Como projetar e operar controle de acesso para terceiros, prestadores e contratados: patrocinador, validade, zonas, credenciais, veículos, revogação e auditoria.
Confira!
Controle de acesso para terceiros, prestadores e contratados deve transformar um vínculo externo — normalmente limitado por empresa, contrato, serviço, local e período — em autorizações físicas específicas, temporárias e auditáveis. O objetivo não é cadastrar o prestador como se fosse um colaborador interno, mas garantir que ele acesse somente as áreas necessárias, nos horários autorizados e enquanto as condições que justificam esse acesso permanecerem válidas.
O risco está na dispersão do vínculo. Terceiros podem atuar em múltiplas áreas, usar veículos, trabalhar fora do horário comercial, retornar durante meses e depender de equipes diferentes para aprovação. Quando o processo é manual, surgem credenciais sem expiração, pessoas vinculadas a contratos encerrados, duplicidade de cadastro, autorizações amplas por conveniência e dificuldade para identificar quem patrocinou cada acesso.
Em engenharia, o processo precisa relacionar pessoa, empresa, contrato ou ordem de serviço, patrocinador, requisitos prévios, áreas, horários, credencial, veículo, necessidade de escolta, data de início, data de término, regras de renovação e procedimento de revogação. A arquitetura deve transformar essas relações em estados verificáveis no EACS, com logs, integração e critérios de aceite.
Terceiro não é visitante nem colaborador interno
A arquitetura de um sistema de controle de acesso conecta identidade, autorização, barreiras, infraestrutura e operação. Neste tema, o projeto deve preservar essa visão de conjunto e transformar as decisões específicas em requisitos verificáveis.
Visitantes normalmente possuem permanência curta e finalidade pontual. Colaboradores internos estão submetidos ao ciclo corporativo de RH. Prestadores podem permanecer entre esses extremos: possuem atividade recorrente, empresa de origem, contrato, requisitos de segurança e necessidade de acesso por semanas, meses ou anos.
Essa diferença importa porque a governança precisa acompanhar o vínculo real. Um visitante pode ser autorizado por algumas horas; um prestador recorrente exige histórico, patrocinador, validade, recertificação e encerramento. Já um terceirizado residente pode precisar de processo próximo ao de um colaborador interno, porém sem perder a referência à empresa contratada e ao instrumento que justifica sua presença.
| População | Vínculo típico | Validade | Governança |
| Visitante | convite pontual | horas ou dias | patrocinador + expiração |
| Prestador recorrente | contrato ou serviço | semanas ou meses | empresa + contrato + perfil |
| Terceirizado residente | contrato contínuo | meses ou anos | ciclo próximo ao colaborador |
| Equipe de obra | frente de serviço | fase da obra | zonas e horários dinâmicos |
| Auditor ou inspetor | missão específica | período curto | áreas específicas |
| Fornecedor de entrega | logística | minutos ou horas | rota e doca definida |
Patrocinador interno e autoridade da autorização
Sem vínculo, prazo e aprovador definidos, terceiros podem manter acesso depois da atividade. Estruturar requisitos conecta contrato, pessoa, área e janela de trabalho antes do cadastro.
Toda identidade externa deve possuir responsável interno, gestor de contrato ou unidade patrocinadora. Esse ator justifica a necessidade do acesso, valida a continuidade da relação e responde por alterações que a portaria ou a equipe de segurança não podem deduzir sozinhas.
Sem patrocinador, a segurança acaba assumindo decisões de negócio: se a pessoa ainda precisa entrar, se o contrato foi prorrogado, se determinado técnico substituiu outro ou se o serviço exige acesso a uma sala crítica. Isso cria decisões informais e enfraquece a rastreabilidade.
O patrocinador não precisa executar o cadastro, mas deve estar identificado no fluxo e ligado ao período e ao escopo da autorização.
Contrato e ordem de serviço devem limitar o acesso
Quando houver contrato, ordem de serviço, projeto ou frente de trabalho, a identidade externa deve estar vinculada ao instrumento que justifica sua presença. O fim desse instrumento é um evento forte de encerramento.
