Controle de acesso no sistema da empresa: quem vê o quê e quem fez o quê

Um pedido de 4.800 reais aparece com desconto de 40% na segunda-feira de manhã. Ninguém lembra de ter dado esse desconto. O sistema mostra que o pedido foi alterado, mas não mostra por quem, porque metade da equipe entra com o mesmo usuário, o "vendas", e a senha está num papel colado no monitor desde 2021. A conversa que vem depois é desconfortável para todo mundo, inclusive para quem não fez nada.

Esse é o problema do controle de acesso, e ele quase nunca aparece quando o sistema é contratado. Na hora do projeto, a empresa pensa nas telas, nos relatórios e nas integrações. Quem pode ver o quê, quem pode mudar o quê e como saber quem mudou fica para depois, e depois costuma ser o dia do incidente.

Este guia é para o dono ou gestor que tem, ou vai contratar, um sistema interno ou aplicativo da empresa. Não é assunto só de TI: as decisões aqui são de gestão.

Por que todo mundo acaba como administrador

Nenhuma empresa decide dar acesso total para todo mundo. Isso acontece aos poucos, sempre por um bom motivo.

• O sistema chegou com um usuário administrador e ninguém criou outros.
• Um funcionário precisou fazer uma coisa fora da rotina, recebeu acesso total "só por hoje" e nunca perdeu.
• Criar usuário era trabalhoso, ou cobrado por licença, então a equipe passou a dividir login.
• O perfil limitado travava uma tarefa comum, alguém reclamou, e a solução mais rápida foi liberar tudo.

Cada decisão dessas faz sentido no dia. Somadas, elas produzem um sistema em que qualquer pessoa pode fazer qualquer coisa, e ninguém consegue provar quem fez. E o risco maior nem é a má-fé: é o engano, como o cadastro apagado por parecer duplicado ou o preço mudado na tabela errada.

Os três pilares: identificação, permissão e registro

Controle de acesso parece um tema técnico, mas cabe em três perguntas simples. Um sistema bem feito responde as três.

1. Quem é você? Cada pessoa entra com o próprio usuário e a própria senha. Sem isso, nada do que vem depois funciona.
2. O que você pode fazer? O sistema sabe quais telas, dados e ações cada pessoa pode usar, e bloqueia o resto.
3. O que você fez? As ações que importam ficam gravadas, com nome, data, hora e o que mudou.

Repare que o terceiro pilar depende do primeiro. Um histórico de alterações em que todas as linhas dizem "usuário: vendas" não serve para nada. Por isso o primeiro passo de qualquer arrumação é sempre o mesmo: acabar com o login compartilhado.

Login individual: o passo que resolve metade do problema

Usuário compartilhado é confortável, e por isso é difícil de tirar. O preço aparece em outro lugar.

• Não há como saber quem fez o quê. O histórico existe, mas aponta para um nome genérico.
• Não há como tirar o acesso de uma pessoa só. Quando alguém sai da empresa, a única forma de cortar o acesso dela é trocar a senha de todo mundo, e na prática ninguém troca.
• A senha circula. Ela passa por WhatsApp, fica anotada em caderno e chega a quem nunca deveria ter recebido.

Se o sistema cobra por usuário e o custo assusta, faça a conta do outro lado: quanto custa um desconto indevido ou uma base de clientes vazada. O assunto aparece também no post sobre a planilha que virou sistema da empresa.

Perfis de acesso: pense em funções, não em pessoas

O erro mais comum é configurar permissões pessoa por pessoa. Funciona com cinco pessoas e vira um labirinto com vinte, porque ninguém lembra por que cada exceção foi criada.

O caminho mais seguro é criar perfis por função e encaixar cada pessoa em um perfil. Em uma empresa típica, eles costumam ser parecidos com estes:

• Atendimento: consulta clientes e pedidos, cria pedido, não altera preço nem dá desconto acima de um limite.
• Vendas: tudo do atendimento, mais desconto até uma faixa definida e acesso à própria carteira.
• Financeiro: vê e baixa títulos, emite cobrança, não altera cadastro de produto.
• Estoque: movimenta produto, ajusta saldo com justificativa, não vê dados financeiros.
• Gestão: vê relatórios de todas as áreas, aprova o que passa dos limites.
• Administrador: cria usuários e muda configurações. Uma ou duas pessoas, no máximo.

