Onde ficam as senhas dos portais dos seus clientes
As três respostas mais comuns, por que cifrar não basta sem registro, e como copiar uma senha sem exibi-la na tela.
Faça a pergunta a qualquer escritório contábil e as respostas se repetem: numa planilha, num bloco de notas, ou num grupo de WhatsApp antigo onde alguém mandou uma vez.
As três são compreensíveis, porque resolvem um problema real de forma imediata e gratuita. E as três têm o mesmo defeito: o escritório guarda a chave de acesso a tudo o que dezenas de empresas têm no fisco, sem controle e sem registro.
As três respostas mais comuns
| Onde está | O problema específico |
|---|---|
| Planilha compartilhada | Todo mundo vê tudo, e ninguém sabe quem abriu |
| Bloco de notas ou papel | Existe numa máquina só, e some com ela |
| Mensagem antiga | Fica no aparelho de quem recebeu, para sempre |
A terceira é a pior e a mais comum. Uma senha enviada por mensagem em 2023 continua legível no celular de alguém que talvez nem trabalhe mais lá.
O que acontece num vazamento
Vale ser concreto sobre a consequência, porque ela costuma ser subestimada. Credencial de portal não é dado pessoal comum: é acesso.
Com ela, alguém consulta a situação fiscal completa de uma empresa, baixa documentos, e dependendo do portal, movimenta coisas. O escritório vai precisar explicar aos clientes o que aconteceu, e a primeira pergunta deles vai ser como as senhas estavam guardadas.
Cifrar não basta, precisa registrar
Muita gente resolve metade do problema e para. Cifrar protege contra quem copia o arquivo. Não protege contra o acesso indevido de quem tem permissão, e não ajuda em nada a responder depois.
Um cofre utilizável precisa das quatro coisas juntas:
- Cifragem de verdade, não senha de planilha
- Acesso por pessoa, porque nem todo mundo precisa de tudo
- Registro de uso: quem consultou, qual credencial, quando
- Revogação imediata, para o dia do desligamento
O terceiro é o que mais falta e o mais decisivo. Sem ele, um incidente não é investigável, e a diligência não é demonstrável. O contexto está em LGPD no escritório contábil.
Copiar sem exibir
Um detalhe pequeno com efeito grande: a senha não precisa aparecer na tela para ser usada. O fluxo saudável é copiar direto para a área de transferência, sem exibição.
Isso resolve três exposições de uma vez: a pessoa ao lado que vê a tela, a captura de tela que vai parar num grupo, e o histórico de uma sessão compartilhada. Nenhuma delas é hipotética.
Certificado A1 e validade
O certificado merece tratamento próprio, e por dois motivos diferentes.
Como arquivo, ele é a credencial mais poderosa que o escritório guarda, e costuma estar numa pasta de rede aberta, sem registro de quem o usou.
Como prazo, ele vence, e vence sempre no pior momento. Certificado expirado não é inconveniente: é uma operação inteira parada, descoberta na véspera de um prazo. Alerta com pelo menos trinta dias de antecedência é o mínimo, porque a renovação envolve terceiros.
Como migrar da planilha
É uma tarde de trabalho, e é provavelmente a mudança de maior retorno sobre esforço deste portal inteiro:
- Cadastre as credenciais no cofre, cliente por cliente
- Defina quem precisa de acesso a quê, sem dar tudo a todos por padrão
- Apague a planilha, e apague também as versões antigas e os backups dela
- Peça à equipe que apague as mensagens antigas com senha
O terceiro e o quarto passos são os que costumam ser esquecidos, e são os que fecham o buraco de verdade. Cofre novo com planilha antiga viva no compartilhamento não resolveu nada.
Teste com a sua própria carteira
São 14 dias para conectar o WhatsApp, cadastrar o que se repete e ver a plataforma respondendo no seu tom. Sem cartão.
Testar 14 dias grátis Ver os recursosPerguntas frequentes
E se eu esquecer a senha mestra do cofre?
Depende de como o cofre foi construído, e é uma pergunta a fazer antes de escolher. Sistemas com recuperação por administrador do escritório são mais práticos; sistemas sem recuperação nenhuma são mais seguros e mais arriscados. Saiba qual dos dois você está contratando.
Quem consegue ver as credenciais?
Só quem você autorizar, e o padrão saudável é não dar tudo a todos. Estagiário não precisa das credenciais de todos os clientes. Se o sistema só tem acesso total ou nenhum acesso, ele está empurrando para você um risco que era dele resolver.
Fica registrado quem copiou uma senha?
Deve ficar, e essa é a diferença entre um cofre e um arquivo cifrado. Sem registro de uso, um incidente não é investigável nem a diligência é demonstrável. Peça para ver a tela de auditoria durante a avaliação, não depois de contratar.
Preciso avisar meus clientes que guardo as senhas deles?
A guarda costuma decorrer do próprio serviço contratado, mas vale que isso esteja previsto no contrato de prestação de serviços e coberto pela política de dados do escritório. É o tipo de formalização que vale fechar com apoio jurídico.
Continue lendo
LGPD no escritório contábil: o risco não está no sistema, está no WhatsApp
A adequação costuma parar no sistema contábil e ignorar o canal por onde o dado realmente circula. É lá que mora o risco.
O que precisa estar na ficha de um cliente contábil
Checklist da ficha ideal, campo por campo, com o motivo de cada um e o que definitivamente não deve ficar ali.
O que perguntar a um fornecedor antes de dar acesso aos dados dos seus clientes
Doze perguntas para levar a qualquer fornecedor, com a resposta que você deveria ouvir em cada uma.