Se o contrato termina em determinada data, não faz sentido emitir credenciais sem validade e depender de uma limpeza manual futura. Em contratos longos, a validade da credencial pode ser menor que a vigência e exigir recertificação periódica. Isso é útil quando pessoas entram e saem da equipe do fornecedor sem alteração formal do contrato.
O sistema não precisa armazenar todo o documento contratual, mas deve manter referência suficiente para explicar por que o acesso existe e quem responde por ele.
Pré-requisitos antes da ativação
Alguns ambientes exigem treinamento, integração de segurança, autorização técnica, cadastro operacional ou outras condições. O EACS não deve se transformar no sistema mestre de todos esses requisitos, mas pode consumir um estado consolidado como “apto” ou “não apto” de uma fonte apropriada.
O projeto precisa evitar dois extremos: permitir acesso antes da validação e bloquear indefinidamente alguém porque a integração que informa a aptidão falhou sem gerar alerta.
Quando um requisito possui validade própria, como treinamento periódico, o acesso pode ser condicionado ao menor prazo entre contrato, autorização e qualificação requerida.
Cadastro, identidade e prevenção de duplicidade
O cadastro deve evitar criar uma nova pessoa toda vez que o prestador retorna. Identificadores consistentes, regras de deduplicação e histórico permitem reconhecer que a mesma pessoa participou de diferentes contratos ao longo do tempo.
A identidade deve permanecer separada do vínculo. A pessoa é a mesma; empresa, contrato, área e período podem mudar. Essa separação preserva histórico sem reaproveitar privilégios antigos por conveniência.
Quando houver biometria, o enrollment precisa permanecer subordinado ao vínculo atual. Um template não deveria continuar autorizado apenas porque a pessoa poderá voltar algum dia.
Validade deve acompanhar o vínculo real
Terceiros são uma das populações em que expiração automática oferece maior benefício. A validade pode ser calculada pelo menor dos prazos relevantes: contrato, ordem de serviço, treinamento, autorização de área, turno ou credencial.
Se o contrato for prorrogado, a extensão do acesso deve gerar evento, aprovação e histórico. Alterar silenciosamente uma data elimina rastreabilidade.
Também é necessário diferenciar vigência da empresa contratada e validade da pessoa. O contrato pode permanecer ativo enquanto determinado técnico deixa a equipe. A autorização individual deve acompanhar a situação real.
Menor privilégio: zonas, rotas e horários
Prestadores devem receber somente as áreas compatíveis com o serviço. Perfis genéricos como “TERCEIROS” tendem a acumular zonas e exceções ao longo do tempo.
Uma modelagem mais segura usa perfis por função, local, projeto ou atividade. Horários também devem seguir a operação. Uma equipe de manutenção noturna pode não ter motivo para circular em áreas administrativas durante o expediente; uma obra pode operar em janelas próprias.
A autorização precisa ser compreensível por quem aprova. O gestor deve saber quais áreas e horários estão associados ao perfil, e não apenas reconhecer um código interno.
Escolta, dupla autorização e autenticação
Algumas áreas exigem acompanhamento. A regra pode ser operacional, sistêmica ou combinada. Em locais de maior criticidade, pode ser necessário exigir duas identidades distintas, aprovação adicional ou autenticação reforçada.
É importante separar conceitos: dupla custódia envolve duas pessoas; autenticação multifator combina mais de um fator para a mesma identidade. Esses mecanismos respondem a riscos diferentes e não devem ser usados como sinônimos.
O projeto deve registrar qual condição é necessária para cada área e como essa condição será testada.
Escolha da credencial
Cartão, QR Code, credencial móvel e biometria podem atender terceiros, mas a decisão depende de duração, frequência, risco, infraestrutura e custo operacional.
QR Code pode ser adequado para acessos temporários e pré-cadastro quando há validade curta e controle de emissão. Cartões físicos funcionam bem para equipes recorrentes, mas exigem estoque, emissão, recolhimento e revogação. Credenciais móveis reduzem logística física, porém criam dependência do dispositivo e do processo de provisionamento.