A pergunta deixa de ser "o que essa pessoa pode fazer" e passa a ser "o que essa função precisa fazer", que é muito mais fácil de responder e de revisar.

O princípio do menor privilégio

Existe uma regra antiga em segurança da informação que resume tudo isso: cada pessoa deve ter o mínimo de acesso necessário para fazer o próprio trabalho, e nada além. Não é desconfiança. É reduzir o tamanho do estrago possível quando alguém se engana, quando um computador é invadido ou quando uma senha vaza.

Na prática, comece restrito e vá liberando conforme a necessidade aparece. Liberar tudo e restringir depois quase nunca dá certo, porque cada restrição nova é sentida como perda.

Além da tela: limites, aprovações e dados sensíveis

Permissão não é só "vê a tela" ou "não vê a tela". Os controles mais úteis em um sistema de empresa costumam ser mais finos, e são eles que evitam o pedido com 40% de desconto da abertura deste texto.

Limites por valor

O vendedor pode dar até 10% de desconto. Acima disso, o pedido fica pendente até alguém da gestão aprovar. O mesmo vale para estorno, cancelamento de nota, ajuste de estoque e qualquer operação que mexa em dinheiro. O limite não impede o trabalho, só coloca um segundo par de olhos onde o risco é maior.

Separação de funções

Quem cadastra um fornecedor não deveria ser quem aprova o pagamento para ele. Em empresa pequena nem sempre há gente para separar tudo, e aí o histórico de alterações faz o papel do segundo par de olhos.

Dados pessoais e exportação

CPF, endereço e histórico de compra de clientes são dados pessoais, e a LGPD exige medidas de segurança para protegê-los. Isso inclui limitar quem vê esses dados e, principalmente, quem pode exportá-los: o botão "exportar para Excel" é a forma mais comum de uma base de clientes sair da empresa. O tema aparece com mais detalhe no guia de LGPD no site da empresa.

O histórico de alterações: quem fez o quê, e quando

O registro de ações, também chamado de log de auditoria, é a parte do controle de acesso que mais faz falta e a que menos aparece no orçamento. Sem ele, quem mudou o preço ou apagou o cliente fica sem resposta para sempre.

Um bom histórico grava, para cada ação relevante:

• quem fez, pelo usuário individual;
• quando fez, com data e hora;
• o que fez: criou, alterou, excluiu, exportou, aprovou;
• em qual registro: qual pedido, qual cliente, qual produto;
• o valor antes e o valor depois, quando é uma alteração.

O último item é o que mais costuma faltar, e é o que mais ajuda. Saber que o pedido foi alterado às 17h32 pelo usuário Marcos é útil. Saber que o desconto passou de 5% para 40% nessa alteração resolve a conversa em um minuto.

O histórico precisa ser à prova de quem é registrado

Um detalhe que passa despercebido: ninguém pode apagar ou editar o próprio histórico, nem o administrador do sistema. Se quem tem acesso total também consegue limpar o registro, o registro deixa de provar alguma coisa. Pergunte isso ao fornecedor com todas as letras.

Pelo mesmo motivo, sistema bem feito não apaga de verdade um cliente ou um pedido: marca como inativo e esconde das telas. A exclusão por acidente vira um clique para desfazer.

Quando alguém entra, muda de função ou sai

As permissões envelhecem. Quem entrou no atendimento e hoje coordena acumula os dois perfis, e o estagiário que saiu em março talvez ainda tenha usuário ativo. Por isso o controle de acesso precisa de processo, não só de configuração.

