Um colaborador que acessa uma pasta de casos estratégicos sem participar deles, uma conta de ex-funcionário ainda ativa ou uma senha compartilhada entre a equipe são situações comuns, mas com alto potencial de dano. Saber como criar política de acesso interno é uma medida de governança que protege o sigilo profissional, reduz a exposição à LGPD e preserva a confiança que sustenta a relação entre escritório e cliente.
Para um escritório de advocacia, controle de acesso não é apenas uma configuração de TI. É uma decisão operacional: quem precisa ver determinado dado, para qual finalidade, por quanto tempo e sob quais condições? Quando essas respostas não estão formalizadas, o escritório passa a depender de improvisos, permissões excessivas e práticas difíceis de auditar.
O que uma política de acesso interno precisa proteger
A política de acesso interno define regras para uso de sistemas, arquivos, e-mails, plataformas jurídicas, serviços em nuvem e equipamentos corporativos. Seu objetivo é garantir que cada usuário acesse somente os recursos necessários para exercer sua função.
Esse princípio é conhecido como menor privilégio. Um advogado alocado em uma operação societária pode precisar consultar documentos daquele cliente, mas não necessariamente os arquivos de um litígio sensível conduzido por outra equipe. Da mesma forma, uma pessoa do financeiro precisa de acesso ao faturamento, porém não aos dados completos de estratégias processuais.
A separação parece simples, mas precisa considerar a realidade do escritório. Equipes enxutas exigem colaboração rápida. Sócios podem atuar em diversas áreas. Assistentes e estagiários precisam apoiar múltiplos profissionais. A política não deve criar obstáculos artificiais ao trabalho, e sim estabelecer critérios claros para liberar, revisar e remover acessos sem comprometer a produtividade.
Também é preciso considerar que informações confidenciais não estão apenas no sistema jurídico. Elas circulam em caixas de e-mail, pastas compartilhadas, aplicativos de mensagem corporativos, dispositivos móveis, ferramentas de assinatura e plataformas de videoconferência. Uma política eficaz enxerga esse ambiente como um todo.
Como criar política de acesso interno para o escritório
O ponto de partida é mapear onde estão os dados relevantes e quem os utiliza. Não comece escolhendo uma ferramenta. Comece entendendo a operação, os riscos e os compromissos de confidencialidade assumidos com clientes.
Classifique informações e sistemas por criticidade
Nem todo dado exige o mesmo nível de restrição. Uma agenda institucional tem impacto diferente de um parecer ainda não protocolado, de documentos de due diligence ou de dados pessoais sensíveis coletados em uma ação trabalhista.
Uma classificação prática pode separar ativos em uso público, uso interno, confidencial e altamente confidencial. Essa definição deve refletir os riscos reais do escritório. Arquivos altamente confidenciais, por exemplo, podem exigir grupos de acesso específicos, autenticação multifator e proibição de compartilhamento externo sem autorização.
A classificação ajuda a transformar uma regra genérica em decisões consistentes. Em vez de perguntar a cada solicitação se alguém “pode acessar”, a equipe avalia qual é o nível de confidencialidade do material e qual perfil de usuário se aplica.
Defina perfis, não permissões individuais como regra
Conceder acesso pessoa por pessoa pode parecer rápido, mas cria um ambiente difícil de administrar. Com o tempo, ninguém sabe por que determinada conta tem permissão para abrir uma pasta, alterar um cadastro ou exportar documentos.
O caminho mais seguro é criar perfis vinculados a funções, como sócio, advogado, estagiário, paralegal, financeiro, RH, TI e fornecedor. Cada perfil recebe permissões mínimas compatíveis com suas responsabilidades. A entrada de um novo profissional passa a seguir um padrão, e não a memória de quem configurou os acessos anteriormente.
Existem exceções legítimas, especialmente em casos urgentes ou projetos multidisciplinares. Elas devem ser temporárias, aprovadas pelo responsável da área e registradas. Acesso excepcional sem prazo de expiração costuma se tornar acesso permanente por descuido.
Estabeleça um fluxo formal de entrada, mudança e saída
Boa parte dos incidentes internos acontece em transições mal conduzidas. Um novo colaborador começa sem os recursos necessários e recebe credenciais improvisadas. Um advogado muda de área e mantém permissões antigas. Um desligamento ocorre, mas a conta de e-mail, o acesso remoto ou o celular corporativo permanecem ativos.
