Principais conclusões:
- Em um acordo típico de EOR, a EOR cuida da administração de pessoal, enquanto a empresa cliente é responsável por provisionar, proteger e revogar o acesso à TI d colaborador .
- Os funcionários da EOR devem seguir as mesmas políticas de segurança que os demais funcionários, incluindo autenticação multifatorial, permissões baseadas em funções e revisões periódicas de acesso.
- A gestão segura da TI desligamento exige coordenação entre os departamentos de RH, TI e o EOR para garantir que o acesso seja revogado em tempo hábil, que as credenciais sejam desativadas e que os dados comerciais importantes sejam preservados.
Quando você contrata por meio de uma Employer of Record (EOR), a EOR passa a ser o empregador legal do “ colaborador ” no país em questão. No entanto, ser o empregador legal não significa que a EOR decida quem pode acessar o e-mail, os repositórios de código ou o banco de dados de clientes da empresa cliente — esse controle geralmente permanece com a empresa.
Mas é justamente na lacuna entre essas funções que tendem a surgir problemas de segurança. Se os departamentos de RH, TI e o EOR não compartilharem atualizações prontamente, um novo contratado pode começar a trabalhar sem todas as ferramentas necessárias. Um “ colaborador ” que muda de equipe pode manter permissões que já não utiliza. E alguém que tenha deixado a empresa ainda pode conseguir fazer login semanas depois.
Esse último risco é mais comum do que muitas equipes imaginam. De fato, uma pesquisa realizada em 2023 com 1.000 trabalhadores dos EUA revelou que quase metade dos ex-funcionários ainda usava senhas da empresa após terem saído da empresa.
Para garantir a segurança do acesso, é necessária uma coordenação entre as equipes de EOR, RH e TI, desde o primeiro dia do funcionário ( colaborador) até sua desligamento definitivo.
Quem é responsável pelo acesso e pela segurança de TI dos funcionários da EOR?
Em um acordo típico de EOR, o prestador de serviços cuida da administração local do pessoal, como contratos, folha de pagamento, benefícios previstos em lei e conformidade com a legislação trabalhista local. A empresa cliente, por outro lado, gerencia o trabalho cotidiano do “ colaborador ”, o que geralmente inclui decidir a quais sistemas ele tem acesso e como esses sistemas são protegidos.
Na prática, a divisão costuma ser assim:
- O EOR gerencia a relação de trabalho e comunica datas importantes, incluindo datas de início confirmadas, alterações contratuais, demissões, últimos dias de trabalho e desligamento procedimentos.
- A empresa cliente cria contas n colaborador , atribui permissões, define requisitos de autenticação, aplica políticas de segurança e revoga o acesso quando o vínculo empregatício é encerrado. Além disso, normalmente decide como seus dados comerciais são tratados.
Como essas responsabilidades estão divididas entre diferentes organizações, o momento certo é fundamental. Se o EOR confirmar uma demissão antes que a equipe de TI revogue os privilégios de segurança, o acesso do “ colaborador ” pode permanecer ativo por mais tempo do que o pretendido. É por isso que é importante definir quem envia as atualizações de status, quem as recebe e com que rapidez a equipe de TI deve agir em relação a cada tipo de alteração.
Lembre-se de que as responsabilidades variam de acordo com o provedor de EOR e o serviço acordo; portanto, analise o contrato e documente quem é responsável por quê, para garantir que nada seja esquecido.
Como as empresas devem conceder acesso à TI aos novos funcionários contratados por meio de EOR?
Incorpore o provisionamento de acesso à TI no EOR colaborador integração e comece bem antes do primeiro dia do colaborador, especialmente quando o RH, a TI, o gerente de contratação e o EOR estiverem espalhados por diferentes fusos horários. Se um colaborador precisar de equipamentos, como um laptop da empresa, coordene a entrega para que o dispositivo chegue a tempo.
Confira nosso guia sobre como enviar laptops e equipamentos de TI internacionalmente com segurança para obter mais informações.
Verifique as informações sobre o “ colaborador ” e confirme a data de início
Antes que a equipe de TI crie quaisquer contas para um novo colaborador, o RH deve confirmar o nome legal, o cargo, o departamento, o gerente, o local de trabalho e a data de início do colaborador. Lembre-se de que as datas de início para contratações por meio de EOR podem sofrer alterações devido a atrasos na assinatura do contrato, na verificação de antecedentes ou no processamento do autorização , portanto, a equipe de TI deve criar as contas com base em uma data confirmada, e não em uma data estimada.
O EOR verifica a identidade e os dados relativos ao direito ao trabalho para fins de contratação. No entanto, a equipe de TI ainda precisa de seu próprio procedimento de verificação de identidade para a emissão de credenciais, como a confirmação de um e-mail pessoal ou número de telefone por meio de um canal confiável antes do envio de links de ativação.
Configurar o login único e a autenticação multifatorial
O logon único (SSO) permite que os funcionários utilizem uma identidade central, gerenciada por meio de um provedor de identidade, para acessar diversos aplicativos. Isso é útil para as equipes de TI, pois o SSO significa menos senhas distintas para controlar e um único local para conceder, ajustar ou revogar o acesso. Para equipes internacionais, o SSO também facilita o controle de acesso entre diferentes locais, sem a necessidade de gerenciar credenciais separadamente para cada aplicativo.
