Quando alguém sai da empresa: os acessos que ficam esquecidos

Uma pessoa sai da empresa, entrega o portátil e fica tudo bem. Meses depois descobre-se que a conta de email continua ativa, que o acesso ao servidor nunca foi retirado e que a password das redes sociais é a mesma desde 2022. Não é preciso má fé nenhuma para isto acabar mal.

O que costuma ficar aberto

• A conta de email, muitas vezes com reencaminhamento ativo para uma conta pessoal.
• O acesso ao servidor ou ao alojamento do site, criado uma vez e nunca revisto.
• A VPN, que dá entrada na rede da empresa a partir de qualquer sítio.
• As redes sociais e a ficha da empresa no Google, quase sempre com passwords partilhadas.
• O software de faturação e as pastas na cloud, onde estão dados de clientes.
• Telemóveis e computadores pessoais com sessões abertas e passwords guardadas no browser.

Porque é que isto é grave

A maioria dos problemas não nasce de vingança, nasce de descuido. Uma conta esquecida é uma porta que ninguém vigia: se aquela password aparecer numa fuga de dados de outro serviço qualquer, quem tentar entrar encontra o caminho aberto. E, como ninguém usa a conta, também ninguém estranha a atividade.

A ordem certa para fechar

1. Corte primeiro o acesso central, email e VPN. É por aí que se recuperam as outras passwords.
2. Mude as passwords partilhadas, em vez de apenas remover a pessoa. Se eram conhecidas, deixaram de ser secretas.
3. Transfira o que é da empresa, ficheiros, agenda e contactos, antes de desativar seja o que for.
4. Desative em vez de apagar durante algumas semanas, para não perder histórico nem emails que ainda cheguem.
5. Registe quem tem acesso a quê. Sem essa lista, a próxima saída vai correr exatamente da mesma maneira.

Esta é uma das coisas que verificamos na auditoria de segurança. Para uma revisão mais geral, veja a checklist de segurança digital para PMEs.