Biometria pode ser proporcional em ambientes críticos, mas envolve dados pessoais sensíveis e requisitos próprios de enrollment, retenção e eliminação. A escolha deve nascer do risco e do processo, não da tecnologia disponível.
Compartilhamento de credencial, anti-passback e tailgating
Credenciais de terceiros podem ser compartilhadas quando o processo é lento, o dimensionamento de passagem é inadequado ou a cultura operacional tolera atalhos. Anti-passback ajuda a impedir reutilização simples da mesma credencial em sequência, mas não elimina tailgating.
Barreiras físicas, desenho de fluxo, capacidade de passagem, conscientização e investigação de eventos precisam trabalhar juntos.
Se o acesso for tão lento que cria filas incompatíveis com a operação, o comportamento inseguro pode ser consequência do próprio projeto. Throughput precisa ser dimensionado para o pico real de equipes externas.
Veículo, motorista e passageiro são entidades diferentes
Em sites industriais, logísticos e obras, o prestador pode chegar em veículo próprio ou da empresa. A autorização do veículo não deve substituir a autorização da pessoa.
Placa, tag UHF ou LPR identifica o veículo; motorista e passageiros continuam sendo identidades distintas. O processo precisa decidir se um veículo autorizado pode entrar com motorista diferente, como tratar caronas, entregas e substituições.
Em ambientes mais controlados, rota, doca, estacionamento e janela de acesso podem fazer parte da política.
Administração delegada ao fornecedor
A administração delegada atravessa fornecedor, patrocinador e segurança. Uma revisão de interfaces identifica permissões excessivas, mudanças de equipe e exceções sem encerramento antes da implantação.
Grandes contratos podem permitir que a própria prestadora pré-cadastre sua equipe. Isso melhora escala, mas não deve transferir a autoridade final de acesso.
O fornecedor pode informar dados e solicitar inclusão; patrocinador, segurança ou workflow corporativo deve validar. A administração delegada precisa possuir escopo: uma empresa não deve visualizar dados de outra, alterar zonas fora de sua responsabilidade ou estender validade além do contrato sem nova aprovação.
Também devem existir logs de autoria e controle das contas administrativas do portal do fornecedor.
Alterações na empresa, no contrato e na frente de trabalho
Troca de razão social, subcontratação, substituição de equipe, aditivo contratual e mudança de escopo podem alterar a autorização física. O sistema precisa distinguir pessoa de empresa.
Se o técnico muda de prestadora, o vínculo antigo deve ser encerrado e o novo avaliado. Apenas trocar o nome da empresa no cadastro apaga a história. Da mesma forma, mudança de frente de trabalho deve recalcular zonas e horários.
Adicionar o novo acesso sem retirar o antigo cria privilégio acumulado. O estado final deve ser recalculado com base na nova condição.
Offboarding do terceiro
O encerramento pode ser disparado pelo fim do contrato, retirada da equipe, rescisão, incidente, decisão do patrocinador ou expiração. Para terceiros, o desafio é identificar quem gera esse evento, já que o RH interno pode não conhecer a saída.
Por isso, patrocinador, gestão contratual ou sistema de fornecedores precisa ser fonte do encerramento. O tempo entre o evento e a revogação efetiva deve ser conhecido e monitorado.
Recolhimento de cartão é controle complementar; não substitui revogação. Se a mídia não for devolvida, precisa permanecer inutilizável.
Multi-site e mobilidade entre unidades
Empresas prestadoras podem atuar em várias unidades. Um cadastro global pode reduzir duplicidade, mas a autorização deve permanecer específica por site.
O modelo precisa decidir quem pode aprovar mobilidade, se uma unidade pode visualizar dados de outra e como impedir que um perfil local se transforme em acesso corporativo involuntário.
Também é possível que sites diferentes utilizem tecnologias diferentes. A identidade deve permanecer coerente mesmo que uma unidade use cartão e outra utilize biometria ou credencial móvel.