1. Entrada: o gestor da área pede o usuário e informa a função. O perfil vem da função, sem exceção improvisada.
2. Mudança de função: o perfil antigo sai no mesmo dia em que o novo entra. Acumular os dois é a origem mais comum do acesso total.
3. Saída: o usuário é bloqueado no último dia, junto com o e-mail, como mostramos no guia sobre o e-mail do funcionário que sai da empresa. Bloqueado, e não excluído, para o histórico continuar apontando para um nome.
4. Revisão periódica: a cada três ou seis meses, alguém da gestão olha a lista de usuários ativos e os perfis de cada um. Leva meia hora e quase sempre encontra alguma coisa.

Fornecedor e prestador de serviço entram na mesma regra, com acesso que tem data para acabar.

Senha forte, duas etapas e o acesso de fora

Login individual resolve a identificação, mas não adianta se a senha for fraca ou se ela estiver salva em qualquer computador. Três cuidados fecham essa porta sem incomodar demais a equipe:

• Verificação em duas etapas pelo menos para os perfis de administrador, financeiro e gestão. Um código no celular, além da senha, impede que uma senha vazada vire acesso.
• Sessão que expira depois de um tempo sem uso, para o sistema não ficar aberto no computador do balcão durante a noite.
• Bloqueio após tentativas erradas, para ninguém ficar testando senha à vontade.

Sistema online facilita essa parte, porque a regra vale igual de qualquer lugar. Em sistema instalado com acesso remoto, o controle fica espalhado entre sistema, servidor e ferramenta de acesso, como explicamos em sistema instalado ou sistema online. E quem já viu tentativa de golpe como a do boleto falso em nome da empresa deve tratar as duas etapas no financeiro como prioridade.

O que pedir ao fornecedor antes de contratar

Controle de acesso custa pouco no começo do projeto e caro depois, por isso deve estar no escopo, antes do orçamento. Leve estas perguntas para a conversa:

1. Cada pessoa terá o próprio usuário? Existe custo adicional por usuário?
2. Os perfis são configuráveis pela empresa, ou toda mudança depende do fornecedor?
3. Dá para definir limites por valor, como desconto máximo e aprovação acima dele?
4. O sistema grava histórico de alterações com valor antes e depois?
5. Alguém consegue apagar ou editar esse histórico, inclusive o administrador?
6. A exportação de dados pode ser restrita por perfil e fica registrada?
7. O sistema oferece verificação em duas etapas?
8. Quem é o administrador principal: alguém da empresa ou do fornecedor?

A última pergunta é a que mais importa, e a resposta certa é uma só: o administrador principal é da empresa. O fornecedor pode ter um usuário de suporte, registrado como qualquer outro, mas se o fornecedor for o único administrador a empresa depende dele até para cadastrar um funcionário novo. O tema completo está no guia sobre código-fonte do sistema e do aplicativo.

Como arrumar o acesso de um sistema que já está rodando

Se a empresa se reconheceu nos primeiros parágrafos, não precisa trocar de sistema amanhã. Dá para arrumar a casa em etapas, sem parar a operação.

1. Faça o inventário. Liste todos os usuários ativos, quem usa cada um e qual perfil têm. É comum descobrir usuários de gente que saiu há anos.
2. Bloqueie o que não tem dono. Usuário sem responsável claro é bloqueado. Se alguém sentir falta, ele aparece em um dia.
3. Acabe com os logins compartilhados. Crie um usuário por pessoa, com o perfil da função, e desative o genérico.
4. Reduza os administradores. Uma ou duas pessoas da gestão. Os demais voltam ao perfil da função.
5. Ligue o que o sistema já tem. Muitos sistemas já gravam histórico ou oferecem duas etapas, só que desligados. Vale procurar nas configurações antes de concluir que falta.

A equipe reclama nas primeiras semanas. Depois passa, e o que fica é uma empresa em que um desconto estranho se explica em um minuto, e não numa reunião tensa de segunda-feira.

A NSWeb desenvolve sistemas online e aplicativos sob medida para pequenas e médias empresas, rodando no domínio e na hospedagem da própria empresa. Fale com a gente pelo formulário de contato e conte como o acesso ao seu sistema funciona hoje: quem entra, com qual usuário e o que cada um pode fazer.

Perguntas frequentes

As dúvidas mais comuns de quem está organizando o acesso ao sistema da empresa.