Checklist de onboarding e offboarding de TI: entrada, mudança e saída

Um checklist de onboarding e offboarding de TI lista o que a TI faz em três momentos: quando o funcionário entra (conta, equipamento, acessos do cargo), quando muda de função (troca de acessos, não soma) e quando sai (bloqueio no mesmo dia, devolução do equipamento, dados preservados). O checklist só funciona se o RH avisar a TI antes de cada movimento.

O que é onboarding e offboarding de TI?

Onboarding de TI é a preparação técnica para a chegada de um funcionário: criar a conta, entregar o equipamento configurado e liberar os sistemas de que ele precisa. Offboarding de TI é o caminho inverso: bloquear acessos, recolher equipamento e guardar os dados da empresa.

Existe um terceiro momento que costuma ficar de fora: a mudança de função. A Microsoft, na documentação do Microsoft Entra, separa o ciclo em três perfis. O joiner é quem chega e precisa de acesso. O mover é quem troca de área, por exemplo de Vendas para Marketing, e pode precisar de acessos diferentes. O leaver é quem não precisa mais de acesso, como quem foi desligado ou se aposentou.

Um checklist só de entrada e saída deixa passar o funcionário que muda de área e leva consigo os acessos antigos.

Por que a TI precisa de um checklist e não só de boa vontade?

Porque cada movimento envolve RH, gestor e TI. Sem uma lista, cada um faz a sua parte de memória.

O CIS Controls, referência internacional de controles de segurança, pede exatamente isso. A salvaguarda 6.1 orienta manter um processo documentado, de preferência automatizado, para conceder acesso na contratação ou na mudança de função. A salvaguarda 6.2 pede um processo para revogar acesso, desativando as contas imediatamente no desligamento, na retirada de permissões ou na mudança de função.

O que entra no checklist de onboarding de TI?

Comece pelo pedido. O RH abre um chamado com nome, cargo, gestor e data de início, de preferência uma semana antes. A partir daí, a TI segue a lista:

• Conta de usuário: criar a identidade no diretório (Microsoft Entra ID ou Active Directory) com o padrão de nome da empresa.
• Autenticação: ativar o MFA (autenticação em dois fatores) antes do primeiro login.
• Acessos por cargo: liberar os sistemas definidos para aquela função, e não copiar os acessos de um colega. Copiar perfil é o jeito mais rápido de dar acesso demais.
• E-mail, grupos e licenças: caixa de e-mail, listas de distribuição e licenças de software do cargo.
• Equipamento: notebook e celular corporativo registrados no inventário, com antivírus, criptografia de disco e atualizações aplicadas.
• Gestão do dispositivo: aparelho inscrito na ferramenta de gestão (MDM) para que a TI possa aplicar políticas e, se preciso, apagar dados da empresa remotamente.
• Termo e orientação: registro do equipamento entregue e uma orientação curta sobre senhas, golpes por e-mail e como abrir chamado.
• Teste no primeiro dia: confirmar que login, e-mail e sistemas abrem.

O que muda no checklist quando o funcionário troca de função?

A regra é trocar, não somar. Quando alguém sai do Financeiro e vai para Compras, os acessos do Financeiro precisam sair no mesmo dia em que os de Compras entram.

• RH avisa a TI da data da mudança e do novo gestor.
• TI compara os acessos atuais com os definidos para o novo cargo.
• Acessos que não fazem parte da nova função são retirados.
• Acessos novos são liberados com aprovação do novo gestor.
• Pastas compartilhadas e grupos de e-mail da área antiga são revistos.

Para isso funcionar, a empresa precisa saber o que cada cargo usa. O CIS Controls, na salvaguarda 6.8, recomenda documentar os acessos necessários para cada função e revisar os privilégios pelo menos uma vez por ano.

O que entra no checklist de offboarding de TI?

O desligamento tem uma prioridade: nenhum acesso pode sobreviver ao último dia. A lista:

• Bloqueio da conta: desativar a conta no horário combinado com o RH, de preferência no momento da comunicação.
• Desativar, não apagar: o CIS Controls observa que desativar a conta, em vez de excluí-la, pode ser necessário para preservar trilhas de auditoria.
• Sessões e MFA: encerrar sessões abertas e remover os métodos de autenticação cadastrados.
• Acessos fora do diretório: VPN, sistemas em nuvem com login próprio, redes sociais da empresa, portais de fornecedores e senhas compartilhadas, que precisam ser trocadas.
• E-mail e arquivos: definir quem recebe as mensagens e os arquivos do funcionário e por quanto tempo a caixa fica guardada.
• Equipamento: recolher notebook, celular e crachá e dar baixa no inventário.
• Celular pessoal com dados da empresa: no Microsoft Intune, a ação "Retire" remove os dados de aplicativos gerenciados, configurações e perfis de e-mail atribuídos pela empresa, sem apagar os dados pessoais do usuário. A ação "Wipe" restaura o aparelho às configurações de fábrica, e por isso serve para equipamento da empresa.
• Registro: fechar o chamado com data, hora e quem executou cada item.

