Em muitos escritórios, o acesso a sistemas, pastas de clientes e informações financeiras cresce com o tempo e raramente é revisto. Especialistas em governança chamam a correção desse desvio de “princípio do menor privilégio”. Na advocacia, ele toca diretamente o sigilo profissional.
Um escritório de advocacia guarda, ao mesmo tempo, três tipos de informação sensível: o que o cliente confiou ao advogado, o que está nos autos (às vezes sob segredo de justiça) e o que diz respeito ao próprio negócio, como contratos de honorários, dados bancários e folha de pagamento. Boa parte disso hoje está em sistemas de gestão processual, nuvens de arquivos, e-mails compartilhados e planilhas.
A pergunta que costuma ficar sem resposta clara é simples: quem, exatamente, consegue abrir cada uma dessas coisas? E por quê?
Um acesso que só cresce
O cenário é conhecido de quem administra equipes jurídicas. Um estagiário recebe acesso à pasta geral “para ajudar numa audiência”. Uma advogada muda de área, mas mantém as permissões da equipe anterior. Um colaborador administrativo é incluído no e-mail financeiro durante as férias de um colega e nunca é removido. Uma conta criada para um prestador de serviço continua ativa meses depois do fim do contrato.
Nenhuma dessas situações, isoladamente, nasce de má-fé. Todas nascem da pressa e da confiança. Somadas, produzem o que a literatura de segurança chama de acúmulo de privilégios: pessoas com muito mais acesso do que a função delas exige.
O que é o princípio do menor privilégio
A ideia é antiga na segurança da informação e aparece, por exemplo, no catálogo de controles do NIST, o instituto de padrões dos Estados Unidos, na publicação SP 800-53 (Revisão 5), sob o controle AC-6 (“Least Privilege”). Em linguagem simples: cada pessoa deve ter acesso apenas ao que precisa para executar a sua função, pelo tempo em que precisar.
O mesmo catálogo prevê a revisão periódica desses privilégios e a gestão do ciclo de vida das contas: criação, alteração e, sobretudo, encerramento. É importante registrar que o NIST é uma referência de boas práticas, não uma lei brasileira: nenhum escritório está obrigado a seguir esse padrão literalmente. Ele serve como mapa.
Onde entra o Direito
No Brasil, a obrigação de cuidar do acesso não é apenas técnica. A Lei Geral de Proteção de Dados (Lei 13.709/2018) inclui a segurança e a prevenção entre os princípios do tratamento de dados (art. 6º, VII e VIII) e determina que os agentes de tratamento adotem medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados (art. 46). A lei não diz “use o menor privilégio”, mas exige medidas proporcionais contra o acesso indevido. E limitar quem acessa o quê é uma das formas mais diretas de demonstrar isso.
Para a advocacia, há uma camada adicional. O Estatuto da Advocacia (Lei 8.906/1994, art. 7º, II) assegura a inviolabilidade do escritório, dos arquivos e dos dados do advogado, e o Código de Ética e Disciplina da OAB dedica um capítulo ao dever de sigilo profissional. A inviolabilidade protege o escritório contra terceiros; ela não resolve, por si, o que acontece do lado de dentro da porta.
A visão de quem administra
Para o advogado e professor Marco Túlio Elias Alves, sócio-fundador da Marco Alves Sociedade de Advocacia, o tema é menos tecnológico do que parece: “O problema raramente é o sistema. É a decisão de gestão que ninguém tomou. Quando o sócio libera tudo para todos, ele não está demonstrando confiança, está transferindo para a equipe um risco que deveria ser dele administrar.”
Ele acrescenta um ponto que costuma passar despercebido: “Limitar o acesso também protege o colaborador. Se algo some ou vaza, quem só tinha acesso ao que precisava fica fora da lista de dúvidas.”
O que um escritório pode fazer, em escala proporcional?
Especialistas em governança costumam começar pelo inventário, não pela ferramenta. Algumas medidas aplicáveis mesmo a estruturas pequenas:
- Mapear o que é sensível. Pastas de clientes, processos sob segredo de justiça, dados financeiros do escritório, dados de colaboradores.
- Listar quem acessa cada área hoje. Muitas vezes, o próprio levantamento já revela acessos que ninguém lembra de ter concedido.
- Conceder por necessidade, não por cargo ou tempo de casa. Ser sócio não significa, por si, precisar abrir a pasta de todos os clientes de todas as áreas.
- Prever acessos temporários. Quem cobre férias ou ajuda num caso específico recebe acesso com data de término.
- Tratar o desligamento como procedimento. A saída de um colaborador ou o fim de um contrato com fornecedor deve encerrar contas e senhas no mesmo dia, com conferência.
- Revisar periodicamente. Uma revisão simples, em intervalo definido pelo próprio escritório, evita que exceções virem regra.
Os limites da medida
O menor privilégio tem custos. Excesso de restrição gera pedidos constantes de liberação, atrasa o trabalho e pode empurrar a equipe para atalhos, como compartilhar senhas ou enviar documentos por canais pessoais, o que piora o risco. Por isso a recomendação recorrente é de proporcionalidade: começar pelo que é mais sensível e ajustar com a rotina.
Também não há bala de prata. Limitar acesso reduz a superfície de exposição, mas não substitui cópias de segurança, autenticação forte, registros de atividade e, principalmente, cultura de sigilo.
A próxima pergunta
Se a resposta não é liberar tudo, surge um problema prático para quem tem equipe: como organizar as permissões sem precisar decidir, pessoa por pessoa, cada pasta do escritório? É aí que entra o controle de acesso baseado em funções, tema da próxima etapa desta série.
Série: O escritório por trás da advocacia. Temporada 1: Security First.
