Desligamento de funcionário: 12 acessos para revogar na saída

Quando um recepcionista ou um gerente sai, a lista de acessos raramente está em um só lugar. A pessoa tinha usuário no PMS, nas extranets das OTAs e no portal do banco, conhecia a senha do cofre e do roteador, e talvez o WhatsApp do hotel rodasse no celular dela. Os 12 itens abaixo estão organizados por sistema e tipo de acesso.

Antes da saída: saiba quem tem acesso a quê

A hora de revogar depende do tipo de saída. Na saída planejada, o acesso termina quando o trabalho termina, no horário combinado. Na demissão imediata, a revogação acontece junto com a conversa. Com suspeita de uso indevido, a contenção vem primeiro, pelo processo de incidente, mesmo que a conversa ainda não tenha acontecido.

Nada disso funciona se o hotel não sabe, antes, a que cada pessoa tem acesso. Isso exige duas medidas. A primeira é uma matriz de acessos por cargo: que sistemas as equipes de recepção, reservas, financeiro e governança usam, e com que perfil. A segunda são contas nominais, uma por pessoa. Uma conta genérica como "recepcao1", usada por cinco pessoas, não pode ser desativada quando uma delas sai; só dá para trocar a senha e avisar as outras quatro.

Os 12 acessos para revogar

1. Usuário do PMS

Desative o usuário na saída, sem apagá-lo. Em muitos PMS, excluir o usuário pode comprometer a identificação de quem realizou cada lançamento, desconto ou estorno, e esse histórico é o que o hotel consulta se aparecer uma divergência no caixa semanas depois. Uma exclusão posterior depende de como o sistema trata os registros de auditoria e do prazo de guarda definido pelo hotel. Se a pessoa conhecia a senha de um perfil compartilhado, como o do auditor noturno, troque também.

2. E-mail

Bloqueie o login e encerre as sessões abertas no celular e no navegador: trocar a senha nem sempre derruba uma sessão já aberta. Revogue senhas de aplicativo. Confira as regras de encaminhamento automático, porque um encaminhamento para uma conta pessoal continua mandando e-mails de reservas e de fornecedores depois da saída.

Defina quem está autorizado a acessar a caixa, para quê e por quanto tempo; o gestor direto não é automaticamente essa pessoa. Antes de remover a licença ou excluir a conta, preserve ou transfira e-mails, arquivos (OneDrive, Google Drive) e calendários. No Microsoft 365, por exemplo, o conteúdo da caixa fica retido por 30 dias depois da remoção da licença e então é excluído em definitivo. Repasse também as reservas pendentes, os contatos de fornecedores e as aprovações em andamento.

3. Extranets das OTAs e channel manager

Remova o usuário das extranets de cada OTA e do channel manager. Quem tem acesso às extranets muda tarifa, disponibilidade e dados bancários de repasse, conforme o perfil. Se a conta de alguma extranet está no e-mail pessoal da pessoa, transfira a titularidade ou o controle de recuperação para uma conta do hotel antes de remover o acesso. Só trocar o e-mail de login pode não bastar, e um login compartilhado recria o problema da conta genérica.

4. Banco, adquirente e PSP

Retire a pessoa do internet banking, do portal do adquirente e do painel do PSP. Recolha tokens físicos e remova o celular dela como dispositivo autorizado. Se ela aprovava Pix ou pagamentos a fornecedores, defina outro aprovador e revise os favorecidos cadastrados ou alterados nas últimas semanas.

5. WhatsApp Business

Separe três perguntas: de quem é o número, em que aparelho principal a conta está registrada e quais dispositivos estão vinculados. Desconectar o WhatsApp Web e os computadores encerra só os vinculados: quem está com o aparelho principal continua com a conta.

Se o aparelho é do hotel, recolha. Se o chip é do hotel, mas está no celular pessoal do funcionário, o hotel retoma o número, e o celular continua sendo da pessoa: registre a conta em um aparelho do hotel e confirme que ela saiu do anterior. Se o chip é pessoal, o número é do funcionário, e o hotel depende da cooperação dele para mantê-lo; prepare um número do hotel e avise os hóspedes com reserva.

Nos dois casos, confira a verificação em duas etapas e o e-mail de recuperação, combine a transferência das conversas que o hotel precisa guardar e remova o atendente de qualquer plataforma compartilhada de atendimento. Para o futuro, o número do hotel deve ficar em um chip e em um aparelho do hotel.

6. Senhas compartilhadas

Liste as senhas que a pessoa conhecia: Wi-Fi da equipe, cofre, alarme, administração do roteador e do gravador das câmeras. Troque primeiro as senhas administrativas. No Wi-Fi da equipe, o melhor é uma credencial individual, onde o equipamento permite: basta desativar a de quem saiu. Com senha única, quem a conhece continua entrando na rede, inclusive da calçada, então decida a troca pelo risco: o que essa rede alcança e como foi a saída. Separar a rede reduz o alcance, mas não encerra a questão.