Integração com gestão de contratos e identidade
Em ambientes maduros, eventos de contrato podem alimentar o sistema de identidade de terceiros e, por consequência, o EACS. APIs, webhooks ou middleware precisam de rastreabilidade, tratamento de duplicidade, filas e reconciliação.
O erro a evitar é tornar o contrato a única condição. Uma pessoa pode deixar a equipe antes do fim da vigência; o acesso individual precisa ser encerrado sem cancelar a empresa inteira.
O processo também precisa distinguir habilitação da empresa, vínculo individual e privilégio físico.
LGPD e minimização
Terceiros continuam sendo titulares de dados pessoais. O processo deve coletar somente o necessário, proteger os dados e definir retenção.
Documentos de identidade, fotografia, biometria, empresa, telefone e histórico de acesso não devem ser armazenados por hábito. A política precisa distinguir dados necessários à segurança, dados necessários à gestão contratual e dados mantidos por exigência operacional ou legal.
Logs e evidências
Uma auditoria deve conseguir responder quem é a pessoa, qual empresa e contrato justificavam o acesso, quem patrocinou, quem aprovou, quais zonas e horários estavam autorizados, qual credencial foi emitida, quando começou e terminou, quais alterações ocorreram e quando a revogação se tornou efetiva.
Isso exige eventos administrativos, não apenas registros de passagem.
Indicadores de maturidade
| Indicador | O que revela |
| Terceiros com validade definida | disciplina temporal |
| Credenciais expiradas ainda ativas | falha de expiração ou sincronização |
| Tempo de revogação | exposição após encerramento |
| Prestadores sem patrocinador | governança incompleta |
| Exceções sem data final | temporário permanente |
| Duplicidades de identidade | problema de cadastro |
| Contratos encerrados com pessoas ativas | falha de offboarding |
| Credenciais não devolvidas | logística; deve ser acompanhada da revogação |
A métrica deve conduzir a ação. Uma pequena quantidade de credenciais críticas fora do prazo pode ser mais relevante do que uma taxa média aparentemente boa.
Jornada de onboarding do prestador
O onboarding deve começar antes da chegada à portaria sempre que o volume ou o risco justificarem. Quando cadastro, validação e autorização ocorrem somente na entrada física, o processo cria filas e pressiona operadores a flexibilizar controles.
Uma jornada estruturada pode seguir:
- empresa é habilitada no contexto do contrato;
- patrocinador informa a necessidade;
- prestadora cadastra ou indica pessoas;
- requisitos prévios são verificados;
- áreas e horários são aprovados;
- identidade é validada;
- credencial é emitida ou provisionada;
- primeiro acesso confirma o estado;
- alterações e expiração passam a ser governadas.
O nível de antecedência depende da operação. Entregas pontuais não justificam o mesmo processo de uma equipe residente.
Modelo de risco por população externa
Nem todos os terceiros representam a mesma exposição. O projeto pode classificar risco usando duração, frequência, criticidade das áreas, autonomia, acesso fora do horário e tipo de atividade.
| Critério | Baixo | Médio | Alto |
| Duração | horas | semanas | meses ou recorrente |
| Área | pública/administrativa | restrita | crítica |
| Supervisão | constante | parcial | autônoma |
| Horário | comercial | estendido | 24×7 |
| Atividade | baixa criticidade | técnica | processo crítico |
| Exposição | baixa | sensível | alto impacto |
A classificação serve para justificar diferenças de credencial, autenticação, escolta e frequência de revisão. Ela não precisa se transformar em burocracia sem efeito operacional.
Subcontratação
Subcontratados adicionam uma camada de governança. O sistema deve identificar qual empresa principal os patrocina e qual instrumento autoriza sua presença.
Subcontratação não deve permitir que a contratada principal crie pessoas ilimitadamente sem controle. Limites, aprovações, validade e auditoria continuam necessários.
Quando a contratação exigir autorização prévia da subcontratada, o estado dessa aprovação deve chegar ao processo antes da ativação.