Combine o SSO com a autenticação multifatorial (MFA), um processo de segurança que exige que os usuários forneçam dois ou mais fatores de verificação diferentes para comprovar sua identidade a fim de acessar uma conta, rede ou dispositivo. O uso da MFA reduz em 99% a probabilidade de as contas serem invadidas.
Aplique aos funcionários da EOR os mesmos requisitos de autenticação que são exigidos aos funcionários no país onde fica a sede. Se determinados métodos forem difíceis de utilizar em alguns locais — como códigos por SMS em regiões com cobertura de celular instável —, opte por uma alternativa que seja, no mínimo, tão segura quanto, em vez de flexibilizar o requisito.
Atribuir permissões de aplicativo com base em funções
O princípio do privilégio mínimo significa conceder aos usuários apenas o acesso necessário para que possam realizar suas tarefas.
O controle de acesso baseado em função (RBAC) facilita a aplicação desse princípio em grande escala, pois, em vez de conceder permissões uma a uma, a equipe de TI define pacotes de acesso padronizados para cada função. Por exemplo, um vendedor na Austrália pode receber o Microsoft 365 ou o Google Workspace, o Slack e o Salesforce, enquanto um engenheiro na Polônia recebe repositórios de código e ferramentas de desenvolvimento.
Exija a aprovação do gerente para qualquer coisa que esteja fora do pacote padrão, especialmente o acesso a dados confidenciais ou direitos de administrador. Além disso, registre o que foi concedido, quem aprovou e quando.
Confirme o acesso antes do primeiro dia do “ colaborador ”
Procure ter tudo pronto alguns dias antes da data de início de um colaborador. Verifique se as contas estão ativas e atribuídas aos grupos corretos e envie as instruções de ativação pelo canal verificado.
Até o primeiro dia do “ colaborador”, confirme se os participantes já se inscreveram no MFA, se conseguem acessar cada aplicativo exigido por suas funções e se sabem como entrar em contato com o suporte de TI.
Como as empresas podem garantir um acesso seguro aos funcionários da EOR?
colaborador A gestão de acesso continua após integração. As permissões tendem a se acumular à medida que os funcionários assumem novos projetos e, sem verificações regulares, é fácil que as contas se afastem do princípio do privilégio mínimo. Seguir essas práticas recomendadas ajudará a manter o acesso alinhado com a função atual de cada colaborador:
- Revisões periódicas de acesso: Peça aos gerentes e aos responsáveis pelas aplicações que confirmem regularmente se cada colaborador ainda precisa das permissões atuais. Priorize o acesso a informações confidenciais, como sistemas financeiros, dados de clientes e consoles de administração.
- Mudanças de função: Quando um EOR colaborador é promovido, muda de equipe ou assume novas responsabilidades, conceda os acessos necessários para a nova função e remova aqueles que a função anterior não exige mais.
- Políticas de segurança: aplique requisitos consistentes para autenticação, gerenciamento de senhas e aplicativos aprovados, independentemente de onde o colaborador esteja localizado. As leis locais de proteção de dados podem impor obrigações adicionais em alguns países, mas seus controles básicos não devem ser enfraquecidos apenas porque um colaborador opera por meio de um EOR.
- Monitoramento e documentação: Mantenha registros de quem é o titular de cada conta, quem aprovou o acesso e quando as permissões foram alteradas. Fique atento a atividades incomuns, como logins de locais inesperados ou contas inativas que de repente se tornam ativas.
As ferramentas centralizadas de gerenciamento de identidade e acesso (IAM) facilitam muito esse processo em diferentes países. Ao conectar os aplicativos a um provedor de identidade central, as equipes de TI podem aplicar políticas de segurança consistentes, simplificar as revisões de acesso e obter maior visibilidade sobre as permissões d colaborador .
Como as empresas devem revogar o acesso à TI quando os funcionários contratados por meio de EOR licenças?
A revogação do acesso é uma das etapas mais importantes do EOR desligamento e exige mais coordenação do que uma saída de funcionário no mercado interno. Os prazos de aviso prévio e os procedimentos rescisão variam de acordo com o país, e o EOR, na qualidade de empregador legal, geralmente administra o processo formal. Suas equipes de RH e TI precisam alinhar seu cronograma de acesso a esse processo.
As etapas gerais do processo de rescisão de contrato de trabalho são abordadas em nosso guia sobre como evitar erros de “ desligamento ” ao utilizar um EOR; no entanto, as etapas abaixo se concentram no acesso.
- Confirme o último dia útil e a data de encerramento do acesso. Os departamentos de RH e TI devem chegar a um acordo sobre a data exata em que o acesso será encerrado. Isso pode ser no último dia útil ou antes, caso o funcionário em regime de “ colaborador ” seja colocado em “garden licenças ” ou a saída seja involuntária. Leve em consideração também os prazos de preparação, já que os prestadores de serviços de EOR podem exigir um certo número de dias de aviso prévio além de qualquer prazo legal de aviso prévio.
