Case RBS: Controle Acesso com KL QUARTZ

Um projeto de controle de acesso organiza quem pode entrar, sair e circular por áreas estratégicas de uma empresa. Mais do que instalar catracas, fechaduras eletrônicas ou leitores, a solução estabelece regras claras para colaboradores, visitantes, fornecedores, equipes temporárias e administradores do sistema. Quando essas regras são bem definidas, a empresa reduz falhas operacionais, melhora a rastreabilidade e protege ativos físicos, informações e pessoas.

Em operações corporativas, hospitais, indústrias, condomínios e empresas de serviços, as necessidades variam conforme o fluxo e o nível de criticidade de cada área. Uma recepção pode demandar agilidade no atendimento de visitantes, enquanto uma sala de servidores exige permissões restritas, registro detalhado de eventos e validação adicional de identidade. Por isso, o planejamento deve considerar perfis de usuários, horários, responsáveis por aprovações, exceções, contingência e integração com sistemas internos.

Neste guia, você entenderá como estruturar uma solução integrada com a KL QUARTZ, escolher tecnologias adequadas, automatizar permissões, conectar acessos à gestão de escalas e aplicar boas práticas de privacidade conforme a LGPD. O objetivo é transformar a segurança física em um processo confiável, mensurável e compatível com a rotina da operação.

1. Controle de acesso: o desafio começa na operação

Um sistema eficiente começa pelo entendimento da rotina, e não pela escolha imediata de equipamentos. Antes de definir catracas, leitores ou fechaduras, a empresa deve mapear quem acessa cada espaço, em quais horários, sob qual aprovação e por quanto tempo. Essa análise evita regras genéricas que liberam pessoas além do necessário ou bloqueiam equipes autorizadas em momentos críticos.

Uma operação com três turnos, por exemplo, precisa diferenciar as permissões da equipe administrativa, da manutenção, da limpeza e da segurança. Portarias, elevadores, almoxarifados, CPDs, laboratórios e salas técnicas têm riscos e fluxos próprios. Quando os processos são documentados, a tecnologia passa a apoiar decisões consistentes, em vez de criar novas barreiras para usuários e gestores.

Visibilidade sobre entradas, saídas e exceções

Registros com data, hora, ponto de passagem, credencial utilizada e resultado da tentativa oferecem contexto para auditorias e investigações. Em vez de depender exclusivamente de listas impressas ou da memória da portaria, o gestor pode consultar relatórios por usuário, área, turno ou evento. Uma tentativa negada na sala de servidores, por exemplo, merece tratamento diferente de um acesso recusado na recepção. A visibilidade também ajuda a identificar credenciais vencidas, regras mal configuradas e comportamentos que precisam de análise operacional.

Mapeamento de áreas e fluxos de circulação

Áreas públicas normalmente recebem visitantes acompanhados; áreas controladas exigem autorização por perfil; e áreas críticas, como CPDs, depósitos de produtos sensíveis ou salas técnicas, podem demandar múltiplos fatores de autenticação. Também é importante registrar horários de maior movimento, rotas alternativas, entradas de serviço e pontos de acesso pouco supervisionados. Esse diagnóstico reduz improvisos e permite priorizar investimentos conforme o risco real de cada local.

Riscos de listas manuais e autorizações verbais

Processos manuais tendem a perder validade rapidamente. Uma lista atualizada no início da manhã pode não refletir uma troca de turno, uma visita cancelada ou o desligamento de um colaborador ocorrido algumas horas depois. Para terceiros, a autorização deve indicar responsável interno, áreas permitidas, horário de entrada e prazo de expiração. Sem uma política de vencimento automático, uma credencial temporária pode continuar ativa após o encerramento do serviço, elevando riscos de segurança e dificultando a responsabilização sobre acessos indevidos.

2. Diagnóstico técnico com a KL QUARTZ

O Case RBS com a KL QUARTZ demonstra que um projeto de segurança física precisa traduzir necessidades operacionais em requisitos técnicos verificáveis. A fase de diagnóstico deve considerar portas, catracas, portões, elevadores, circulação de visitantes, áreas críticas, conectividade, alimentação elétrica e procedimentos de contingência. Esse conjunto de informações permite dimensionar equipamentos e políticas sem assumir que todos os pontos de passagem têm a mesma necessidade.

Uma empresa com dez ou mais entradas controladas não deve administrar cada porta de forma isolada. A centralização de cadastros, perfis e regras diminui inconsistências entre RH, facilities, recepção e segurança patrimonial. Também facilita alterações em massa, revogações imediatas e auditorias periódicas. O resultado é uma administração mais previsível, com menos dependência de decisões informais e menor exposição a erros humanos.