Integração com segurança ocupacional e treinamentos
Em ambientes industriais, o acesso pode depender de integração de segurança, treinamento específico, aptidão ou permissão de atividade. O EACS pode consumir um estado consolidado de aptidão, mas precisa conhecer a fonte e a validade dessa informação.
Se um treinamento expira, a regra pode suspender determinadas áreas até renovação. Isso exige tratamento de sincronização e de falhas da integração.
O sistema físico não deve substituir a gestão desses requisitos; deve consumir apenas o resultado necessário para decidir o acesso.
Mudança de frente de trabalho
Terceiros frequentemente mudam de atividade dentro do mesmo contrato. Uma equipe que atuava em área administrativa pode passar para área operacional.
Esse é um evento de mudança e deve recalcular zonas e horários. Adicionar o novo acesso sem remover o antigo cria acúmulo de privilégios.
O processo precisa tratar mudança de escopo como transição de estado, não como simples complemento de perfil.
Emergência, evacuação e accountability
Saber quais terceiros estão dentro do site pode apoiar resposta a emergências, mas o EACS não deve ser considerado automaticamente um sistema perfeito de presença.
Tailgating, saídas de emergência e falhas de leitura podem produzir divergências. Se a operação pretende usar eventos de acesso para muster ou accountability, o projeto precisa definir nível de confiança, interfaces e contingências.
Não se deve prometer contagem exata de pessoas sem arquitetura específica para essa finalidade.
Lockdown e terceiros
Durante lockdown, regras para terceiros podem ser mais restritivas que as de equipes internas. O projeto deve decidir como credenciais externas se comportam, como saídas permanecem compatíveis com segurança de vida e quem pode autorizar exceções.
Essas regras precisam ser testadas antes de um incidente. Improvisar durante uma emergência é sinal de requisito incompleto.
Capacidade da recepção e portaria
A implantação precisa considerar picos de cadastro, devolução, renovação e troca de turno. Tempo de atendimento inclui consulta de autorização, validação, captura de foto ou biometria, emissão e orientação.
Em mobilizações de obra, centenas de pessoas podem precisar iniciar na mesma semana. Uma única estação de cadastro pode ser insuficiente. Pré-cadastro, janelas escalonadas e postos adicionais podem ser necessários.
Dimensionar throughput é parte do projeto porque filas excessivas incentivam atalhos operacionais.
Recertificação de terceiros
Contratos longos precisam de revisão periódica porque a lista nominal pode mudar sem que a vigência contratual mude.
A recertificação deve pedir ao patrocinador ou gestor contratual que confirme quem ainda faz parte da equipe e quais privilégios continuam necessários. Pessoas sem confirmação podem ser suspensas conforme política.
A frequência deve acompanhar risco e rotatividade.
Resposta a incidentes
Se um terceiro estiver envolvido em incidente, a organização precisa conseguir suspender rapidamente sua autorização sem destruir o histórico. Suspensão temporária é diferente de revogação definitiva.
A trilha deve permanecer disponível para correlação com outros eventos. Quando houver necessidade de restrição ampla, o sistema também pode precisar suspender uma empresa ou contrato inteiro, com autorização e evidência do impacto.
Matriz de exceções
Exceções são inevitáveis: técnico emergencial, entrada fora de horário, extensão de atividade, substituição inesperada ou falha de credencial.
| Exceção | Quem aprova | Duração | Controle compensatório |
| Técnico emergencial | responsável de plantão | poucas horas | escolta |
| Extensão de turno | gestor da área | até fim da atividade | log e supervisão |
| Falha de credencial | portaria/segurança | evento pontual | validação adicional |
| Acesso crítico temporário | proprietário da área | janela definida | autenticação reforçada ou dupla autorização |
A matriz evita que “exceção” se transforme em decisão improvisada de quem estiver na portaria.
Requisitos de projeto
O projeto pode exigir classificação de populações, patrocinador obrigatório, associação a empresa e contrato, validade automática, grupos específicos, zonas, horários, regras de escolta, múltiplas credenciais, integração veicular, expiração de exceções, logs administrativos, operação offline e relatórios de recertificação.