A política deve determinar quem solicita, quem aprova e quem executa cada alteração de acesso. Em admissões, o gestor informa o perfil necessário antes do início das atividades. Em mudanças de função, as permissões anteriores são revisadas, não apenas somadas às novas. Em desligamentos, o bloqueio de contas e sessões deve ocorrer imediatamente, de acordo com o nível de risco e o contexto da saída.
Esse processo também deve abranger terceiros. Consultores, prestadores de TI, contadores e fornecedores podem precisar de acesso pontual, mas não devem receber credenciais genéricas ou ilimitadas. O ideal é que tenham contas nominativas, acesso restrito, prazo definido e acompanhamento das atividades quando o ambiente envolver dados sigilosos.
Exija autenticação forte e elimine credenciais compartilhadas
Uma senha compartilhada impede a responsabilização e dificulta a investigação de qualquer ocorrência. Se várias pessoas usam o mesmo login para acessar uma plataforma, não há como saber quem visualizou, alterou ou exportou um arquivo.
Cada usuário deve ter uma conta individual. Senhas devem ser protegidas, não reutilizadas em serviços pessoais e nunca enviadas por e-mail ou aplicativos de mensagem. A autenticação multifator deve ser obrigatória, sobretudo para e-mail, acesso remoto, armazenamento em nuvem, sistemas financeiros e painéis administrativos.
O uso de multifator não elimina todos os riscos. Um colaborador ainda pode aprovar uma tentativa de acesso fraudulenta por distração ou pressão. Por isso, a política precisa ser acompanhada de treinamento de conscientização sobre phishing, engenharia social e confirmação de solicitações incomuns.
Revisões periódicas evitam privilégios acumulados
A política só funciona quando é aplicada continuamente. Uma revisão semestral pode ser suficiente para estruturas menores e estáveis, enquanto áreas com alta rotatividade, grande volume de casos sensíveis ou exigências contratuais específicas podem precisar de ciclos trimestrais.
Nessa revisão, gestores devem confirmar se cada pessoa ainda necessita dos acessos que possui. A equipe de tecnologia deve identificar contas inativas, permissões administrativas em excesso, acessos de terceiros vencidos e tentativas de autenticação suspeitas. Registros de acesso ajudam a demonstrar diligência diante de auditorias, questionários de segurança de clientes ou incidentes.
É recomendável definir indicadores simples: número de contas sem uso, percentual de usuários com multifator ativo, acessos excepcionais vencidos e prazo médio para bloqueio após desligamento. Esses dados tornam a gestão visível para os sócios e permitem corrigir falhas antes que se transformem em vazamento ou interrupção operacional.
O documento deve ser claro, aplicável e conhecido pela equipe
Uma política extensa, cheia de termos técnicos e guardada em uma pasta que ninguém consulta não muda comportamentos. O documento precisa explicar, em linguagem objetiva, as responsabilidades de usuários, gestores e TI, os tipos de acesso existentes, as exigências de autenticação, as regras para trabalho remoto e as consequências em caso de descumprimento.
Também deve indicar como reportar uma suspeita. Um usuário que recebe um pedido incomum de acesso precisa saber a quem recorrer sem receio de parecer pouco colaborativo. Em segurança, interromper uma ação para validar uma solicitação é sinal de maturidade, não de burocracia.
O treinamento deve ser recorrente e conectado a situações reais do cotidiano jurídico: envio de documentos ao cliente, acesso a arquivos de uma equipe parceira, uso de celular fora do escritório, troca de responsável por uma conta e respostas a fornecedores. A política ganha valor quando se transforma em rotina.
Quando a política precisa de apoio especializado
Escritórios que lidam com operações complexas, dados sensíveis em grande escala ou questionários de segurança exigentes podem precisar ir além de uma matriz básica de permissões. Nesses casos, uma avaliação de riscos, a revisão da arquitetura de identidade, o monitoramento de acessos e um plano de resposta a incidentes ajudam a alinhar a política à realidade técnica e contratual do negócio.
A Lobios atua com foco na realidade dos escritórios de advocacia, conectando controle de acesso, continuidade operacional e proteção de informações confidenciais. O resultado esperado não é apenas cumprir uma exigência formal, mas reduzir a chance de uma credencial indevida comprometer um caso, um cliente ou a reputação construída pelo escritório.
Uma política de acesso interno bem conduzida dá à equipe clareza para trabalhar e aos sócios evidência de que informações sensíveis estão sob controle. Esse é o tipo de disciplina silenciosa que protege a confiança antes que ela seja colocada à prova.
