Revisão semestral de acessos e teste de restauração do backup em ONG pequena

Pontos-Chave sobre Revisão de Acessos e Backup

• O erro mais comum é o acesso que ninguém revisou: ex-voluntário com senha ativa, conta usada por três pessoas, planilha aberta a "qualquer pessoa com o link".
• Quem encaminha um link encaminha o acesso. Compartilhar por link é prático e, sem controle, é uma porta aberta que ninguém sabe quem atravessou.
• Mínimo necessário e negar por padrão. Cada pessoa recebe o que precisa para o trabalho dela, e o resto fica fechado até alguém pedir e justificar. Cargo alto não implica acesso a tudo.
• Backup só vale se a restauração foi testada, a cópia está fora do mesmo local do original e as eliminações de dados são reaplicadas depois de restaurar.
• Um código enviado por e-mail prova controle da caixa de e-mail, não a identidade da pessoa. Não o chame de autenticação forte.

Por que Revisar, se Nada Aconteceu

Em uma ONG pequena, a segurança costuma ser tratada como assunto de quando algo dá errado. O problema é que a maioria dos riscos de acesso é silenciosa: o ex-voluntário que continua com a senha não causa nenhum problema visível, até o dia em que causa. E "nenhum incidente neste ano" pode significar duas coisas bem diferentes: que nada aconteceu, ou que nada foi detectado.

A revisão semestral é a forma proporcional de enfrentar isso. Não pede equipe de tecnologia nem ferramenta cara: pede uma lista, uma reunião de uma hora e a decisão de agir sobre o que aparecer. O texto sobre controle de acesso e permissões em OSCs apresenta os conceitos; este aqui é a rotina que os mantém vivos.

Os Quatro Achados Mais Comuns

1. Acesso sem vínculo vigente

Pessoa que saiu da equipe ou do voluntariado e continua com conta ativa, e-mail institucional, acesso à pasta de documentos ou ao grupo de mensagens. É o achado mais frequente e o mais simples de corrigir. O roteiro de saída da ONG evita que ele se forme; a revisão pega o que escapou.

2. Conta usada por mais de uma pessoa

"Atendimento@" com uma senha que três pessoas conhecem. Quando algo errado acontece, ninguém sabe quem fez; quando uma delas sai, a senha precisa ser trocada para todas. O texto sobre contas compartilhadas e seus riscos mostra como migrar para acessos individuais sem travar o trabalho.

3. Documento aberto a "qualquer pessoa com o link"

Planilhas de atendidos, listas de contatos e relatórios com dados de pessoas, compartilhados por link aberto. A regra prática: quem encaminha o link encaminha o acesso. O link vai parar em grupos de mensagens, em e-mails encaminhados e em computadores de terceiros. Prefira compartilhar com pessoas nominais e revisar a lista de quem tem acesso.

4. Acesso acima do necessário

A coordenadora que tem acesso ao financeiro "porque coordena", o voluntário de eventos que enxerga o cadastro completo de famílias, o conselheiro com permissão de edição quando só precisaria ler. Aqui vale o princípio: cargo alto não implica acesso a tudo. O acesso decorre da tarefa, não da hierarquia.

Mínimo Necessário e Negar por Padrão

Dois princípios resolvem a maior parte do desenho de acessos:

• Mínimo necessário: cada pessoa recebe apenas o acesso de que precisa para a tarefa que realiza. A LGPD (art. 6º, III) trata da necessidade no tratamento de dados, e isso se aplica também a quem pode ver o quê.
• Negar por padrão: um novo acesso começa fechado. Quem precisa pede, diz para quê e quem aprova. É mais trabalhoso no início e muito mais seguro do que abrir tudo e tentar fechar depois.

Uma matriz simples ajuda: linhas com perfis (coordenação, atendimento, financeiro, voluntário de oficina, conselho) e colunas com áreas (cadastro de atendidos, financeiro, documentos, comunicação). Cada célula diz: sem acesso, leitura ou edição. Revisar a matriz é revisar os acessos.

Confirmação Extra em Ações Sensíveis

Algumas ações são difíceis de desfazer ou afetam muita gente de uma vez. Para elas, vale exigir um passo a mais:

• Exclusão definitiva de registros ou de arquivos.
• Exportação em massa de dados pessoais.
• Troca de credencial, como senha, e-mail de recuperação ou administrador de uma conta.
• Alteração de permissões de outras pessoas.

A confirmação extra pode ser simples: uma segunda pessoa aprova, ou a pessoa confirma uma mensagem antes de concluir. O objetivo é impedir que um clique distraído, ou uma conta invadida, faça um estrago grande.

O que o código por e-mail prova (e o que não prova)

Muitas ferramentas enviam um código ao e-mail da pessoa para confirmar uma ação. Isso é útil, mas é preciso saber o que ele significa: prova que quem está agindo controla aquela caixa de e-mail, não que seja a pessoa certa. Se a caixa de e-mail foi invadida, o código chega ao invasor. Se a caixa é compartilhada, chega a todos.

