Revogar os acessos de um colaborador exige mais do que desabilitar sua conta principal. RH, TI e segurança precisam coordenar o início do desligamento, encerrar sessões, conferir aplicações e registrar o que foi executado. Este checklist organiza essa sequência sem presumir que todas as aplicações estejam integradas ao diretório.
O foco é o desligamento de colaboradores. O encerramento de contratos com fornecedores tem um contexto próprio, abordado em Riscos no offboarding de terceiros.
Checklist em ordem de execução
As etapas abaixo indicam uma sequência de conferência. Na execução, as equipes podem atuar em paralelo conforme o risco e o momento acordado com o RH, sem adiar bloqueios urgentes. O checklist só termina quando as aplicações inventariadas foram verificadas.
Acionar o desligamento pelo RH no mesmo dia. Responsável: RH. Abra a solicitação no mesmo dia da efetivação, identificando o colaborador, os vínculos, o gestor e o momento autorizado para bloquear os acessos. Avise TI e segurança pelo canal definido pela organização.
Desabilitar o diretório principal. Responsável: TI, equipe de identidades. Bloqueie a conta na fonte principal de autenticação e confira os diretórios conectados. Verifique o resultado; o bloqueio central não comprova sozinho a revogação em sistemas que mantêm contas locais.
Revogar sessões ativas e tokens. Responsável: TI, com apoio de segurança. Encerre sessões, revogue tokens de acesso e de renovação e remova credenciais de aplicação pessoais quando aplicável. Confira o comportamento de cada sistema, pois uma sessão já aberta pode continuar válida após o bloqueio da conta.
Remover acesso ao e-mail e ao Teams. Responsável: TI, equipe de colaboração. Bloqueie o acesso às ferramentas de colaboração, incluindo os dispositivos e clientes conectados. Trate delegações e encaminhamentos conforme a política de retenção e a necessidade aprovada pelo gestor, sem compartilhar a senha do colaborador.
Revisar aplicações críticas e de nuvem. Responsável: donos das aplicações, coordenados pela TI. Percorra o inventário e confirme o bloqueio de contas locais, SaaS, consoles de nuvem e acessos privilegiados. Inclua sistemas não integrados ao diretório e confira o resultado com o responsável de cada aplicação.
Revogar acessos a VPN e a repositórios. Responsável: TI, equipes de rede e desenvolvimento. Remova permissões de acesso remoto, chaves SSH, tokens pessoais e acesso a repositórios de código ou arquivos. Verifique também credenciais que permitam conexão sem passar pelo diretório principal.
Trocar credenciais de contas compartilhadas. Responsável: donos das contas, com apoio de TI e segurança. Identifique credenciais conhecidas pelo colaborador e faça a rotação conforme o procedimento de cada serviço. Antes da troca, confira dependências de automações para não interromper rotinas; transfira a responsabilidade e valide o funcionamento após a mudança.
Remover o colaborador de grupos e perfis. Responsável: TI, com validação dos donos das aplicações. Retire associações que concedem permissões, funções administrativas e perfis locais. Verifique delegações e vínculos que poderiam restabelecer acesso em uma sincronização ou reativação indevida.
Registrar evidência da revogação. Responsável: TI e donos das aplicações; segurança verifica a completude. Registre sistema, ação executada, responsável, data, horário e resultado no chamado. Liste pendências e seu responsável; não encerre o processo como completo enquanto houver acesso sem verificação. A evidência deve mostrar a execução, não apenas a solicitação.
Medir o tempo até a revogação completa. Responsável: segurança, com dados de RH e TI. Compare o momento efetivo do desligamento com a última revogação confirmada. Analise atrasos e aplicações que exigem ação manual.
Erros comuns que deixam acessos residuais
Contas de serviço vinculadas ao colaborador. Identifique a finalidade e transfira a responsabilidade da automação antes de alterar credenciais ou excluir a conta. Uma identidade não humana não deve ficar sem dono após a saída de uma pessoa.
Aplicações fora do diretório. Inclua contas locais e acessos concedidos diretamente pelos donos das aplicações. A confirmação central não substitui a conferência desses sistemas.
Acessos de terceiros no mesmo ambiente. Identifique vínculos que dependiam do colaborador e encaminhe a revisão ao responsável pelo contrato. Para o processo específico de fornecedores, consulte o conteúdo sobre offboarding de terceiros, sem tratar os dois processos como equivalentes.
Como o checklist se conecta à governança
A IGA organiza responsáveis, aprovações e registros ao longo do ciclo de vida dos acessos. A certificação de acesso ajuda nas revisões periódicas, mas não substitui a revogação no desligamento. Conheça a abordagem da Tripla para governança de identidades e acessos.
Perguntas frequentes
Desabilitar o diretório principal revoga todos os acessos?
Não necessariamente. Contas locais, aplicações sem integração, sessões abertas e tokens podem exigir ações próprias. A TI precisa confirmar a revogação em cada aplicação do inventário.
Quem é responsável pelo desligamento dos acessos?
O RH aciona o processo no momento acordado. A TI e os donos das aplicações executam as revogações, e segurança verifica pendências e evidências. A organização deve formalizar essa divisão de responsabilidades.
Qual é o prazo para revogar todos os acessos?
O bloqueio deve acompanhar o momento efetivo do desligamento conforme o risco e a política da organização. Meça o intervalo até a última revogação e trate pendências sem presumir um prazo universal.
