Onboarding e offboarding: como garantir acessos certos desde o primeiro ao último dia
A entrada de um novo colaborador numa empresa implica muito mais do que criar um registo nos Recursos Humanos ou disponibilizar os equipamentos necessários para trabalhar. Desde o primeiro dia, é necessário garantir que essa pessoa consegue aceder aos espaços, recursos e sistemas de que necessita, mas apenas aos que são adequados à sua função.
No sentido inverso, quando um colaborador muda de função ou termina a sua ligação à organização, as permissões anteriormente atribuídas precisam de ser revistas ou revogadas.
É neste ciclo que o onboarding, o offboarding e a gestão de acessos se cruzam. Uma abordagem estruturada permite proteger pessoas, instalações, informação e outros ativos, ao mesmo tempo que contribui para a continuidade operacional e para uma maior rastreabilidade.
Controlo de acessos: muito mais do que abrir uma porta
O controlo de acessos permite definir quem pode entrar em determinado espaço, em que momento e em que condições.
Numa organização podem coexistir áreas com necessidades muito diferentes: escritórios de utilização geral, zonas de produção, armazéns, laboratórios, áreas técnicas, salas de servidores ou espaços reservados a determinados departamentos.
Isto significa que nem todos os colaboradores precisam, nem devem, ter exatamente as mesmas permissões.
Uma controlo de acessos adequada procura, por isso, fazer corresponder as permissões às necessidades efetivas de cada função.
Esta lógica contribui para proteger as instalações e os ativos da empresa, mas também para melhorar a rastreabilidade. Quando os acessos são registados, torna-se mais fácil compreender quem teve autorização para entrar numa determinada zona e analisar posteriormente acontecimentos relevantes para a segurança ou para a operação.
Onboarding: começar com os acessos certos
Um processo de onboarding eficiente deve permitir que o colaborador tenha, desde o início, as condições necessárias para desempenhar as suas funções.
No contexto dos acessos, isto implica responder antecipadamente a algumas questões:
- A que instalações precisa de aceder?
- Existem zonas restritas necessárias à sua função?
- Em que horários deve poder entrar?
- Que meio de identificação será utilizado?
- As permissões são permanentes ou temporárias?
- Quem é responsável por aprovar esses acessos?
Imagine-se, por exemplo, a entrada de um técnico para uma unidade industrial. Pode precisar de acesso ao edifício principal, à área de produção e a determinadas zonas técnicas, mas não necessariamente a todas as áreas da instalação.
A atribuição de um perfil adequado permite aproximar as permissões das necessidades reais da função, em vez de conceder acessos excessivamente abrangentes apenas para simplificar o processo.
Perfis de acesso ajudam a transformar funções em permissões
Os perfis de acesso permitem agrupar permissões de acordo com critérios definidos pela organização, como função, departamento, horário, localização ou nível de responsabilidade.
Em vez de configurar cada acesso individualmente desde o início, a empresa pode estabelecer perfis coerentes com diferentes funções.
Um colaborador administrativo poderá ter um determinado conjunto de permissões, enquanto um responsável de manutenção poderá necessitar de acesso a áreas técnicas específicas.
A vantagem desta abordagem está na consistência: pessoas com necessidades semelhantes podem receber níveis de acesso igualmente adequados, mantendo-se a possibilidade de tratar exceções quando necessário.
Mas os perfis não devem ser vistos como algo estático. Uma função pode mudar, um projeto pode terminar ou um colaborador pode passar para outro departamento.
É por isso que a gestão do ciclo de vida das permissões é tão importante.
Entre o onboarding e o offboarding existe uma etapa muitas vezes esquecida
É comum dar particular atenção à entrada e à saída dos colaboradores. No entanto, existe uma terceira situação igualmente relevante: a mudança dentro da própria organização.
Promoções, mobilidade interna, alterações de função, participação em projetos ou mudanças de instalação podem modificar as necessidades de acesso.
Um colaborador que muda de departamento pode deixar de precisar das permissões anteriores e passar a necessitar de outras.
Se forem simplesmente acrescentados novos acessos sem rever os existentes, as permissões podem acumular-se ao longo do tempo.
Por isso, uma boa gestão deve considerar três momentos:
Ativar → Rever → Revogar
O onboarding determina os acessos iniciais. As alterações ao longo do percurso profissional justificam a sua revisão. O offboarding encerra o ciclo.
Offboarding: retirar acessos também faz parte da segurança
O offboarding é particularmente relevante para a segurança da organização.
Quando termina a relação de um colaborador com a empresa, é necessário garantir que os acessos que estavam associados à sua atividade deixam de estar disponíveis no momento adequado.