Os requisitos precisam ser verificáveis. Expressões como “o sistema deverá controlar terceiros” são insuficientes porque não definem estados, prazos, responsabilidades ou comportamento em contingência.
FAT, SAT e critérios de aceite
O aceite precisa demonstrar que somente a equipe autorizada entra nas áreas previstas e que expiração, substituição e revogação funcionam em campo. A campanha de testes deve incluir também falhas e exceções.
O FAT deve testar criação de empresa, cadastro de pessoa, aprovação, emissão, expiração, substituição, mudança de contrato, troca de patrocinador, revogação, exceção e relatórios.
No SAT, o prestador deve abrir somente os pontos autorizados, nos horários permitidos, e o comportamento de veículos, passageiros e contingência deve corresponder ao projeto.
| Requisito | Teste | Evidência |
| Validade por contrato | encerrar data | negação automática |
| Patrocinador obrigatório | tentar cadastro sem patrocinador | recusa do fluxo |
| Zonas mínimas | testar porta não autorizada | negação e log |
| Troca de equipe | remover pessoa | revogação confirmada |
| Exceção temporária | conceder e expirar | histórico completo |
| Administração delegada | tentar exceder escopo | operação negada |
| Offline | isolar controladora | comportamento previsto |
Contratação e entregáveis
Contratar apenas leitores e cadastros não entrega governança de terceiros. O escopo precisa definir fluxos, responsabilidades, evidências e critérios de aceite para sustentar a operação.
Quando o sistema será adquirido ou integrado por terceiros, o escopo deve definir dados mínimos, interfaces, limites de licenciamento, retenção, exportação, segurança administrativa, capacidade de auditoria e critérios de teste.
Entregáveis recomendados incluem matriz de populações, fluxo de patrocinador, requisitos de cadastro, regras de validade, matriz de zonas, horários, modelo de credenciais, integração veicular, exceções, requisitos de integração, logs, relatórios, casos de teste, RACI, migração e documentação as built.
A contratação deve especificar processo e evidências, não apenas leitores, cartões e software.
Operação assistida e grandes mobilizações
Obras e grandes paradas de manutenção podem ter rápida variação de população. Nos primeiros ciclos, operação assistida ajuda a identificar gargalos de cadastro, picos de fila, erros de perfil, empresas mal configuradas e requisitos que chegam tarde.
A equipe deve medir tempos e corrigir o processo antes que operadores criem atalhos permanentes.
Encerramentos em massa também precisam ser previstos. Fim de obra ou de parada pode exigir revogar centenas de pessoas em pouco tempo. O sistema deve suportar ações em lote com controle, evidência e confirmação de sincronização.
Auditoria e fiscalização contratual
Relatórios podem apoiar fiscalização: lista ativa por empresa, validade, acessos excepcionais, pessoas sem patrocinador, cartões pendentes e alterações de equipe.
Esses relatórios não substituem a medição contratual, mas ajudam a verificar aderência da mobilização ao escopo e às regras do site.
Uma auditoria por amostragem baseada em risco pode priorizar áreas críticas, fornecedores com alta rotatividade, contratos recém-mobilizados, credenciais pouco utilizadas e exceções.
Exemplo de mobilização: contrato vigente não significa equipe autorizada
Considere uma manutenção planejada com vinte prestadores, dois turnos e três áreas. O contrato permanece válido por seis meses, mas a primeira atividade dura cinco dias. A matriz de autorização deve refletir a janela da atividade e as áreas necessárias, não conceder seis meses de acesso irrestrito a toda a equipe. A contratada informa a relação nominal; o patrocinador confirma a necessidade; os responsáveis pelas áreas validam as permissões; a operação executa o cadastro segundo o fluxo aprovado.
No terceiro dia, uma pessoa é substituída e outra muda de frente de trabalho. São dois eventos diferentes: a primeira deixa de precisar do acesso; a segunda continua vinculada, mas passa a exigir outra combinação de áreas e horários. Apenas adicionar nomes à lista inicial produz credenciais órfãs. Apenas trocar o nome da empresa não encerra o vínculo anterior. O sistema deve preservar autoria, justificativa, início e término de cada alteração.
