O novo funcionário chegou, mas passou o primeiro dia esperando acessos

Quando o novo funcionário passa o primeiro dia esperando login, e-mail e sistemas, o problema não é falta de técnico. É falta de processo. O onboarding de TI resolve isso com três peças: um pedido formal que sai do RH antes da contratação, um perfil de acessos definido por cargo e uma rotina que prepara conta e equipamento antes da data de início.

O CIS Controls, referência internacional de boas práticas de segurança, trata isso como controle básico. A salvaguarda 6.1 pede um processo documentado, de preferência automatizado, para conceder acesso na contratação ou na mudança de função. Ela faz parte do grupo de implementação 1, o mais básico dos três grupos do CIS.

Por que o novo funcionário fica sem acesso no primeiro dia?

Em muitas empresas, a TI descobre a contratação no mesmo dia em que a pessoa chega. O RH fechou a vaga, o gestor combinou a data, mas ninguém abriu um pedido para a TI. A partir daí, tudo vira urgência.

Os motivos se repetem:

• Aviso tardio. A informação da contratação circula por e-mail ou conversa, sem chegar à TI com antecedência.
• Ninguém sabe o que liberar. Sem um perfil por cargo, a TI pergunta ao gestor, que responde "libera igual ao fulano". O novo funcionário herda acessos que não precisa.
• Aprovações soltas. Cada sistema tem um dono diferente. Um aprova no mesmo dia, outro demora uma semana.
• Equipamento não preparado. O notebook chega sem imagem, sem antivírus e sem os programas da área.
• Licenças contadas. Falta licença de e-mail ou do sistema de gestão, e a compra só começa quando alguém percebe.

Quanto custa um primeiro dia sem acessos?

O custo direto é simples de calcular. Um exemplo com valores ilustrativos: um analista com custo mensal de R$ 8.800 para a empresa, em um mês de 22 dias úteis, custa R$ 400 por dia. Se ele espera dois dias por acessos, são R$ 800 pagos sem produção. Em uma empresa que contrata 25 pessoas por ano, isso soma R$ 20.000. Ajuste os números à sua realidade.

O custo indireto pesa mais. Para não deixar o colega parado, alguém empresta o próprio login. A Cartilha de Segurança para Internet do CERT.br é direta nesse ponto: não forneça suas senhas para outra pessoa, em hipótese alguma. A partir do empréstimo, tudo o que o novo funcionário fizer fica registrado em nome de outra pessoa. Se houver um incidente, a empresa não consegue saber quem fez o quê.

O que precisa estar pronto antes do primeiro dia?

Um checklist de entrada cobre quatro frentes:

1. Identidade. Conta criada, e-mail ativo, grupos do departamento atribuídos e autenticação multifator configurada ou pronta para o primeiro acesso.
2. Sistemas. Acessos do perfil do cargo liberados: sistema de gestão, pastas da área, ferramentas de comunicação. Nada além disso.
3. Equipamento. Notebook com sistema atualizado, proteção de endpoint ativa, criptografia de disco e programas da área instalados. Celular corporativo cadastrado no gerenciamento de dispositivos móveis, se houver.
4. Orientação. Como abrir chamado, política de uso aceitável assinada e um contato da TI para o primeiro dia.

Para que isso aconteça, o pedido precisa chegar com prazo. Uma regra prática é exigir que o RH abra o pedido de entrada alguns dias antes do início, com nome, cargo, área, gestor e data. Esse prazo é seu: defina o que a sua TI consegue cumprir e combine com o RH.

Como definir quais acessos cada cargo recebe?

O jeito mais seguro é o controle de acesso baseado em função. Em vez de decidir acesso por pessoa, a empresa define um pacote por cargo. "Analista financeiro" recebe o sistema de gestão no módulo financeiro, a pasta do financeiro e o banco no perfil de consulta. Quem entra no cargo recebe o pacote. Quem precisa de algo a mais pede, com aprovação do dono do sistema.

O CIS Controls descreve essa prática na salvaguarda 6.8: definir e documentar os direitos de acesso necessários para cada função. Ela aparece no grupo de implementação 3, o mais avançado dos três. Para uma PME, comece pequeno: liste os cinco ou seis cargos que mais contratam e monte o pacote de cada um.

Esse mesmo pacote serve na saída. Quando a pessoa deixa a empresa ou muda de área, a TI sabe exatamente o que retirar. Entrada e saída são duas pontas do mesmo processo.

Dá para automatizar o onboarding de TI?

