Funcionário saiu: como encerrar os acessos da empresa

Encerrar o acesso sem perder o que a pessoa cuidava

O controle PS-4 do catálogo NIST SP 800-53, publicado pelo Instituto Nacional de Padrões e Tecnologia dos Estados Unidos (NIST), resume o que uma organização deve fazer quando o vínculo de alguém termina: desativar o acesso aos sistemas dentro de um prazo definido pela própria organização, encerrar ou revogar senhas e outras credenciais ligadas à pessoa, conversar sobre segurança na saída, recolher equipamentos e manter o acesso às informações e sistemas que essa pessoa controlava.

O último item costuma ser esquecido em empresas pequenas. O problema da saída não é só alguém continuar entrando no e-mail; é a empresa descobrir, semanas depois, que a caixa de entrada com as conversas de clientes, a pasta com os contratos ou a conta de administrador da rede social estavam só no nome de quem saiu. Por isso o roteiro abaixo trata as duas metas juntas: tirar o acesso da pessoa e manter o acesso da empresa.

Referência desta seção: NIST SP 800-53 Rev. 5: Security and Privacy Controls for Information Systems and Organizations (controles PS-4 e PS-5).

Faça o inventário de acessos antes do último dia

Numa pequena empresa, os acessos raramente estão num único sistema. Há a conta de e-mail corporativo, o sistema de gestão, o banco, o painel do domínio e do site, as redes sociais, o WhatsApp Business, as ferramentas de assinatura e, com frequência, senhas que várias pessoas conhecem. A redação propõe começar por uma lista simples, preenchida com o gestor da pessoa e com quem administra as ferramentas, antes da data de saída sempre que ela for conhecida.

Dois itens merecem atenção especial. O primeiro são as senhas compartilhadas: o fascículo Autenticação, da Cartilha de Segurança para Internet do Centro de Estudos, Resposta e Tratamento de Incidentes de Segurança no Brasil (CERT.br), lembra que reusar senhas é arriscado porque quem descobre uma delas consegue entrar nas outras contas onde ela é usada. Se quem saiu conhecia uma senha comum, ela deve ser trocada em todos os lugares em que é usada. O segundo é a verificação em duas etapas: se o código chega no celular pessoal de quem saiu, a empresa pode ficar sem conseguir entrar na própria conta. O mesmo fascículo recomenda gerar códigos de backup e guardá-los em local seguro, o que vale também para contas da empresa.

Referência desta seção: CERT.br: fascículo Autenticação (Cartilha de Segurança para Internet).

No dia da saída: trocar a senha e encerrar as sessões

Bloquear o login nem sempre corta o acesso na hora. A documentação do Microsoft 365 para administradores indica, como primeiro passo, redefinir a senha da pessoa e usar a opção de encerrar todas as sessões. Segundo a Microsoft, a pessoa é desconectada em até uma hora, ou quando sai da página em que está, porque um token de acesso vale por uma hora. A mesma página avisa que o bloqueio de login pode levar até 24 horas para valer; para impedir o acesso imediatamente, a orientação é redefinir a senha.

No Google Workspace, a central de ajuda para administradores explica que suspender um usuário bloqueia o acesso dele aos serviços do Google da organização. Para a redação, a suspensão é um bom primeiro movimento porque não apaga nada: o acesso termina e os dados continuam disponíveis para a transferência. O mesmo raciocínio vale para ferramentas menores: quando existir a opção de desativar ou suspender, prefira ela à exclusão no primeiro dia.

Nas senhas compartilhadas, a troca deve acontecer no mesmo dia, e a nova senha não deve ser enviada para quem saiu. Se a saída não for amigável, faça as trocas antes ou durante a conversa de desligamento, não depois.

Referência desta seção: Microsoft Learn: Step 1 - Prevent user sign-in and block access to Microsoft 365; Ajuda do Google Workspace para administradores: opções para preservar os dados de ex-funcionários.

Transfira e-mail e arquivos antes de apagar a conta

Apagar a conta é o último passo, não o primeiro. A central de ajuda do Google Workspace informa que, ao excluir um usuário, o conteúdo que não for transferido para outra pessoa é excluído, e que, para recuperar os dados de um usuário já excluído, é preciso restaurá-lo em até 20 dias. A mesma página traz um detalhe útil: transferir a propriedade dos arquivos do Drive não muda quem tem acesso a eles, então a lista de compartilhamentos precisa ser revista à parte.

No Microsoft 365, a sequência recomendada para ex-funcionários inclui salvar o conteúdo da caixa de correio, apagar e bloquear os dados da empresa no celular da pessoa, encaminhar o e-mail para outro colaborador ou convertê-lo em caixa compartilhada, dar a outra pessoa acesso ao OneDrive e ao Outlook e só então remover a licença e excluir a conta. A Microsoft informa que, depois da exclusão, o conteúdo do OneDrive e do Outlook fica retido por 30 dias, período em que a conta ainda pode ser restaurada.

Manter o endereço de e-mail ativo como caixa compartilhada ou com encaminhamento evita que mensagens de clientes e fornecedores se percam durante a transição. Os prazos citados são das documentações consultadas em novembro de 2026 e podem mudar; confira no painel da sua ferramenta antes de excluir qualquer conta.

Referência desta seção: Ajuda do Google Workspace para administradores: opções para preservar os dados de ex-funcionários; Microsoft Learn: Remove a former employee - Overview (Microsoft 365 admin).

Revise depois e transforme a saída em rotina

Mesmo com lista, algo costuma escapar: uma ferramenta assinada com o cartão da empresa, um grupo de mensagens com clientes, uma integração que enviava relatórios para o e-mail de quem saiu. A redação sugere uma revisão marcada alguns dias depois da saída, conferindo se as mensagens estão chegando a quem assumiu o trabalho e se algum serviço parou de funcionar.

Exemplo hipotético: um escritório com oito pessoas mantém uma planilha com uma linha por ferramenta, o nome de quem administra e quem tem acesso. Quando uma assistente sai, o gestor usa a planilha para trocar as duas senhas compartilhadas, suspender o e-mail, transferir a pasta de contratos, cadastrar o próprio celular na verificação em duas etapas da conta do banco e, uma semana depois, conferir se nada ficou pendente. A mesma planilha serve para mudanças de função: o controle PS-5 do NIST trata da transferência de pessoas dentro da organização e pede rever se os acessos atuais ainda fazem sentido para a nova atividade.

Este guia trata do acesso técnico às contas e sistemas. Questões trabalhistas, contratuais e de proteção de dados pessoais da pessoa que saiu têm regras próprias e merecem orientação específica.

Referência desta seção: NIST SP 800-53 Rev. 5: Security and Privacy Controls for Information Systems and Organizations (controles PS-4 e PS-5).