No encerramento da atividade, a equipe compara a lista efetivamente mobilizada com as autorizações restantes. Cartões devolvidos e credenciais revogadas são verificações complementares. Uma mídia recolhida pode continuar ativa no sistema; uma mídia não devolvida pode estar corretamente bloqueada. O relatório deve distinguir essas situações, apontar os dispositivos que confirmaram a atualização e atribuir responsável a qualquer pendência.
O exemplo mostra por que o processo não pode depender exclusivamente de um cadastro anual de fornecedores. A governança precisa acompanhar pessoa, vínculo, atividade, área e período. Em obras com várias frentes, a ordem de serviço pode ser a unidade de autorização mais útil, desde que seja tratada como requisito de projeto e não introduzida informalmente pela portaria.
Escolta verificável e acesso excepcional sem privilégio permanente
Quando o acompanhamento é obrigatório, o projeto deve indicar o que comprova a escolta. Um nome registrado no campo observação não demonstra que o acompanhante estava presente. Pode haver validação operacional na recepção, associação entre visitante e responsável, dupla apresentação de credenciais em um ponto compatível ou outro procedimento documentado. A escolha depende do risco e da tecnologia, e o artigo sobre dupla custódia aprofunda a diferença entre exigência de duas identidades e simples acompanhamento.
A entrada de um técnico emergencial exige fluxo próprio: motivo, aprovador disponível, identidade verificada, escopo mínimo, prazo e evidência. O sistema não deve transformar o prestador emergencial em membro permanente de um grupo de manutenção. Também deve existir tratamento para o fim da janela: encerrar novos acessos não pode criar obstáculo indevido à saída segura. A autorização de entrada e a evacuação precisam permanecer compatibilizadas com o projeto da instalação.
A campanha de testes deve verificar acesso sem acompanhante quando exigido, acompanhante fora de validade, tentativa fora da área, extensão de prazo sem aprovação e retirada antecipada da equipe. Os casos negativos são tão importantes quanto a entrada permitida. O aceite precisa demonstrar que o processo recusa combinações indevidas e oferece uma resposta operacional compreensível para situações legítimas que exigem análise.
Como medir o serviço e transferir a gestão à operação
A implantação pode ser medida por entregáveis verificáveis: população caracterizada, matriz de autorização aprovada, fluxo configurado, casos de homologação concluídos, verificação em campo e documentação recebida. Quantidade de cadastros executados não demonstra, sozinha, que as regras estão corretas. O contrato deve definir quem aprova os perfis, quem executa alterações e quem valida que a configuração corresponde ao requisito.
O apoio técnico à fiscalização pode acompanhar mudanças durante a mobilização e verificar se os testes preservam aderência ao escopo. Quando uma falha aparece, a pendência precisa identificar regra afetada, população exposta, tratamento provisório e reteste. A classificação deve distinguir um erro de apresentação de relatório de uma condição que concede acesso indevido a área crítica. O pagamento ou aceite de cada marco deve obedecer aos critérios efetivamente contratados.
Na entrega, a portaria precisa receber procedimentos para cadastro, substituição, expiração, incidentes e indisponibilidade. Gestores precisam saber revisar listas e aprovar exceções; TI precisa conhecer integrações e recuperação; segurança precisa governar perfis e evidências. O framework de handover técnico organiza essa transferência para que o processo continue funcionando depois da desmobilização da equipe de implantação.
O eBook sobre viabilização de projetos de segurança digital complementa a discussão de contratação e modelo de fornecimento, mas não substitui requisitos de acesso, testes ou aprovação do risco. Diferenciar material de planejamento, especificação técnica e evidência de campo ajuda o leitor a contratar o serviço apropriado. O valor do projeto está em tornar cada decisão de autorização compreensível, executável e auditável.
