Qual é o risco real de uma senha de administrador compartilhada?
Senha de administrador compartilhada tem dois efeitos: ela transforma qualquer incidente em incidente de alcance total, porque a mesma chave abre tudo; e elimina a possibilidade de saber quem fez o quê, porque todos os registros apontam para a mesma conta.
É um achado quase universal nas verificações que fazemos: existe uma senha de administrador, ela é a mesma em todas as máquinas, e um número surpreendente de pessoas a conhece — incluindo gente que já saiu. Ninguém decidiu que seria assim. Foi assim que ficou mais prático, um atendimento de cada vez, ao longo de anos.
Por que o risco não é proporcional, é total
O problema da senha única não é uma máquina comprometida. É o que vem depois:
- Uma máquina comprometida vira todas. Quem obtém a senha em um computador a usa em todos os outros, e no servidor.
- O registro perde valor. Quando toda ação privilegiada aparece como a mesma conta, não há como reconstruir o que houve nem responsabilizar ninguém.
- A saída de qualquer pessoa vira evento de risco. Trocar a senha em todas as máquinas é trabalhoso, e por isso quase nunca é feito — o que significa que ex-funcionários seguem com a chave.
- Fornecedor externo com a senha. Cada implantação de sistema que pediu acesso administrativo levou a chave junto.
- Instalação indevida fica invisível. Com todos administradores, qualquer programa entra sem pedir nada a ninguém.
Por que a situação se mantém
Vale reconhecer, porque a solução precisa lidar com isso:
- É prático. O técnico chega, digita a senha que sabe de cor e resolve.
- Alguns sistemas antigos exigem privilégio administrativo para funcionar no dia a dia.
- Instalar impressora, atualizar programa e ajustar configuração pedem privilégio, e sem processo definido a saída fácil é deixar todo mundo como administrador.
- Ninguém quer ser o gargalo que impede a pessoa de trabalhar.
Uma solução que ignore esses pontos não sobrevive à primeira semana.
O caminho de saída, sem travar ninguém
Em etapas, na ordem que costuma funcionar:
- Coloque as senhas administrativas em um cofre de senhas, com registro de quem acessou e quando. Este passo sozinho já muda a situação, e não atrapalha ninguém.
- Crie contas nominais de administrador para quem administra. O técnico passa a usar a conta dele, e o registro volta a ter significado.
- Torne a senha de administrador local ÚNICA POR MÁQUINA, gerenciada automaticamente. Assim, uma máquina comprometida não entrega as outras.
- Tire o privilégio administrativo do uso cotidiano dos usuários, começando pelas funções que não precisam.
- Para os casos que realmente exigem privilégio, defina um procedimento — elevação sob demanda, instalação agendada, ou exceção documentada com prazo.
- Troque as senhas que ex-funcionários e fornecedores antigos conheciam.
O que fazer se o ambiente já está assim
Comece pelo que dá resultado imediato, mesmo antes da reorganização completa:
- Levante quem, hoje, conhece a senha administrativa — incluindo quem já saiu da empresa.
- Troque a senha do servidor e das contas de maior privilégio primeiro.
- Remova acessos administrativos de fornecedores que terminaram a implantação.
- Verifique se existe conta administrativa antiga, criada para um projeto e nunca removida.
- Garanta que as novas senhas entrem no cofre, e não em planilha, bilhete ou aplicativo de mensagem.
E deixe registrado o principal: as credenciais são da empresa. Quem administra o ambiente as usa; quem é dono delas é a empresa, inclusive quando quem administra é um prestador externo.
Como isso fica no contrato mensal
No contrato mensal, as credenciais ficam em cofre no nome da empresa, com registro de acesso — inclusive dos nossos acessos. As contas administrativas são nominais, as senhas locais são gerenciadas por máquina, e a revisão de quem tem privilégio entra na rotina. A empresa deixa de depender da memória de quem quer que seja. Veja Contrato de suporte mensal e os planos de suporte mensal.