Desativar uma conta no diretório (Entra ID / Active Directory) bloqueia o início de sessão, mas não necessariamente as delegações, as regras de reencaminhamento, as aplicações OAuth ou a pertença aos canais do Teams que esse trabalhador tinha acumulado. O Offboarding Express verifica com precisão o que continua ativo, para além do diretório.
Uma conta desativada não é o mesmo que um trabalhador totalmente desligado dos seus sistemas
Bloquear o início de sessão no diretório interrompe o acesso direto, mas as delegações que detinha em caixas de correio partilhadas ou as regras de reencaminhamento que tinha configurado podem continuar ativas independentemente da conta.
Um trabalhador pode ter autorizado aplicações de terceiros (calendário, CRM, extensões do navegador) que mantêm acesso aos dados da empresa independentemente da sua conta de utilizador.
A pertença a equipas, a canais e aos ficheiros partilhados associados persiste muitas vezes bem depois do último dia de trabalho, sem que nenhum alerta o assinale.
Sem um controlo sistemático em cada saída, estes acessos residuais acumulam-se ao longo dos anos e tornam-se pontos de entrada esquecidos, invisíveis a partir do diretório.
Um motor de verificação multivia, o mesmo da auditoria M365 da SYAGA, aplicado à saída de um colaborador
Nome do trabalhador que saiu (ou em vias de sair) e data prevista de cessação dos acessos. Não é necessária qualquer instalação do lado do cliente.
O nosso motor consulta as vias Microsoft Graph, Exchange Online, Teams e Purview para encontrar delegações em caixas de correio partilhadas, regras de reencaminhamento automático, consentimentos OAuth e pertenças a canais do Teams.
Os identificadores sensíveis são pseudonimizados antes de qualquer análise. Nenhum dado em bruto é copiado ou conservado nos nossos servidores: apenas a medição é transmitida.
Recebe um relatório que lista cada zona verificada com o respetivo estado (cortado / ativo / a verificar), bem como as recomendações para encerrar definitivamente o que continua aberto.
Um relatório concreto sobre o estado real dos acessos de uma conta, para além do estado apresentado no diretório
Estado detalhado (cortado / ativo / a verificar) para cada uma das zonas controladas na conta em causa.
Registo técnico da verificação efetuada, útil em caso de controlo interno ou de incidente associado a uma conta antiga.
Lista priorizada das ações a realizar do lado do cliente para cortar definitivamente os acessos identificados como ativos.
A gestão dos acessos na saída de um colaborador consta dos referenciais de segurança habituais
Medidas técnicas e organizativas adequadas para garantir a segurança dos dados pessoais. A revogação efetiva dos acessos de um trabalhador que saiu contribui diretamente para esta obrigação de segurança.
Os guias de higiene informática da ANSSI recomendam uma gestão rigorosa das contas e dos direitos de acesso, incluindo a sua retirada total aquando da saída de colaboradores.
A gestão dos direitos de acesso ao longo do ciclo de vida de um colaborador, incluindo a sua retirada no termo do contrato, faz parte dos controlos organizacionais abrangidos pela norma.
Uma revisão sistemática dos acessos residuais na saída de um colaborador insere-se numa abordagem geral de gestão dos riscos cibernéticos, sem constituir por si só uma obrigação regulamentar específica.
Orçamento personalizado em todos os casos - nenhum preço aqui apresentado é fixado antecipadamente
Uma saída isolada, a pedido
Saídas frequentes, integradas no seu processo de RH/TI
Vários inquilinos, filiais, grandes volumes
Duas autoridades francesas enquadram este tema: a ANSSI no domínio da segurança informática, a CNIL no da proteção de dados. Eis o que dizem realmente, sem exagero.
Não é uma lei que fixa um prazo numérico (não existe uma obrigação do tipo "48 horas para cortar os acessos"). É uma exigência de resultado, assente em dois referenciais oficiais: a saída ou a mudança de funções de um colaborador deve implicar a revogação dos seus acessos, sem demora injustificada. Uma nuance importante a ter presente para não confundir boa prática recomendada com obrigação legal.