Isto pode envolver cartões, credenciais, permissões físicas ou outros meios utilizados durante a permanência na organização.
O mesmo princípio aplica-se a colaboradores temporários, prestadores de serviços ou outras entidades externas quando termina o período durante o qual necessitavam de acesso.
Um processo de offboarding pouco estruturado pode deixar permissões ativas sem necessidade operacional.
Por isso, a revogação dos acessos deve fazer parte do próprio processo de saída e não ser tratada como uma tarefa isolada ou dependente apenas da memória de quem acompanha o processo.
O princípio do menor privilégio
Uma referência útil para estruturar este processo é o princípio do menor privilégio: cada pessoa deve ter apenas os acessos necessários para desempenhar a sua função e durante o período em que esses acessos são necessários.
Aplicado ao espaço físico, significa evitar conceder acesso generalizado quando a função apenas exige entrada em determinadas áreas.
Esta abordagem não significa dificultar o trabalho dos colaboradores. Pelo contrário, procura encontrar um equilíbrio entre segurança e operação.
Um controlo demasiado restritivo pode criar obstáculos desnecessários. Um controlo demasiado permissivo pode aumentar a exposição ao risco.
A definição correta dos perfis procura precisamente encontrar esse equilíbrio.
A importância de rever permissões ao longo do tempo
Mesmo quando o onboarding foi realizado corretamente, as permissões devem ser revistas ao longo do ciclo do colaborador.
Uma organização pode, por exemplo, estabelecer momentos de revisão associados a:
- Mudanças de função;
- Transferências entre departamentos;
- Alterações de instalação;
- Participação ou saída de projetos específicos;
- Mudanças de horário;
- Revisões periódicas definidas internamente.
O objetivo é confirmar se aquilo que foi atribuído continua a corresponder à necessidade atual.
Esta prática ajuda também a identificar permissões que se foram acumulando e que já não têm justificação operacional.
Software e hardware integrados: ligar a regra à entrada física
Para que a política de acessos funcione no dia a dia, as regras definidas precisam de chegar aos pontos onde o acesso efetivamente acontece.
É aqui que a integração entre software e hardware assume particular importância.
O software pode centralizar informação relacionada com utilizadores, perfis, horários e permissões. Os terminais, leitores, controladores e meios de identificação permitem aplicar essas regras nos diferentes pontos de acesso.
Dependendo das necessidades da organização, podem ser utilizados diferentes meios de identificação, como cartões RFID, PIN, biometria ou outras tecnologias adequadas ao contexto.
A integração reduz a necessidade de gerir cada ponto de acesso como um elemento isolado e permite criar uma abordagem mais consistente à segurança física.
E qual é o papel da cloud?
Numa organização com diferentes edifícios, instalações ou pontos de acesso, uma solução cloud pode facilitar a centralização da gestão e disponibilizar a informação aos responsáveis autorizados sem depender de uma gestão exclusivamente local.
O valor não está apenas no local onde o software funciona, mas na possibilidade de reunir informação e apoiar uma gestão coerente das permissões.
Quando existe integração com os dispositivos físicos, alterações relevantes podem ser refletidas na operação de acordo com a arquitetura e configuração da solução implementada.
Para RH, Operações e Segurança, esta centralização pode significar maior visibilidade sobre os perfis existentes, as permissões atribuídas e os registos associados à utilização dos acessos.
A rastreabilidade como instrumento de prevenção
Os registos de acessos não são úteis apenas depois de ocorrer um incidente.
Podem também apoiar uma abordagem preventiva.
Se a organização consegue consultar informação histórica e analisar os acessos realizados, torna-se mais fácil identificar situações que merecem atenção, rever políticas ou perceber se determinados perfis continuam adequados.
A rastreabilidade permite passar de uma lógica baseada apenas em “quem tem autorização” para uma visão mais completa: quem tem autorização, para onde, em que condições e como esses acessos estão a ser utilizados.
Esta informação pode apoiar decisões relacionadas com segurança, organização dos espaços e revisão das próprias permissões.
Um exemplo prático: o ciclo completo de um colaborador
Imagine-se um colaborador que entra para integrar a equipa de Operações.
No onboarding, são identificadas as áreas necessárias à sua função e atribuído o perfil correspondente, com os horários adequados.
Alguns meses depois, passa a assumir responsabilidades adicionais e necessita de aceder a outra área. A alteração é avaliada e as permissões são revistas.
Mais tarde, muda de departamento. Neste momento, não basta adicionar o novo perfil: é importante verificar se os acessos associados à função anterior ainda fazem sentido.
