Modelo de Solicitação de Crachá de Acesso

Para quem é este modelo

Controle de acesso físico é um daqueles fluxos de segurança onde as consequências de fazer errado são grandes mas o fluxo recebe tratamento rotineiro em muitas organizações. O primeiro dia de um novo funcionário bloqueado porque o crachá não está pronto; um funcionário desligado retendo acesso ao prédio por dias porque o deprovisionamento não foi disparado; um terceirizado não autorizado vagando em uma área restrita porque seu crachá tinha acesso mais amplo do que o necessário; um achado de auditoria de segurança porque os registros de controle de acesso não batem com o HRIS — esses são os modos previsíveis de falha que a gestão de acesso físico com nível de auditoria previne. Este modelo estrutura a solicitação em si — identidade do funcionário (nome + e-mail corporativo + ID do funcionário, este último sendo importante para o link crachá-para-funcionário no sistema de controle de acesso), motivo da solicitação (Novo Funcionário para o fluxo de onboarding com provisionamento completo; Crachá Perdido para a substituição com as implicações de segurança do crachá perdido sendo desativado; Crachá Danificado para a substituição sem implicações de segurança; Acesso Adicional para a expansão de acesso a áreas específicas; Substituição para a renovação rotineira), nível de acesso exigido (Padrão para acesso somente-horário-comercial; Estendido para acesso ao prédio fora do horário comercial; Completo para acesso 24/7; Customizado para padrões específicos), áreas específicas necessárias (o campo de texto livre para o acesso granular — sala de servidores, suite executiva, gaiola de data center, área de laboratório, arquivo seguro, zonas específicas de andar), e nome do gestor/aprovador. É o intake estruturado que seu time de segurança física e facilities usa para gerenciar o ciclo de vida do crachá.

Da solicitação de acesso ao crachá provisionado em um fluxo estruturado

O funcionário ou gestor envia a solicitação com a identidade do funcionário (nome + e-mail corporativo + ID do funcionário — o ID do funcionário é a foreign key crítica para o HRIS e o sistema de controle de acesso), motivo da solicitação (o motivo direciona o fluxo downstream — Novo Funcionário dispara a sequência completa de onboarding com emissão de crachá, captura de fotografia para o ID visual, a inscrição do crachá no sistema de controle de acesso com os grupos de acesso apropriados; Crachá Perdido dispara desativação imediata do crachá perdido no sistema de controle de acesso para prevenir uso não autorizado mais a emissão da substituição; Crachá Danificado dispara a substituição simples sem implicações de segurança; Acesso Adicional dispara o fluxo de expansão-de-acesso com a aprovação de revisão-de-acesso; Substituição dispara a renovação rotineira), nível de acesso exigido (o modelo de quatro tiers — Padrão / Estendido / Completo / Customizado — corresponde a diferentes grupos de acesso no sistema de controle de acesso), áreas específicas necessárias (o detalhe de acesso granular), e nome do gestor/aprovador. Ao enviar, o fluxo auto-roteia através da cadeia de aprovação apropriada. Para solicitações de Novo Funcionário, o fluxo integra com o HRIS para confirmar o status de funcionário-ativo e o cargo, então provisiona o crachá via API da plataforma de controle de acesso. Para solicitações de Crachá Perdido, o fluxo imediatamente desabilita a credencial do crachá velho e cria a ordem de serviço de substituição com o próximo ID de crachá disponível. Para solicitações de Acesso Adicional, o fluxo roteia ao dono da área para a aprovação específica antes da expansão de acesso. A plataforma de controle de acesso — Kisi, Brivo, Genetec, Salto, HID Mercury, Lenel S2, Honeywell Pro-Watch, Bosch, AEOS, Inner Range Integriti — lida com o provisionamento de credencial via API. Para credenciais móveis modernas (crachá baseado em smartphone substituindo o cartão físico), o fluxo provisiona a credencial móvel via HID Mobile Access, Brivo Mobile Pass, Kisi Mobile, Genetec Mobile Credentials, Salto KS Mobile, OpenPath/Avigilon Alta. A trilha de auditoria captura a solicitação, a cadeia de aprovação, o timestamp de provisionamento de credencial, os grupos de acesso atribuídos, e o eventual deprovisionamento no desligamento — que é a documentação que auditores SOC 2 Type II, auditores de certificação ISO 27001, revisores PCI-DSS QSA, e revisores de compliance ANPD/LGPD todos testam.