7. Cartão mestre e sistema de fechaduras

Recolher o cartão não basta: cancele o cartão seguindo o procedimento do fabricante, para que ele deixe de abrir as portas mesmo que exista uma cópia. Em fechaduras off-line, o cancelamento feito no software pode não chegar sozinho à porta, e varia de sistema para sistema: pode ser preciso atualizar fechadura por fechadura. Confirme que o cancelamento chegou a todas e registre a conclusão. Remover o usuário da pessoa do software das fechaduras é outra tarefa, e as duas precisam ser feitas.

8. Acesso remoto, VPN e MFA

Desative a conta da VPN e das ferramentas de acesso remoto instaladas nos computadores do hotel. Procure contas administrativas cujo segundo fator (MFA) está no celular do funcionário: e-mail do administrador, firewall, painel do domínio. Se o segundo fator de autenticação depende do celular de quem saiu, o hotel pode perder acesso à própria conta. Cadastre os métodos do hotel e retire os da pessoa: e-mail e telefone de recuperação, autenticadores, chaves de acesso (passkeys), códigos de backup, gerenciador de senhas e credenciais de API. Procure também integrações e tarefas agendadas que rodam com a conta dela e passe-as para uma conta de serviço; na saída planejada, faça isso antes, para não parar um processo do hotel.

9. Redes sociais, perfil da empresa no Google e site

Antes de remover a pessoa como administradora, confirme que há outro administrador autorizado pelo hotel em cada conta. Se ela era a única, peça a transferência na conversa de saída. Recuperar uma conta sem administrador pode levar semanas.

10. POS, ponto, ERP e contabilidade

Desative o usuário no POS do restaurante e do bar, no ERP e no portal da contabilidade. No sistema de ponto e no de RH, retire o acesso operacional, como aprovar ou ajustar registros. Se o ex-funcionário ainda precisa ver holerites ou documentos trabalhistas, o RH define esse acesso à parte, limitado aos documentos dele. Troque senhas de supervisor que ela conhecia, como as que autorizam descontos e cancelamentos no POS.

11. Equipamentos e celulares pessoais

Recolha notebook, celular corporativo, tokens e crachá, e registre os itens devolvidos e os que ficaram pendentes. No celular pessoal, siga a regra combinada com o funcionário: remoção seletiva pelo MDM, se ele já estava configurado no aparelho, ou remoção do e-mail e dos aplicativos do hotel junto com a pessoa. Registre se a remoção foi concluída. Ela não apaga arquivos baixados, exportações nem capturas de tela.

12. Registro, fornecedores e contas em nome da pessoa

Anote cada acesso revogado, quem revogou, a data e a hora. Avise os fornecedores que tinham a pessoa como contato autorizado: o fornecedor do PMS, por exemplo, atende pedidos de quem está na lista. E procure domínios, contas de nuvem e assinaturas registrados no CPF ou no e-mail pessoal dela, cuja titularidade ou administração precisa ser transferida para o hotel. Uma pessoa responde pelo fechamento: confere que cada item foi feito e encerra a lista.

Quem faz cada parte

Em um hotel sem TI interna, a revogação se divide entre áreas. Combine antes quem faz o quê e quem fecha a lista. O RH avisa esse grupo com antecedência, em sigilo e com o horário marcado.

Saída tensa ou demissão por justa causa

Em uma saída com conflito, revogue os acessos durante a conversa de desligamento, e não depois. Combine com o RH o horário e prepare a revogação dos acessos com maior potencial de dano: e-mail, banco, extranets, acesso remoto. Se houver suspeita de que a pessoa copiou dados ou alterou cadastros, bloqueie o acesso sem demora e preserve os registros: não apague contas nem limpe aparelhos antes de avaliar que evidências o hotel precisa guardar. Fale com o advogado do hotel. Se dados pessoais de hóspedes foram copiados e o incidente puder causar risco ou dano relevante aos titulares, ele precisa ser comunicado à ANPD e aos titulares, dentro do prazo. Veja o que fazer nas primeiras 48 horas de um vazamento.

Funcionários temporários e de temporada

Na alta temporada o hotel contrata reforço por semanas, e são esses acessos que mais ficam esquecidos. Crie as contas temporárias com data de expiração, quando o sistema permite, e inclua a revogação no roteiro do último dia de contrato. Uma revisão periódica ajuda a identificar acessos que permaneceram ativos.

Próximos passos

A gestão de TI da HotelTI revisa quem tem acesso a quê, documenta a matriz de acessos e o roteiro de desligamento, e define os padrões de administração que os fornecedores do hotel aplicam. O suporte é em horário comercial. Não revendemos software nem mantemos acordos com fornecedores específicos. Fale com a nossa equipe.

Fontes

• ANPD, Resolução CD/ANPD nº 15, Regulamento de Comunicação de Incidente de Segurança (abril de 2024), in.gov.br
• PCI Security Standards Council, PCI DSS v4.0.1, requisito 8.2.5 (revogação imediata do acesso de usuários desligados), pcisecuritystandards.org
• Center for Internet Security, CIS Controls Assessment Specification, salvaguarda 6.2 (desativação imediata de contas no desligamento e preservação de trilhas de auditoria), readthedocs.io
• Microsoft, Remove a former employee (ordem de bloqueio, preservação de dados, remoção de licença e exclusão da conta), learn.microsoft.com
• WhatsApp, About linked devices (aparelho principal e dispositivos vinculados), faq.whatsapp.com