Por isso, evite chamar de "autenticação forte" aquilo que não é. Para contas de maior risco (administradores, financeiro, e-mail institucional), considere um segundo fator mais robusto, como aplicativo autenticador ou chave de segurança, conforme o que o serviço oferecer. Para o restante, um código por e-mail é uma camada a mais, e deve ser descrito assim.

Backup: Três Perguntas que Importam

O texto sobre backup e recuperação de dados em OSCs explica o conceito. Para uma ONG pequena, o que mais protege se resume a três perguntas.

1. A cópia está fora do mesmo local?

Uma cópia no mesmo computador, na mesma sala ou na mesma conta do original não protege contra o que derruba o original: roubo, incêndio, defeito, ransomware ou uma conta invadida. Mantenha pelo menos uma cópia em outro lugar e fora do alcance das mesmas credenciais. O artigo sobre phishing e ransomware mostra por que a cópia que o invasor consegue apagar não vale como cópia.

2. A restauração foi testada?

Backup que nunca foi restaurado é uma hipótese. Pode estar vazio, incompleto, protegido por uma senha que ninguém lembra ou em formato que ninguém consegue abrir. O teste é simples e deve ser agendado:

1. Escolha uma data e avise a equipe.
2. Restaure uma amostra (um conjunto de arquivos, uma planilha importante, uma base de dados) em um ambiente separado.
3. Confira se abre, se está completa e se os dados mais recentes estão lá.
4. Anote o tempo que levou e quem fez.
5. Registre o resultado e o que precisa ser corrigido.

Uma ONG pequena pode fazer esse teste uma ou duas vezes por ano, junto da revisão de acessos.

3. As eliminações são reaplicadas após restaurar?

Aqui está um ponto pouco lembrado. Se a ONG elimina dados pessoais (porque a finalidade acabou, porque o titular pediu ou porque o prazo de guarda venceu) e depois restaura um backup antigo, o dado eliminado volta. A ONG precisa de um registro das eliminações feitas desde a data da cópia e de um procedimento para reaplicá-las após qualquer restauração. A LGPD (art. 18) trata dos direitos do titular, entre eles a eliminação em certas hipóteses; um backup que ressuscita o dado desfaz o que a ONG fez para cumprir o pedido.

Também vale definir por quanto tempo as cópias antigas são mantidas, para que dados eliminados não fiquem indefinidamente em arquivos esquecidos.

A Rotina Semestral em Uma Hora

Reserve uma reunião de uma hora, duas vezes por ano, com quem administra os acessos e um representante da direção.

Passo	O que fazer	Evidência
1. Lista de pessoas com vínculo vigente	Conferir com a coordenação e a administração quem está ativo	Lista datada
2. Lista de acessos por ferramenta	Exportar ou listar contas e permissões (e-mail, pastas, sistema, redes, banco)	Prints ou exportações
3. Cruzamento	Marcar quem tem acesso e não tem vínculo vigente	Lista de exceções
4. Contas compartilhadas	Identificar e planejar a troca por acessos individuais	Plano com responsável e prazo
5. Links abertos	Revisar compartilhamentos de documentos com dados pessoais	Lista de links fechados
6. Acessos externos	Conferir contadores, consultores e parceiros; acessos vencidos são revogados	Registro de revogações
7. Mínimo necessário	Comparar permissões com a matriz de perfis	Ajustes feitos
8. Teste de restauração	Restaurar uma amostra do backup	Relatório do teste
9. Ata	Registrar o que foi encontrado, o que foi corrigido e o que ficou pendente	Ata assinada

Essa revisão aparece naturalmente como uma linha da matriz de obrigações, como boa prática semestral, com responsável e evidência.

Indicadores que Valem Acompanhar

Indicador	Meta	Leitura
Acessos ativos sem vínculo vigente	Zero	Qualquer número acima de zero é uma ação a executar
Revisões feitas × revisões previstas	100%	Mostra se a rotina está sendo cumprida
Acessos externos vencidos ainda ativos	Zero	Contadores e consultores cujo trabalho acabou
Contas compartilhadas	Tendência de queda	Cada uma tem plano de substituição
Teste de restauração realizado no período	Sim	Com resultado registrado
Dias entre o fim do vínculo e a revogação	Mesmo dia	Veja o roteiro de desligamento

Um alerta de interpretação: "sem incidentes" pode significar "sem detecção". Se a ONG não revisa acessos nem tem registros de quem entra no quê, a ausência de problemas conhecidos diz pouco. A trilha de acessos a dados sensíveis, como a descrita em auditoria de acessos em CRMs, é o que transforma "não aconteceu nada" em "não encontramos nada ao procurar".

Níveis de Maturidade: de Onde Partir

Nem toda ONG precisa chegar ao último nível. Os níveis abaixo são uma sugestão de crescimento.