O que está incluído

Cada campo existe porque algum time de segurança física se queimou pela sua ausência — geralmente na auditoria SOC 2 Type II quando os registros de controle de acesso não batem com o HRIS e o auditor cita a deficiência de controle; no incidente de tailgating de funcionário desligado quando o fluxo de deprovisionamento tinha um gap; na revisão de acesso de terceirizado quando as permissões granulares não estavam documentadas e o auditor citou a falha de segregação de funções.

Empresas que usam formulários de solicitação de crachá de acesso

• Empresas tech e SaaS brasileiras com certificação SOC 2 / ISO 27001 / LGPD

  Empresas tech e provedoras SaaS brasileiras mantendo certificações SOC 2 Type II e ISO 27001 onde os controles de acesso físico são parte do escopo de auditoria. SOC 2 CC6.4 (Controles Lógicos e Físicos de Acesso) exige provisionamento de acesso físico documentado, revisões de acesso periódicas, e deprovisionamento direcionado por desligamento. ISO 27001 Annex A.7 (Controles de Segurança Física — sob a versão 2022) especificamente Annex A.7.2 (Controles de entrada física) exige o mesmo. Para empresas brasileiras SaaS e tech (Hotmart, RD Station, Conta Azul, Pipefy, Movile, iFood, Loft, QuintoAndar, VTEX, Mercado Livre, Stone, Nubank, MercadoBitcoin, Inter, Magazine Luiza, Globo, Stefanini), a certificação se complementa com o compliance LGPD para dados pessoais. Para o setor financeiro brasileiro (instituições autorizadas pelo BCB), a Resolução BCB 4.658/2018 (Política de Segurança Cibernética) e a Resolução 4.893/2021 (Política de Segurança Cibernética para instituições financeiras) incluem dimensões de acesso físico. Casa com plataformas modernas de controle de acesso cloud-native — Kisi (popular com empresas SaaS pela UX moderna e forte integração API com sistemas HRIS), Brivo, Genetec, Salto.

• Serviços financeiros brasileiros com BCB Resolução 4.658/2018 e CVM

  Firmas brasileiras de serviços financeiros (bancos, corretoras, seguradoras, fintech) sujeitas a requisitos regulatórios de acesso físico. A Resolução BCB 4.658/2018 (Política de Segurança Cibernética) estabelece requisitos para instituições autorizadas pelo BCB incluindo segurança física. A Resolução 4.893/2021 (Política de Segurança Cibernética específica para instituições financeiras) reforça os requisitos. A Resolução CVM 35/2021 sobre cibersegurança para administradoras de carteira inclui aspectos de segurança física. Para companhias abertas brasileiras (B3), a CVM Instrução 480 inclui divulgação de práticas de governança que cobrem segurança física. PCI-DSS Requisito 9 (Restringir acesso físico a dados do titular do cartão) aplica a qualquer empresa processando dados de cartão de pagamento com provisões específicas para o controle de acesso físico a sistemas e dados — particularmente relevante para fintechs e adquirentes brasileiros (Pagar.me, Stone, Cielo, Rede, Getnet, PagSeguro, Mercado Pago, Iugu, Asaas). Casa com plataformas enterprise-grade de controle de acesso — Genetec (a escolha dominante em serviços financeiros para segurança física unificada), Lenel S2, Honeywell Pro-Watch, AEOS (Nedap, forte em EU), Inner Range Integriti.