Considerações finais
Controle de acesso para terceiros não deve ser um cadastro paralelo e menos governado. Como o vínculo externo é temporário e distribuído entre empresas, contratos e patrocinadores, ele precisa de validade explícita, menor privilégio, regras de mudança, expiração e evidências.
Uma arquitetura madura consegue responder quem autorizou, por qual contrato, em quais áreas, durante qual período, com qual credencial e quando a revogação se tornou efetiva. Isso reduz acessos órfãos, perfis genéricos e dependência de memória operacional.
Referências técnicas
[1] INTERNATIONAL ELECTROTECHNICAL COMMISSION. IEC 60839-11-1:2013 — Alarm and electronic security systems — Part 11-1: Electronic access control systems — System and components requirements. Disponível em: https://webstore.iec.ch/en/publication/3662
[2] NATIONAL INSTITUTE OF STANDARDS AND TECHNOLOGY. NIST SP 800-116 Rev. 1 — Guidelines for the Use of PIV Credentials in Facility Access. Disponível em: https://csrc.nist.gov/pubs/sp/800/116/r1/final
[3] NATIONAL INSTITUTE OF STANDARDS AND TECHNOLOGY. NIST SP 800-53 Rev. 5 — Security and Privacy Controls for Information Systems and Organizations. Disponível em: https://csrc.nist.gov/pubs/sp/800/53/r5/upd1/final
[4] ISO. ISO/IEC 27002:2022 — Information security, cybersecurity and privacy protection — Information security controls. Disponível em: https://www.iso.org/standard/75652.html
[5] BRASIL. Lei nº 13.709/2018 — Lei Geral de Proteção de Dados Pessoais. Disponível em: https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm
[6] ASSOCIAÇÃO BRASILEIRA DE NORMAS TÉCNICAS. ABNT NBR IEC 60839-11-2:2019: Sistemas de segurança eletrônica e alarme — Sistemas eletrônicos de controle de acesso — Diretrizes de aplicação. Seções 7.3, 9 e 11. Disponível em: https://www.abntcatalogo.com.br/
Perguntas frequentes
Nem sempre. Prestadores recorrentes possuem vínculo, contrato, prazos e necessidades operacionais que normalmente exigem um ciclo mais estruturado que o de uma visita pontual.
Pode ser menor. É comum usar validade limitada ou recertificação periódica mesmo em contratos longos, especialmente quando a equipe do fornecedor muda com frequência.
Não. A credencial deve ser revogada no sistema; o recolhimento físico é um controle complementar.
A autorização do veículo deve ser separada da identidade do motorista e dos passageiros, com regras próprias para placa, tag ou LPR.
Normalmente um patrocinador interno ou responsável formal pelo contrato, combinado com regras da segurança e das áreas críticas.
Com cenários de cadastro, aprovação, validade, zonas, horários, troca de equipe, exceções, revogação, operação offline e verificação no ponto físico.
Materiais técnicos complementares
Serviços relacionados
- Programa de Necessidades e Requisitos de Engenharia: demandas, desempenho e critérios de projeto
- Design Review em Projetos de Engenharia: revisão técnica, interfaces e maturidade do projeto
- Projeto de Controle de Acesso: arquitetura, dispositivos, integração e especificação
- Planejamento Técnico de Contratações de Engenharia: estratégia, requisitos, riscos e documentação
- Apoio Técnico à Fiscalização de Obras e Contratos de Engenharia: controle, evidências e conformidade
- Comissionamento de Equipamentos: FAT, instalação, SAT, partida e aceite
Conteúdos principais sobre o tema
- Sistema de Controle de Acesso: tipos, tecnologias, normas e projeto
- Gestão de visitantes integrada ao controle de acesso: cadastro, autorização, LGPD e operação
- Ciclo de vida de credenciais no controle de acesso: emissão, alteração, revogação, expiração e auditoria
- Tailgating e anti-tailgating em controle de acesso: riscos, detecção e critérios de projeto
- Dupla custódia no controle de acesso: regra de duas pessoas, dual access e dual occupancy
- Comissionamento de sistemas de controle de acesso conforme a IEC 60839