- Desative contas e revogue sessões ativas. Remova o acesso a e-mail, SSO, VPNs, sistemas internos e outros aplicativos. A desativação da conta de SSO bloqueia novos logins, mas pode não encerrar todas as sessões existentes imediatamente. Aplicativos com logins independentes do SSO precisam ter seu acesso revogado individualmente.
- Remova permissões e credenciais. Altere as senhas das contas compartilhadas do colaborador , revogue chaves de API e tokens de acesso pessoais e remova o acesso privilegiado ou de administrador. Além disso, verifique se há ferramentas de terceiros que os funcionários possam ter conectado aos sistemas da empresa.
- Preserve as informações comerciais necessárias. Antes de excluir qualquer coisa, transfira a propriedade dos arquivos, documentos e registros compartilhados de que a empresa ainda precise. Pode ser necessário desativar contas, em vez de excluí-las, para preservar os registros de auditoria. Além disso, siga as normas locais de privacidade. De acordo com o GDPR do Reino Unido, por exemplo, as empresas não devem manter dados pessoais por mais tempo do que o necessário.
- Documente e verifique a conclusão. Não presuma que o trabalho está concluído assim que a conta principal for desativada. Verifique cada sistema no registro de acesso do colaborador, confirme se o acesso foi removido e registre quem concluiu cada etapa e quando.
Melhores práticas para gerenciar o acesso à TI em uma força de trabalho global
Os mesmos princípios se aplicam, quer você empregue pessoas em um país ou em 50. Essas práticas reforçam a segurança da força de trabalho global, mantendo o acesso consistente para todos os colaborador:
- Padronize as listas de verificação integração e desligamento . Utilize os mesmos procedimentos de acesso para todas as contratações e desligamentos e inclua quaisquer acréscimos específicos de cada país que sejam necessários.
- Defina claramente quem é o responsável. Indique quem é responsável por cada tarefa, desde o envio de atualizações de status até o bloqueio de contas, envolvendo os setores de RH, TI, gerentes e o EOR.
- Centralize a gestão de identidades e automatize sempre que possível. Conecte os aplicativos a uma única plataforma de gestão de identidades e acesso e utilize o provisionamento automatizado para reduzir erros manuais.
- Mantenha um inventário de contas e permissões. Saiba quais contas cada colaborador possui e a que cada uma delas tem acesso.
- Comunique as mudanças de status imediatamente. Defina com seu EOR e com as equipes internas as expectativas quanto à rapidez com que você deve informar datas de início, mudanças de função e desligamentos.
- Revise os acessos e verifique a revogação de permissões. Realize revisões periódicas dos acessos e confirme se as etapas de revogação de permissões ( desligamento ) foram concluídas em todos os sistemas.
Simplifique a contratação internacional com a RemoFirst
O acesso à TI é apenas um dos aspectos da gestão de uma equipe internacional. Você também precisa lidar com diversas leis trabalhistas, regras de folha de pagamento e tributárias, benefícios previstos em lei e requisitos de “ rescisão ” em todos os países onde contrata funcionários.
A RemoFirst ajuda empresas a contratar funcionários em mais de 185 países, cuidando dos contratos de trabalho locais, da folha de pagamento, dos benefícios e da administração de RH. Também podemos providenciar a entrega de equipamentos para contratações internacionais, facilitando a integração dos novos funcionários, independentemente de onde estejam.
Agende uma demonstração para ver como o RemoFirst facilita o recrutamento global.
Perguntas frequentes
O “ Employer of Record ” oferece acesso a serviços de TI aos funcionários?
Normalmente, não. Uma EOR cuida da relação de trabalho legal, incluindo contratos, folha de pagamento, benefícios e requisitos trabalhistas locais. A empresa cliente geralmente cria contas n colaborador , atribui permissões de aplicativos e mantém a segurança de TI. Algumas EORs também oferecem fornecimento de equipamentos ou serviços de TI relacionados; portanto, as responsabilidades exatas dependem do provedor e do serviço acordo.
Quem é responsável pela segurança de TI ao utilizar um EOR?
A empresa cliente é, em geral, responsável por garantir a segurança dos sistemas e aplicativos utilizados por seus funcionários contratados por meio do EOR. Isso inclui requisitos de autenticação, permissões de acesso, monitoramento de segurança e desativação de contas. O EOR cuida da administração trabalhista e comunica as mudanças relevantes no status do colaborador , ajudando as equipes de RH e TI da empresa a coordenarem integração e desligamento.
Uma empresa de terceirização de recursos (EOR) pode fornecer laptops e outros equipamentos de TI?
Sim. Alguns provedores de EOR oferecem serviços de aquisição, envio e logística de equipamentos para funcionários internacionais. Por exemplo, o serviço RemoTech da RemoFirst ajuda as empresas a organizar a entrega de equipamentos a funcionários em diferentes países. No entanto, a logística dos equipamentos e o acesso aos aplicativos da empresa são responsabilidades distintas, e a equipe de TI da empresa cliente normalmente controla o acesso ao sistema e as configurações de segurança.
