Offboarding costuma parecer resolvido quando o notebook volta para o TI. Só que o notebook é a parte visível. A parte que fica costuma morar em sessão aberta, token pessoal, grupo antigo, ferramenta SaaS esquecida, chave SSH e conta compartilhada que ninguém admite que ainda existe.
O problema não é tratar quem sai como suspeito. É tratar uma mudança previsível como processo. A CISA lembra que uma pessoa com acesso autorizado — atual ou antigo — conhece recursos, sistemas e rotinas da organização. A saída, portanto, pede encerramento consistente; não caça às bruxas.
Comece por uma fonte de verdade
Antes de revogar qualquer coisa, defina quem confirma a saída e quando ela entra no fluxo. RH, liderança e TI precisam trabalhar com a mesma data, o mesmo dono e a mesma lista de sistemas. Sem isso, o time corre atrás de mensagens avulsas e sempre deixa alguma exceção para depois.
Um bom ticket de offboarding tem nome, data e hora efetiva, gestor responsável, equipamentos, sistemas de maior risco e uma pessoa que fecha a evidência. Parece burocracia até o primeiro incidente em que ninguém sabe se o acesso foi removido ou só “pedido”.
O checklist mínimo: identidade, sessão e privilégio
O primeiro bloco é a identidade central: IdP/SSO, e-mail corporativo, MFA, VPN e diretório. Desabilitar a conta não basta se sessões continuam válidas ou se há um segundo provedor de identidade fora do fluxo principal.
- bloqueie o login e encerre sessões ativas;
- remova grupos, papéis administrativos e acessos temporários;
- revogue fatores de MFA, chaves de recuperação e dispositivos autenticadores;
- redirecione a caixa de e-mail conforme a política da empresa — sem transformar isso em acesso indefinido.
O NIST trata a invalidação de autenticadores como parte do ciclo de vida da autenticação. Na prática, isso ajuda a fugir do erro clássico: trocar a senha e supor que a porta fechou.
Depois vem o que não aparece no organograma
É aqui que os casos mais chatos moram. Repositórios, cloud, CI/CD, registries, bancos, observabilidade, domínios, ferramentas de suporte, gerenciadores de senha, ferramentas de IA e SaaS de área costumam ter administração delegada. Às vezes o usuário não é só membro: é dono da conta, pagador ou única pessoa com acesso a uma integração.
Para cada ambiente, responda três perguntas: há acesso direto fora do SSO? há token, chave ou segredo emitido para essa pessoa? existe algum recurso cujo dono precisa ser transferido? Se a resposta for “não sei”, isso já vira item do inventário — não motivo para marcar como concluído.
Dispositivo devolvido não significa dispositivo limpo
Recolha ou bloqueie notebook, celular corporativo, eSIM, crachá, YubiKey e qualquer ativo que autentique ou armazene dados. Em ambientes com MDM, confirme o estado do dispositivo; em ambientes sem MDM, registre a devolução e trate credenciais locais como risco a ser eliminado.
Também vale olhar para contas compartilhadas. Se uma senha circulava entre duas ou três pessoas, a saída de uma delas exige rotação. Não adianta remover o nome da lista se a mesma credencial continua viva em um cofre local, planilha ou canal antigo.
Feche com prova simples e auditável
O fluxo não termina com uma mensagem de “feito”. Termine com uma tabela curta: sistema, ação, responsável, horário e evidência. Esse registro serve para auditoria, mas principalmente para o próximo offboarding. Ele mostra onde o inventário está furado e quais ferramentas vivem fora da governança.
O guia da ANPD sobre agentes de tratamento reforça que responsabilidades precisam ser identificáveis no tratamento de dados. Para o TI, a tradução prática é bem direta: quando alguém sai, o dono de cada acesso e a confirmação da remoção não podem ficar no campo do “alguém viu”.
O melhor checklist não é o que tem 80 linhas. É o que o time consegue executar sempre, com exceções visíveis e sem depender da memória de uma única pessoa.
