Colaborador desligado: como cortar o acesso ao computador no mesmo minuto

A situação

A conversa de desligamento está marcada para as dez da manhã. O RH avisa a TI às nove e quarenta: "a partir das dez, essa pessoa não pode mais acessar nada". O e-mail e os sistemas na nuvem se resolvem com alguns cliques. O computador é outra história.

O notebook está na mesa do colaborador, ligado, com a sessão aberta. Ou está com ele em casa, porque ele trabalha remoto às sextas. Ou fica numa filial onde o técnico do MSP só vai uma vez por mês. A conta usada para entrar no Windows é local, criada na instalação, e às vezes é a única com permissão de administrador.

Enquanto ninguém mexe nessa máquina, quem acabou de sair continua podendo entrar nela.

Por que é um problema

O momento entre o aviso de desligamento e a devolução do equipamento é o de maior risco. É quando alguém insatisfeito pode copiar arquivos, apagar documentos ou trocar a senha e travar o computador para quem vier depois.

Desativar o e-mail não resolve isso. Arquivos salvos no próprio computador, pastas sincronizadas e programas abertos continuam ao alcance de quem tem a senha da conta local. Se essa conta for administradora, a pessoa ainda pode instalar programas, criar outros usuários ou desligar proteções do sistema.

Para o MSP, o desligamento vira um chamado urgente com hora marcada, que muitas vezes exige deslocamento ou depende de alguém no local seguir instruções por telefone.

Como resolver manualmente

Comece separando o tipo de conta que o colaborador usa para entrar no computador.

Conta de domínio (Active Directory ou Entra ID): desative a conta no console de administração do domínio. Atenção: um computador que não está conectado à rede da empresa pode continuar aceitando a senha antiga por algum tempo, porque o Windows guarda as credenciais do último login. Por isso, vale combinar a desativação no domínio com as medidas no próprio computador.

Conta local no Windows: com uma conta de administrador da TI, siga estes passos.

1. Desative a conta. Abra o Gerenciamento do Computador, vá em Usuários e Grupos Locais, depois em Usuários, abra as propriedades da conta e marque a opção que desabilita a conta. Pelo Prompt de Comando como administrador, o equivalente é net user NOME /active:no.
2. Tire a permissão de administrador. No mesmo lugar, em Grupos, abra o grupo Administradores e remova a conta. Também dá para fazer em Configurações, em Contas, alterando o tipo de conta para usuário padrão.
3. Encerre a sessão aberta. Desativar a conta não derruba quem já está logado. É preciso encerrar a sessão, pelo Gerenciador de Tarefas (aba Usuários) ou reiniciando o computador.
4. Se a conta for continuar existindo (por exemplo, para outra pessoa assumir a máquina), redefina a senha e marque a opção que obriga o usuário a alterar a senha no próximo logon.

Conta local no macOS: em Ajustes do Sistema, Usuários e Grupos, é possível redefinir a senha da conta e desmarcar a permissão para administrar o computador. O macOS não tem, nessa tela, um botão simples para desativar a conta; quando a pessoa não vai mais usar a máquina, a alternativa é excluir a conta, escolhendo guardar a pasta pessoal se os arquivos ainda forem necessários.

Tudo isso exige estar diante do computador ou conectado a ele por acesso remoto, com uma conta de administrador que funcione. Se o notebook está com o ex-colaborador, nada disso é possível até ele devolver a máquina.

Como o SwiftEye DSM resolve

Com o agente do SwiftEye DSM instalado no computador, o técnico faz pelo painel, à distância, o que antes exigia estar na frente da máquina:

• Desativa o usuário local. No Windows, o técnico pode escolher desativar e encerrar a sessão que estava aberta: se a pessoa estiver conectada, o computador reinicia, e a desativação vale na hora, e não só no próximo login.
• Tira a permissão de administrador da conta.
• Força a troca de senha no próximo login, no Windows. Útil quando a conta vai ser reaproveitada e ninguém deve entrar com a senha antiga.

Assim, o corte de acesso pode acontecer no mesmo minuto da conversa de desligamento, sem deslocamento e sem depender de alguém no local.

O que é importante saber:

• O agente precisa estar instalado antes. Não adianta instalar no dia do desligamento, se o computador já não está sob controle da TI.
• As ações valem para computadores classificados como da empresa no SwiftEye DSM.
• A troca de senha forçada é só no Windows.
• A reinicialização para encerrar a sessão aberta é feita no Windows. Avise quem estiver usando o computador, se for o caso, porque o que não estiver salvo se perde.
• O SwiftEye DSM cuida da conta local do computador. Contas de domínio, e-mail e sistemas na nuvem continuam sendo desativados nos seus próprios consoles.

O melhor momento para preparar o desligamento é a admissão: instalar o agente no dia em que o computador entra na empresa e garantir que o colaborador use uma conta sem permissão de administrador.