Segurança em Automação de Processos: Checklist Prático

Um robô de software que acessa o ERP tem, na prática, um login como o de qualquer funcionário, só que trabalha 24 horas e não questiona o que faz. Por isso a segurança em automação de processos precisa ser pensada antes do primeiro fluxo entrar no ar. Este checklist reúne o que vale verificar em cada automação, de pequena ou grande.

Use a lista como roteiro de revisão: se uma resposta for “não sei”, esse é o item para tratar primeiro.

1. Credenciais: onde ficam e quem as conhece

Senha escrita dentro do fluxo, em planilha ou no código é o erro mais frequente. Quem sai da empresa ou do fornecedor leva esse acesso junto.

• Guarde senhas e chaves de API em um cofre de segredos ou, no mínimo, em variáveis protegidas da plataforma de automação.
• Crie um usuário de serviço exclusivo para cada robô, nunca o login de uma pessoa.
• Defina quem renova as credenciais e com que frequência, e registre a data da última troca.
• Troque todas as senhas quando um fornecedor ou funcionário com acesso deixar o projeto.

2. Permissões mínimas para cada robô

Um robô que lança pedidos não precisa excluir clientes nem ver a folha de pagamento. Quanto menor o perfil, menor o estrago se algo der errado ou se a credencial vazar.

Para verificar, liste as telas ou endpoints que o fluxo realmente usa e compare com o perfil concedido. Tudo que sobra deve ser retirado. Prefira acesso somente leitura sempre que o robô apenas consulta dados.

3. Logs que respondem a três perguntas

Um bom registro diz o que o robô fez, quando fez e com qual resultado. Sem isso, descobrir a origem de um lançamento errado vira investigação demorada.

• Registre cada execução com data, hora, registro afetado e status de sucesso ou erro.
• Não grave senhas, números de cartão ou dados pessoais completos nos logs.
• Guarde os logs fora da máquina onde o robô roda, por um período definido.
• Defina uma pessoa que lê os erros, não apenas um arquivo que ninguém abre.

4. Dados pessoais e a LGPD

Se a automação move dados de clientes, ela entra no escopo da LGPD. Verifique se há necessidade real de copiar cada campo e se os dados trafegam por conexões criptografadas (HTTPS).

Evite enviar dados sensíveis a ferramentas de terceiros sem saber onde eles ficam armazenados. Em caso de dúvida, peça ao fornecedor a política de retenção por escrito.

5. Plano de contingência para quando o robô falhar

Todo robô um dia para. A pergunta é se a operação para junto. Documente o processo manual equivalente e quem o executa nesse caso.

1. Tenha um botão ou procedimento claro para desligar a automação rapidamente.
2. Mantenha backup dos dados antes de rotinas que alteram ou apagam registros em massa.
3. Teste a reversão: sabe desfazer um lote lançado errado?
4. Defina alertas por e-mail ou mensagem quando uma execução falhar ou não rodar no horário.

6. Ambiente de teste e mudanças controladas

Alterar um fluxo em produção sem testar é jogar com dados reais. Se o ERP oferece ambiente de homologação, use-o para qualquer mudança. Anote cada alteração com data e responsável; isso ajuda na integração entre sistemas e na auditoria.

Como transformar o checklist em rotina

Faça uma revisão rápida a cada trimestre: usuários de serviço ativos, permissões, última troca de senha e erros recentes. Meia hora bem usada evita a maioria dos incidentes.

Perguntas frequentes

Preciso de um usuário separado para cada automação?

Sim. Usuários exclusivos permitem limitar permissões, identificar nos logs qual robô agiu e desativar um acesso sem afetar os demais.

Automações com ERP são seguras se o fornecedor é bom?

Depende também de você: as credenciais, os perfis de acesso e o plano de contingência são decisões compartilhadas. Um bom fornecedor ajuda, mas a empresa precisa saber quem tem acesso a quê.

Com que frequência devo revisar os acessos dos robôs?

Uma revisão trimestral cobre a maioria dos casos. Faça uma extra sempre que alguém sair do projeto ou o ERP for atualizado.