O guia de higiene informática da ANSSI (Agência Nacional da Segurança dos Sistemas de Informação) dedica uma medida inteira a este tema, sem distinção de dimensão da empresa:
Existe mesmo um dispositivo de acompanhamento gratuito ("Aidant cyber") especificamente para as estruturas sem serviço informático dedicado, ou seja, a maioria das microempresas e PME.
A CNIL (Comissão Nacional da Informática e das Liberdades) associa este mesmo tema à proteção de dados, na sua ficha dedicada à gestão das habilitações:
Esta ficha dirige-se a qualquer organismo que trate dados de caráter pessoal: na prática, qualquer empresa que tenha trabalhadores, clientes ou potenciais clientes nas suas ferramentas informáticas.
A medida n.º 6 do guia enumera o que um procedimento de saída deve abranger, no mínimo (texto exato):
A ANSSI recomenda um inventário atualizado das contas com direitos alargados (administrador, acesso às pastas de outrem), por serem os alvos privilegiados dos atacantes:
Concretamente: a conta de administrador do sítio Web, do correio eletrónico profissional ou do software de contabilidade em linha merece uma verificação sistemática em cada saída, mesmo numa pequena estrutura.
Nem a ANSSI nem a CNIL fixam um prazo numérico (não há "48 horas" nem "7 dias" legais). Os dois textos recorrem a uma obrigação de resultado: os direitos devem ser revogados "aquando da saída" (ANSSI) ou "logo que" a pessoa deixe de estar habilitada, e "no termo do seu contrato" o mais tardar (CNIL). Trata-se de uma recomendação de segurança e de proteção de dados emitida por duas autoridades oficiais, não de um artigo de lei com um número preciso a respeitar. A CNIL recorda, aliás, como erro a evitar: "esquecer-se de suprimir as contas de utilizador das pessoas que deixaram a organização ou que mudaram de funções."
Para além do princípio geral, eis as ações concretas esperadas, quem as valida e com que periodicidade, tal como descritas pelos textos oficiais.
A ANSSI recomenda definir um procedimento de saída formal, em articulação com os recursos humanos, que abranja no mínimo:
A CNIL associa a revogação dos acessos à sua ficha dedicada à gestão das habilitações, que precisa que qualquer atribuição de direitos deve ter sido validada por um responsável:
Numa pequena estrutura sem serviço informático dedicado, este papel cabe, na prática, ao dirigente ou à pessoa que gere os acessos às ferramentas digitais da empresa.
É a única periodicidade numérica encontrada nos textos oficiais consultados: a CNIL recomenda uma revisão periódica das habilitações, com uma frequência mínima precisa:
Esta revisão permite nomeadamente detetar os acessos esquecidos após a saída de um colaborador, aqueles que escaparam entre as malhas da rede durante o procedimento de saída.
O RGPD impõe ao responsável pelo tratamento que tome "todas as precauções úteis" para preservar a segurança dos dados (artigo 32.º). É uma obrigação legal real, mas formulada em termos de medidas adequadas: não indica, por si só, o procedimento a seguir na saída de um trabalhador. São as recomendações da ANSSI e da CNIL acima que dão o modo de emprego concreto.
Nenhum texto impõe um prazo em horas para cortar os acessos de um trabalhador que saiu: nem "48h", nem "24h" legais. Em contrapartida, existem duas exigências precisas e fundamentadas em fontes: revogar os acessos "aquando da saída", sem esperar (ANSSI), e rever o conjunto das habilitações pelo menos uma vez por ano (CNIL), para recuperar o que tenha sido esquecido. É este duplo controlo, imediato após cada saída e verificável ao longo do tempo, que o Offboarding Express propõe.
Respostas simples, cada uma apoiada numa fonte oficial verificável (ANSSI, CNIL)
Sobre este tema, não existe um único artigo de lei que enumere tudo. São duas autoridades francesas, a ANSSI para a segurança informática e a CNIL para a proteção de dados, que publicam recomendações oficiais. Eis o que dizem realmente, sem exagero.
Contacte-nos para receber um orçamento personalizado.