Como saber se o checklist está sendo cumprido?

Com revisão periódica. O CIS Controls recomenda manter um inventário de todas as contas e validar, no mínimo a cada trimestre, que as contas ativas são autorizadas (salvaguarda 5.1). Também recomenda desativar ou excluir contas sem uso há 45 dias, onde o sistema permitir (salvaguarda 5.3).

Na prática, a cada trimestre, a TI cruza a lista de contas ativas com a lista de funcionários do RH. Toda conta sem dono é um item que o checklist deixou escapar.

Quando o checklist não resolve?

O checklist falha em quatro situações comuns:

• O RH não avisa a TI. Se a TI descobre a demissão uma semana depois, a lista chega atrasada. O gatilho precisa ser formal: chamado aberto pelo RH em toda entrada, mudança e saída.
• Os acessos estão espalhados. Sistemas com login próprio, fora do diretório central, não são bloqueados quando a conta principal é desativada. Cada um vira um item manual que alguém esquece.
• Ninguém sabe o que cada cargo usa. Sem perfil por função, o onboarding vira cópia de colega e a mudança de função vira acúmulo.
• A execução é toda manual. Em empresas com muitas entradas e saídas, a lista em planilha não acompanha. A Microsoft sugere usar o sistema de RH como fonte das identidades e fluxos automáticos para criar e remover acessos.

Como a Lenanzo Tech ajuda no onboarding e offboarding de TI

A Lenanzo Tech, de Campinas/SP, atua nas partes do ciclo em que o checklist costuma travar:

• Segurança e Identidade: governança de identidades (IGA), login único (SSO) e MFA para conceder e revogar acessos a partir de um ponto central. Veja a solução de segurança e identidade da Lenanzo Tech e o artigo sobre IGA, SSO, MFA e PAM em ambientes híbridos.
• Senha Segura 360° (PAM): controle das contas administrativas e senhas compartilhadas, que são as mais difíceis de lembrar no desligamento.
• Gestão de Endpoints e Sistemas: inventário e configuração dos equipamentos para que o notebook chegue pronto e seja recolhido com registro. Conheça a gestão de endpoints e sistemas.
• MDM: gestão dos celulares corporativos, com remoção remota dos dados da empresa. Saiba mais sobre a gestão de dispositivos móveis (MDM).
• Gestão de TI e Suporte ao Usuário: service desk com Freshservice para que cada entrada, mudança e saída vire um chamado com etapas e registro, inclusive pedidos que chegam pelo service desk no WhatsApp.

Se a sua empresa quer revisar o processo de entrada e saída de funcionários na TI, fale com a equipe da Lenanzo Tech.

Perguntas frequentes

Quem deve iniciar o onboarding e o offboarding de TI?

O RH. Ele é quem sabe primeiro da contratação, da mudança de cargo e do desligamento. A TI executa a partir do aviso formal.

Com quanto tempo de antecedência a TI deve saber de uma contratação?

Não há regra fixa. Uma semana costuma ser suficiente para preparar conta e equipamento numa PME. O importante é que o aviso venha antes do primeiro dia.

Devo excluir a conta do ex-funcionário?

Primeiro desative. O CIS Controls observa que desativar, em vez de excluir, pode ser necessário para preservar trilhas de auditoria. A exclusão vem depois, conforme a política da empresa.

O que fazer com o celular pessoal usado para trabalho?

Remover só os dados da empresa. No Microsoft Intune, a ação "Retire" faz isso sem apagar os dados pessoais do usuário.

De quanto em quanto tempo revisar as contas ativas?

O CIS Controls recomenda validar as contas ativas pelo menos a cada trimestre e desativar contas sem uso há 45 dias.

Fontes

• Center for Internet Security (CIS). CIS Control 6: Access Control Management – CIS Controls Assessment Specification v8.1. Consultado em 15/10/2026.
• Center for Internet Security (CIS). CIS Control 5: Account Management – CIS Controls Assessment Specification v8.1. Consultado em 15/10/2026.
• Microsoft Learn. Microsoft Entra ID Governance deployment guide for employee lifecycle automation. Consultado em 15/10/2026.
• Microsoft Learn. Remove devices by using wipe, retire, or manually unenrolling the device (Microsoft Intune). Consultado em 15/10/2026.