Quando o colaborador sai da organização, o processo de offboarding deve assegurar a revogação atempada das permissões que permanecem ativas e o tratamento dos respetivos meios de identificação.
O resultado é um ciclo de acessos que acompanha o ciclo real da pessoa dentro da organização.
Perguntas de diagnóstico para RH, Operações e Segurança
Antes de avaliar a tecnologia, pode ser útil perceber como funciona atualmente o processo:
- Quem decide quais os acessos atribuídos a um novo colaborador?
- Existem perfis definidos por função, departamento ou necessidade operacional?
- As permissões são revistas quando alguém muda de função?
- Existe um processo claro para revogar acessos no offboarding?
- Colaboradores temporários e prestadores de serviços têm acessos com condições adequadas à duração da sua atividade?
- É possível consultar o histórico de acessos quando necessário?
- As permissões físicas são geridas de forma centralizada ou dependem de vários processos separados?
- Existem responsáveis definidos para aprovar, rever e remover acessos?
Se algumas destas respostas não forem claras, poderá existir uma oportunidade para melhorar não apenas a tecnologia, mas o próprio processo de gestão.
Recomendações para estruturar o ciclo de acessos
Uma abordagem consistente pode começar por mapear as funções existentes e identificar quais os espaços realmente necessários para cada uma.
A partir daí, a organização pode definir perfis, responsáveis pela aprovação e momentos em que as permissões devem ser revistas.
É igualmente importante incluir a gestão de acessos nas checklists formais de onboarding, mobilidade interna e offboarding, evitando que estas tarefas dependam de comunicações informais.
Por fim, a análise periódica dos perfis e dos registos disponíveis pode ajudar a perceber se as regras continuam ajustadas à realidade da organização.
O objetivo não é criar mais burocracia. É tornar o processo previsível, rastreável e mais fácil de executar.
A gestão de acessos como parte do ciclo do colaborador
A gestão de acessos funciona melhor quando acompanha a evolução real das pessoas dentro da empresa.
O acesso correto no primeiro dia facilita o trabalho. A revisão durante o percurso evita a acumulação desnecessária de permissões. A revogação no momento certo reduz a exposição após a saída.
Onboarding e offboarding deixam, assim, de ser apenas processos administrativos de Recursos Humanos e passam a fazer parte de uma abordagem integrada à segurança e à continuidade operacional.
As soluções da Actuasys para controlo de acessos permitem gerir diferentes entidades e perfis, horários de acesso, zonas e registos históricos, integrando o software com terminais e diferentes tecnologias de identificação.
Esta combinação entre gestão centralizada e dispositivos de controlo físico permite adaptar a solução às necessidades de cada organização e criar maior coerência entre as regras definidas e aquilo que acontece efetivamente nos seus espaços.
No final, a questão essencial é simples: cada pessoa tem os acessos de que precisa hoje e apenas esses?
Referências
Centro Nacional de Cibersegurança (CNCS) – Quadro Nacional de Referência para a Cibersegurança. Recomenda a aplicação dos princípios do menor privilégio e segregação de funções na gestão de acessos, bem como a revisão regular de funções e níveis de acesso. Disponível em: https://www.cncs.gov.pt/docs/cncs-quadrodeavaliacao.pdf
Consultado a 13/08/2026.Centro Nacional de Cibersegurança (CNCS) – Requisitos Técnicos de Segurança. Inclui orientações relativas à gestão do ciclo de vida das contas, privilégios associados às funções e revisão dos direitos de acesso. Disponível em: https://www.cncs.gov.pt/docs/sama2020-rasrsi-cncs.pdf
Consultado a 13/08/2026.Centro Nacional de Cibersegurança (CNCS) – Guia para a Seleção de Soluções de Autenticação Multifator. Aborda o princípio de atribuir o menor privilégio possível durante o menor período necessário. Disponível em: https://www.cncs.gov.pt/docs/guia-mfa.pdf
Consultado a 13/08/2026.Information Commissioner’s Office (ICO) – Access Control. Recomenda a revisão regular dos direitos de acesso quando os colaboradores mudam de função e a remoção atempada das permissões quando termina a relação com a organização. Disponível em: https://ico.org.uk/for-organisations/advice-and-services/audits/data-protection-audit-framework/toolkits/information-and-cyber-security/access-control/
Consultado a 13/08/2026.Actuasys – EXPERT – Controlo de Acessos. Informação sobre gestão de entidades, horários de acesso, consulta histórica, controlo por zonas e outras funcionalidades da solução. Disponível em: https://www.actuasys.com/software/expert/
Consultado a 13/08/2026.