção da certificação.

PCI DSS (Requisito 8.1.4): revogação imediata e desativação em até 90 dias

O PCI DSS (Payment Card Industry Data Security Standard) estabelece no Requisito 8.1.4 que contas inativas de usuários desvinculados devem ser removidas ou desativadas em até 90 dias. Para desligamentos, a expectativa é de revogação imediata de qualquer acesso ao ambiente de dados de cartão, como sistemas de pagamento, terminais, bases de dados de transações.

Para empresas que processam, transmitem ou armazenam dados de cartão, fintechs, adquirentes, gateways de pagamento, o PCI DSS exige também trilha de auditoria completa de todos os acessos ao ambiente de pagamento, incluindo o histórico de acesso de ex-colaboradores durante o período auditado. Contas de ex-colaboradores ativas em qualquer componente do ambiente PCI são achados críticos.

O que o Auditor Verifica 

Entender o que o auditor vai verificar é o ponto de partida para construir o processo correto. A diferença entre uma auditoria sem achados e uma com plano de ação obrigatório está, na maioria dos casos, na qualidade das evidências.

Evidências que precisam existir antes da visita 

• Lista de todos os desligamentos ocorridos no período com data de encerramento do vínculo.
• Para cada desligamento: registro de quais sistemas tiveram acesso revogado, com data e hora de cada revogação.
• Confirmação de que nenhuma conta do ex-colaborador permanece ativa em qualquer sistema,  incluindo SaaS e identidades não-humanas.
• Registro do responsável pela execução de cada revogação.
• Para prestadores: evidência de que o acesso foi revogado no encerramento do contrato.

Os achados mais comuns relacionados a offboarding em auditorias

Como Automatizar o Desprovisionamento de Forma Estruturada

A raiz da maioria dos problemas de desprovisionamento é um processo que foi desenhado para escalar a concessão de acessos, mas que depende de ação humana manual para a revogação. A solução é inverter essa lógica, automatizando os dois lados do ciclo de vida.

Conectar o evento de desligamento do RH ao processo de revogação de TI

O evento de desligamento no sistema de RH deve ser o gatilho automático para o início do processo de desprovisionamento em todos os sistemas. Isso significa integração direta entre o sistema de RH e a plataforma de gestão de identidade.

Quando a integração existe, o desligamento registrado no RH dispara automaticamente a revogação de acessos em todos os sistemas integrados, gera registro de cada revogação com timestamp e produz evidência auditável sem depender de ação manual de nenhum administrador.

Garantir cobertura de SaaS, APIs e identidades não-humanas

O processo de desprovisionamento automatizado precisa cobrir todos os SaaS, autorizados e não autorizados, e as identidades não-humanas vinculadas ao colaborador. Isso exige visibilidade de Shadow IT: a capacidade de identificar quais ferramentas SaaS estão em uso na organização, independentemente de estarem no inventário oficial.

Para tokens de API e conexões OAuth, o processo precisa incluir a identificação e revogação de todas as credenciais criadas pelo colaborador. Ferramentas como o GitHub, o Slack, o Jira e consoles de cloud pública frequentemente permitem que usuários criem tokens de acesso pessoais que persistem após a desativação da conta SSO.

Gerar evidência auditável automaticamente 

As evidências de desprovisionamento não podem ser construídas retroativamente. Um auditor que solicita o registro de revogação de uma conta desligada há três meses não aceita uma planilha preenchida na véspera da visita como evidência válida.

A única forma de garantir evidências auditáveis completas para o período avaliado é que cada revogação gere seu próprio registro automaticamente no momento em que acontece, com data, hora, sistema afetado e responsável. 

Como a Niuco Garante o Desprovisionamento Completo

A Niuco foi construída para resolver o problema que torna o desprovisionamento manual ineficaz em ambientes com múltiplos sistemas e SaaS: a falta de integração entre o evento de desligamento e a execução da revogação em todos os sistemas, com geração automática de evidência.

Revogação automatizada em todos os sistemas no momento do desligamento

A Niuco integra com sistemas de RH para receber o evento de desligamento e disparar automaticamente a revogação de acessos em todos os sistemas integrados, sem depender de notificação manual ou checklist executado por humanos e eliminando a janela de exposição que caracteriza o acesso residual.