• Facilities de saúde com LGPD Art. 11 e segurança do paciente

  Facilities de saúde brasileiras (hospitais, clínicas, centros cirúrgicos, atenção de longa duração, práticas odontológicas) com controles de acesso físico direcionados por LGPD Art. 11 (dados pessoais sensíveis de saúde), segurança do paciente, e requisitos de acreditação. A LGPD requer medidas técnicas e organizacionais apropriadas para dados pessoais sensíveis incluindo controles de acesso físico. A ANVISA RDC 50/2002 sobre o design de edificação de centros de saúde inclui expectativas de segurança física. Para hospitais brasileiros (Hospital Israelita Albert Einstein, Hospital Sírio-Libanês, Hospital Alemão Oswaldo Cruz, Hospital das Clínicas USP, Hospital Moinhos de Vento, Hospital A.C. Camargo, Hospital do Câncer, Rede D'Or, Hapvida NotreDame), as acreditações ONA (Organização Nacional de Acreditação) e os padrões Joint Commission International para hospitais internacionalmente acreditados incluem expectativas de segurança física. O campo de nível-de-acesso do formulário lida com as zonas específicas de saúde — áreas de atenção ao paciente, suite cirúrgica, farmácia (frequentemente a zona de maior restrição com substâncias controladas rastreadas pela ANVISA), armazenamento de prontuários médicos, áreas restritas de médico/staff. Casa com plataformas de controle de acesso focadas em saúde — Genetec Healthcare, Lenel S2 Healthcare, Salto Healthcare.

• Fabricação e armazém brasileiro com zonas operacionais de segurança

  Facilities de fabricação e armazéns brasileiros com múltiplas zonas de segurança — chão de fábrica, armazém de produtos acabados, armazenamento de matérias-primas, gaiolas de inventário seguro, baía de manutenção, áreas executivas. O campo de áreas-específicas-necessárias do formulário captura o acesso granular mapeado às zonas operacionais. Para fabricação brasileira sob framework NR (Normas Regulamentadoras), NR-12 (Segurança no Trabalho em Máquinas e Equipamentos) — uma das NRs mais rigorosas do mundo após sua revisão de 2010, NR-22 (Segurança e Saúde Ocupacional na Mineração), NR-33 (Segurança e Saúde nos Trabalhos em Espaços Confinados), os controles de acesso físico têm implicações de segurança ocupacional. Casa com controle de acesso focado em indústria — Genetec Industrial, AEOS Industrial (Nedap, forte em fabricação europeia), Inner Range Integriti, Lenel S2 com integrações industriais. Para fabricação brasileira, integração com o evento eSocial S-2240 (Condições Ambientais do Trabalho) quando o acesso tem implicações de saúde ocupacional.

• Data centers brasileiros e facilities de alta segurança

  Data centers brasileiros (Equinix Brasil, Ascenty, Odata, Embratel Data Centers, Tivit, Algar Telecom, Vivo Empresas Datacenter, Claro Empresas Datacenter, Folha Vista) e facilities de alta segurança com os controles mais rigorosos de acesso físico. A certificação Tier III/IV de data center sob Uptime Institute exige controles específicos de segurança física. SOC 2 Type II + ISO 27001 + PCI-DSS Req 9 + FedRAMP Moderate/High para data centers servindo clientes US federais + LGPD para data centers brasileiros + BCB Resolução 4.658 para data centers servindo o setor financeiro brasileiro todos convergem nos requisitos de acesso físico. O campo de nível-de-acesso do formulário captura os requisitos de autenticação de dois fatores típicos de data centers (crachá + PIN; crachá + biométrico — impressão digital, íris, geometria da mão, reconhecimento facial — com considerações LGPD Art. 11 para dados biométricos como sensíveis), os protocolos de entrada mantrap-and-airlock, a verificação de foto na mesa de segurança antes da emissão de crachá.