Dá. Para quem usa Microsoft 365, há recursos nativos para isso. O Microsoft Entra ID Governance oferece os Lifecycle Workflows, fluxos que disparam tarefas a partir da data de contratação. Entre as tarefas prontas para entrada estão enviar e-mail de boas-vindas, atribuir licenças, adicionar o usuário a grupos e ao Teams e habilitar a conta.

Um exemplo da própria documentação da Microsoft: um fluxo que roda dois dias antes da data de contratação, gera um Temporary Access Pass (TAP) e envia ao gestor. O TAP é um código de acesso com prazo de validade. O funcionário usa o código no primeiro login para cadastrar seus métodos de autenticação, sem que ninguém precise criar e repassar uma senha provisória. Por padrão, o TAP vale uma hora, e o administrador pode configurar validade de 10 minutos a 30 dias.

Esse recurso exige licença do Microsoft Entra ID Governance ou do Microsoft Entra Suite. Antes de contratar, confira o que o seu licenciamento atual já cobre.

Quando o onboarding de TI não resolve sozinho

A automação executa o processo. Ela não cria o processo. Há situações em que a ferramenta não ajuda:

• O RH não avisa. Se a contratação não entra no sistema com antecedência, nenhum fluxo dispara. A integração entre RH e TI é a primeira coisa a resolver.
• Perfis desatualizados. Um pacote de acesso montado há dois anos libera sistemas que a área já não usa. Revise os perfis pelo menos uma vez por ano.
• Sistemas fora do diretório. Aplicações que não se conectam ao Entra ID ou a um SSO continuam exigindo cadastro manual. Liste quais são e decida se vale integrá-las.
• Equipamento sem estoque. Automação de conta não resolve notebook que não chegou. Compras precisa entrar no mesmo fluxo.

Como a Lenanzo Tech ajuda no onboarding de TI

A Lenanzo Tech, de Campinas/SP, atua nas frentes que fazem o primeiro dia funcionar:

• Identidade e acesso. Com a solução de segurança e identidade com IGA, SSO e MFA, os acessos passam a seguir perfis e aprovações rastreáveis. O post sobre eficiência de acesso com IGA, SSO/MFA e PAM em ambientes híbridos detalha como essas camadas se combinam.
• Equipamento pronto. A gestão de endpoints e sistemas padroniza a preparação do notebook, com atualizações e programas da área. Para celulares corporativos, a solução de MDM para dispositivos móveis aplica as políticas da empresa desde o cadastro.
• Pedido com prazo. No service desk, o pedido de entrada vira chamado com responsável e acompanhamento, inclusive quando chega por WhatsApp, como mostra o post sobre service desk no WhatsApp com chamados e SLA.
• Ambiente Microsoft. Para quem quer usar os recursos de identidade do Microsoft 365 e do Entra ID, a Lenanzo Tech também atua na migração de ambientes Microsoft.

Se a sua TI ainda descobre as contratações no dia, fale com a equipe da Lenanzo Tech para mapear o processo de entrada e o que pode ser automatizado.

Perguntas frequentes sobre onboarding de TI

O que é onboarding de TI?

É o processo que prepara conta, acessos, equipamento e orientações para o novo funcionário antes do primeiro dia de trabalho.

Quem é responsável pelo onboarding de TI?

O RH informa a contratação, o gestor define o cargo e aprova acessos extras, e a TI executa. Sem o aviso do RH, a TI não tem como se antecipar.

Com quanto tempo de antecedência a TI deve ser avisada?

Não há prazo único. Defina o que a sua TI consegue cumprir, considerando compra de equipamento e licenças, e formalize esse prazo com o RH.

É seguro emprestar o login de outro funcionário no primeiro dia?

Não. O CERT.br orienta a nunca fornecer senhas para outra pessoa. Além do risco, as ações ficam registradas no nome errado.

Preciso de uma ferramenta para fazer onboarding de TI?

Não para começar. Um checklist e um pedido formal já resolvem boa parte. A automação faz sentido quando o volume de contratações cresce.

Onboarding e offboarding são processos separados?

São duas pontas do mesmo processo. O perfil de acesso usado na entrada é a lista do que precisa ser retirado na saída.

Fontes

• Center for Internet Security (CIS). CIS Control 6: Access Control Management(Controls Assessment Specification). Consultado em 05/10/2026.
• Microsoft Learn. Automate employee onboarding tasks before their first day of work with the Microsoft Entra admin center. Consultado em 05/10/2026.
• Microsoft Learn. Lifecycle Workflows tasks and definitions. Consultado em 05/10/2026.
• Microsoft Learn. Configure Temporary Access Pass to register passwordless authentication methods. Consultado em 05/10/2026.
• CERT.br / NIC.br. Cartilha de Segurança para Internet – Fascículo Senhas. Consultado em 05/10/2026.