Visibilidade de Shadow IT incluindo SaaS não autorizados

A Niuco oferece visibilidade completa de quais SaaS estão em uso na organização, incluindo ferramentas não autorizadas ou não gerenciadas centralmente. Isso garante que o processo de desprovisionamento cubra as ferramentas que os colaboradores usam sem registro formal e que frequentemente ficam de fora dos checklists manuais de offboarding.

Trilha de auditoria exportável com data, hora e sistemas afetados

Cada revogação executada pela Niuco gera automaticamente um registro com data e hora, sistema afetado, tipo de acesso revogado e confirmação de execução. Esses registros são centralizados e exportáveis no formato que auditores do BACEN, certificadores de ISO 27001 e avaliadores de PCI DSS solicitam, sem necessidade de levantamento manual de logs dispersos em múltiplos sistemas.

Faça como Ebanx, Conta Azul, Mercado Bitcoin e Gupy, e confie na Niuco. Clique aqui e solicite uma demo.

FAQ: Perguntas Frequentes sobre Desprovisionamento de Acessos

O que é desprovisionamento de acessos?

Desprovisionamento de acessos é o processo formal de remover ou revogar todas as permissões digitais de uma identidade, seja ela de colaborador, prestador ou conta de serviço,  quando essa identidade deixa de ter necessidade operacional de acesso. Faz parte do ciclo de vida de identidades e é especialmente crítico no momento do desligamento de colaboradores ou encerramento de contratos com terceiros.

Qual a diferença entre desprovisionamento e offboarding?

Offboarding é o processo de encerramento do vínculo de um colaborador com a empresa. Inclui rescisão, homologação, devolução de equipamentos e encerramento de benefícios. Desprovisionamento de acessos é um componente específico do offboarding que trata exclusivamente das permissões digitais. O offboarding de RH pode estar concluído enquanto o desprovisionamento de TI ainda não foi executado.

O que o BACEN exige no desligamento de um colaborador?

A Resolução CMN 4.893/2021 e a CMN 5.274/2025 exigem que as instituições financeiras mantenham processo documentado de revogação de acessos no desligamento de colaboradores e prestadores, com registro de data, hora, sistemas afetados e responsável pela execução. O processo precisa cobrir todos os sistemas com acesso a dados críticos e as evidências precisam estar disponíveis para visitas de supervisão do BACEN.

Como a LGPD se aplica ao desprovisionamento de acessos?

A LGPD exige que o acesso a dados pessoais seja restrito a quem tem base legal e necessidade operacional para o tratamento. Com o desligamento, a base legal do colaborador cessa imediatamente. Qualquer acesso residual a sistemas que contêm dados pessoais após o desligamento representa uma potencial violação da LGPD. A ANPD pode solicitar registros de tratamento e logs de acesso com prazos curtos.

O que é acesso residual e por que é um risco regulatório?

Acesso residual é qualquer permissão digital que permanece ativa após o desligamento de um colaborador ou encerramento de um contrato. É o resultado direto de desprovisionamento incompleto. Do ponto de vista regulatório, a existência de acesso residual é um achado de auditoria independentemente de uso malicioso, BACEN, ISO 27001 e PCI DSS tratam contas ativas de ex-colaboradores como falha de controle.

Como automatizar o desprovisionamento em ambientes com múltiplos SaaS?

A automação do desprovisionamento em ambientes multi-SaaS requer uma plataforma de gestão de identidades integrada com o sistema de RH para receber o evento de desligamento automaticamente, e com todos os SaaS em uso para executar a revogação em cada um.  Para SaaS sem integração direta, a plataforma precisa identificar a existência do acesso (via Shadow IT) e notificar o administrador com evidência de pendência. Tokens de API e conexões OAuth precisam ser revogados separadamente da desativação da conta principal.

Quanto tempo depois do desligamento os acessos precisam ser revogados?

A expectativa regulatória é de revogação imediata no momento do desligamento, não existe prazo de tolerância nas normas brasileiras para acesso residual. O PCI DSS estabelece prazo máximo de 90 dias para desativação de contas inativas, mas isso se aplica a contas sem uso, não a desligamentos, onde a expectativa é imediata. Para o BACEN, qualquer acesso ativo de ex-colaborador identificado em visita de supervisão gera achado, independentemente do tempo decorrido.