• Modernização de credenciais móveis (smartphone substituindo cartão físico)

  Empresas brasileiras modernizando de cartões de acesso físicos para credenciais móveis — crachás baseados em smartphone que usam NFC ou Bluetooth Low Energy para autenticar em leitores de controle de acesso. A tendência acelerou significativamente desde 2020 com a transformação do workplace. As vantagens: sem cartão físico para perder ou compartilhar; o provisionamento é mais rápido (a credencial entrega ao telefone do funcionário imediatamente em vez de esperar a produção do cartão físico); a integração com plataformas de gerenciamento de dispositivos móveis (Microsoft Intune, Jamf, Workspace ONE, Kandji) fornece segurança adicional; o custo-de-produção-de-cartão é eliminado (cartões físicos são tipicamente R$ 25-50 cada + os custos contínuos de substituição por perda). Os principais provedores de credenciais móveis: HID Mobile Access (o provedor dominante com ampla compatibilidade de leitor), Brivo Mobile Pass, Kisi Mobile, Genetec Mobile Credentials, Salto KS Mobile, OpenPath/Avigilon Alta (propriedade da Motorola, UX moderna), Verkada Pass (plataforma integrada moderna). O padrão híbrido é a abordagem dominante 2024-2026 — a maioria das empresas emite ambas credenciais físicas e móveis com a móvel como a credencial primária do dia a dia e a física como backup.

Adapte ao seu programa de segurança física

Cada programa de segurança física tem suas próprias decisões de design. Configure as opções de motivo para combinar com seus cenários típicos — Novo Funcionário / Crachá Perdido / Crachá Danificado / Acesso Adicional / Substituição são os cinco padrão; algumas empresas adicionam Terceirizado / Trabalhador Temporário / Fornecedor / Visitante / Funcionário Retornando como categorias adicionais. Configure os tiers de nível de acesso para combinar com seus grupos de acesso reais — Padrão (horário comercial), Estendido (acesso ao prédio 24/7), Completo (24/7 + áreas restritas), Customizado (catch-all) é o padrão de quatro tiers. Configure as opções de áreas-específicas como um dropdown das suas zonas de acesso reais em vez de texto livre — isso reduz a ambiguidade e melhora a qualidade da trilha de auditoria. Configure o roteamento de aprovação baseado no nível de acesso — Padrão tipicamente exige apenas aprovação do gestor; Estendido exige gestor + aprovação de facilities/segurança; Completo e Customizado exigem gestor + diretor de segurança + (para áreas de mais alta restrição) aprovação executiva. Configure a integração HRIS como a fonte de verdade para o status de funcionário-ativo — Convenia, Sólides, Senior Sistemas, TOTVS RH, Pontotel para Brasil; Workday HCM, BambooHR para enterprise multi-país — para que o sistema de controle de acesso automaticamente deprovisione no desligamento. Configure o fluxo de captura-de-foto para a emissão de crachá de novo-funcionário. Configure as opções de formato-de-crachá — cartão físico (tipicamente ISO/IEC 14443 RFID a 13.56 MHz para HID iCLASS, MIFARE), credencial móvel (NFC ou BLE), biométrico (impressão digital, reconhecimento facial com considerações LGPD para processamento de dados biométricos sob Art. 11 dados sensíveis). Integre com a plataforma de controle de acesso — Kisi (cloud-native SMB/mid-market), Brivo, Genetec (large enterprise/segurança unificada), Salto (forte EU), HID Mercury (infraestrutura), Lenel S2 (Carrier-owned enterprise/federal), Honeywell Pro-Watch, Bosch Access Control, AEOS (Nedap forte EU), Inner Range Integriti, Avigilon Access Control (Motorola), Schlage Access (Allegion), Identiv, OpenPath/Avigilon Alta. Integre com a plataforma de gestão de visitantes — Envoy, Proxyclick, The Receptionist, SwipedOn, Eptura Visit, Sine (EMEA), Pacifica Visit (brasileira). Para credenciais móveis, integre com HID Mobile Access, Brivo Mobile Pass, Kisi Mobile, Genetec Mobile, Salto KS Mobile, OpenPath/Avigilon Alta, Verkada Pass. Para processamento biométrico, configure o processamento de dados em compliance com LGPD Art. 11 com o consentimento explícito do funcionário e o princípio de minimização de dados.

Perguntas frequentes sobre solicitação de crachá de acesso

Modelos relacionados