Nível	Características
Essencial	Lista de quem tem acesso a quê; contas individuais nas áreas principais; backup em local separado; revisão uma vez por ano; senhas institucionais com a direção
Estruturado	Matriz de perfis e permissões; revisão semestral com ata; confirmação extra em ações sensíveis; segundo fator em contas de administração; teste de restauração anual; roteiro de saída
Institucional	Registro de acessos a dados sensíveis revisado por amostragem; indicadores acompanhados pela diretoria; testes de restauração com eliminações reaplicadas; plano de resposta a incidentes treinado; revisões documentadas e auditáveis

A pergunta de proporcionalidade é: quanto dado sensível a ONG guarda, quantas pessoas acessam e que dano um erro causaria? Uma ONG que atende crianças e famílias em situação de vulnerabilidade tem motivos para subir de nível antes de uma que só guarda lista de doadores recorrentes.

Exemplo Ilustrativo

Uma ONG de contraturno faz sua primeira revisão. Em uma hora descobre: duas ex-voluntárias ainda com acesso à pasta de famílias; uma conta de e-mail de atendimento usada por três pessoas; uma planilha de presenças compartilhada por link aberto há um ano; e uma consultora externa, com contrato encerrado, ainda listada como administradora do site.

Nada tinha dado errado, e mesmo assim havia quatro portas abertas. Na mesma reunião, a ONG revogou os acessos, trocou o link por compartilhamento nominal, abriu um plano para substituir a conta compartilhada e agendou o teste de restauração do backup. Na segunda reunião, seis meses depois, o número de acessos sem vínculo era zero.

Checklist Rápido

• Temos lista de acessos por ferramenta e por pessoa.
• Quem não tem vínculo vigente não tem acesso (meta zero).
• Contas compartilhadas têm plano de substituição.
• Documentos com dados pessoais não estão abertos a qualquer pessoa com o link.
• Ações sensíveis (exclusão definitiva, exportação em massa, troca de credencial) exigem confirmação extra.
• Não chamamos de autenticação forte o que é código por e-mail.
• Existe cópia fora do mesmo local e fora do alcance das mesmas credenciais.
• A restauração foi testada nos últimos 12 meses, com resultado registrado.
• As eliminações de dados são reaplicadas após restaurar um backup.
• A revisão semestral está na matriz de obrigações, com responsável.

Como o Nexus Social Trata o Assunto

O Nexus Social oferece controle de acesso por papéis, que ajuda a aplicar o mínimo necessário por perfil, e uma trilha de auditoria de acessos a dados sensíveis, que ajuda a verificar depois quem acessou o quê. A revisão semestral, a decisão sobre o que cada perfil pode ver e o teste de restauração continuam sendo rotinas da ONG, com ou sem sistema.

Perguntas Frequentes

Com que frequência devo revisar os acessos?

Para uma ONG pequena, semestralmente costuma ser proporcional, e sempre que houver uma saída ou mudança grande de equipe. Organizações com muitos dados sensíveis podem preferir revisões mais frequentes.

Quem deve fazer a revisão?

Quem administra os acessos, com acompanhamento de alguém da direção. Evite que a revisão seja feita apenas pela pessoa com mais acessos, que pode ter conflito de interesse.

Um código por e-mail é autenticação forte?

Não deve ser descrito assim. Ele indica que quem age controla a caixa de e-mail, e não que seja a pessoa certa. É uma camada útil, e contas de maior risco merecem um segundo fator mais robusto, quando o serviço oferecer.

Por que testar a restauração se o backup roda todo dia?

Porque o backup só prova que a cópia foi feita, e não que ela pode ser recuperada. O teste revela cópias incompletas, vazias ou impossíveis de abrir antes de o problema real aparecer.

O que significa "eliminações reaplicadas após restaurar"?

Se a ONG eliminou dados pessoais depois da data da cópia e restaura essa cópia, os dados eliminados voltam. É preciso manter registro das eliminações e reaplicá-las depois de qualquer restauração.

Por quanto tempo devo guardar as cópias de segurança?

Depende do que contêm, das obrigações de guarda aplicáveis e do risco. Defina um prazo e confirme com o contador e o jurídico, para que cópias antigas não preservem indefinidamente dados que deveriam ter sido eliminados.

Conclusão

A maioria dos problemas de acesso em ONGs pequenas não nasce de ataque sofisticado, mas de acesso que ninguém revisou. Uma hora duas vezes por ano, com lista, cruzamento com os vínculos vigentes, atenção aos links abertos e às contas compartilhadas, confirmação extra nas ações sensíveis e um teste de restauração do backup, resolve a maior parte do risco. Comece pelo nível essencial, acompanhe o indicador de acessos sem vínculo vigente até chegar a zero e lembre-se de que "sem incidentes" só tem valor quando a ONG sabe como procurar.

---

Quer controlar acessos por papel e acompanhar quem acessa dados sensíveis na sua ONG? Agende uma demonstração gratuita e converse com a equipe.

Saiba mais sobre o Nexus Social e a gestão integrada para organizações sociais.

---

Fontes e Referências

• Lei nº 13.709/2018 (LGPD) — Planalto — Necessidade (art. 6º, III), direitos do titular (art. 18), segurança (art. 46) e comunicação de incidente (art. 48)
• Prazos de guarda de cópias de segurança e de documentos devem ser confirmados com o contador e o jurídico, conforme as obrigações aplicáveis à ONG.