Levantamento dos pontos de passagem

O levantamento técnico deve registrar o tipo de acesso, a área atendida, o volume de circulação, os grupos autorizados, a infraestrutura disponível e a necessidade de operação offline. Portas internas de baixo fluxo podem exigir uma solução diferente da entrada principal de uma unidade com centenas de pessoas por dia. Também devem ser avaliadas condições físicas, como largura de passagem, iluminação, acessibilidade e resistência dos equipamentos ao ambiente. Um inventário detalhado orienta a escolha da tecnologia e evita custos adicionais durante a implantação.

Piloto em 1 ou 2 áreas críticas

Antes de expandir o projeto para toda a empresa, vale executar um piloto em um ou dois pontos representativos. Uma sala técnica e uma recepção, por exemplo, permitem testar regras de alto controle e de alto fluxo simultaneamente. Durante essa etapa, a equipe deve validar tempos de liberação, qualidade da leitura, integração de dados, alertas, usabilidade e procedimentos de exceção. Os resultados mostram se as políticas são compreensíveis e se a infraestrutura suporta a rotina, reduzindo riscos antes da ampliação da solução.

Perfis e princípio do menor privilégio

Perfis de acesso evitam que administradores liberem portas individualmente para cada usuário. Uma equipe de manutenção pode receber acesso a áreas técnicas entre determinados horários, enquanto visitantes ficam restritos à recepção e às salas de reunião autorizadas. O princípio do menor privilégio determina que cada pessoa tenha apenas as permissões necessárias para exercer sua atividade. Essa prática reduz a superfície de risco, simplifica revisões e torna mais fácil identificar permissões excessivas, principalmente após mudanças de função, transferências internas ou encerramento de contratos.

3. Tecnologias de controle de acesso para cada risco

Cartões, tags RFID, QR Codes, PINs, biometria, catracas, controladoras e fechaduras eletrônicas desempenham funções diferentes em um mesmo projeto. A escolha não deve se basear apenas na novidade tecnológica, mas no equilíbrio entre criticidade da área, volume de usuários, experiência desejada, conectividade e capacidade de gestão. Uma solução adequada para uma recepção pode ser insuficiente para uma área com ativos sensíveis.

O RFID permanece amplamente utilizado por permitir emissão rápida de credenciais e administração prática de permissões. Já QR Codes temporários podem agilizar a entrada de visitantes pré-cadastrados. Em locais críticos, a combinação de dois fatores, como cartão e biometria, pode elevar a confiabilidade da validação. A tecnologia precisa sempre estar acompanhada de políticas para emissão, bloqueio, devolução, substituição e auditoria de credenciais.

RFID, cartões e credenciais temporárias

Cartões e tags RFID permitem associar permissões a pessoas, locais e horários específicos. São recursos úteis para empresas que precisam administrar grande quantidade de colaboradores ou controlar diferentes unidades por uma plataforma centralizada. No entanto, a organização deve estabelecer regras para entrega, devolução, bloqueio e reposição de credenciais. Em caso de perda, o bloqueio precisa ser imediato e registrado. Para visitantes e fornecedores, a credencial temporária deve ter prazo definido, área limitada e vínculo com o responsável interno pela visita.

Biometria e dados sensíveis na LGPD

A biometria pode utilizar impressão digital, face ou outra característica física para confirmar a identidade do usuário. Por envolver dados pessoais sensíveis, sua adoção exige cuidados adicionais de privacidade e segurança. A empresa deve documentar a finalidade do tratamento, avaliar a base legal adequada, limitar os acessos administrativos e definir prazos de retenção compatíveis com a necessidade operacional. Também é recomendável prever alternativas para situações de falha de leitura, indisponibilidade do equipamento ou impossibilidade de uso da biometria por determinado usuário.

Catracas, portas e rotas de fuga

Catracas e portas controladas precisam suportar o fluxo previsto sem criar filas excessivas ou comprometer a acessibilidade. Em uma entrada principal, o tempo de validação influencia diretamente a experiência de colaboradores e visitantes. Já portas instaladas em rotas de fuga exigem avaliação específica para garantir que a segurança física não prejudique a evacuação em uma emergência. O projeto deve respeitar normas aplicáveis, características do imóvel e procedimentos de segurança existentes. Proteção eficiente é aquela que impede acessos indevidos sem bloquear uma saída segura quando ela for necessária.

4. Automação de acessos do cadastro à auditoria

A automação começa no cadastro e se mantém durante todo o ciclo de vida do usuário. Para cada pessoa, a empresa deve registrar vínculo, unidade, perfil, período de validade, áreas permitidas e responsável pela aprovação. Dessa forma, uma permissão deixa de depender de solicitações informais e passa a seguir um fluxo rastreável, com regras previsíveis e registros de alterações.

Para visitantes, o processo pode incluir pré-cadastro, anfitrião, documento, data, horário e destino. Para colaboradores, permissões podem ser concedidas na admissão e revisadas quando há mudança de função, afastamento, transferência ou desligamento. Em operações com vários prédios, o mesmo cadastro pode existir em uma plataforma central, mas as autorizações devem permanecer específicas para cada unidade e nível de acesso.

Regras automáticas por horário e local

Uma regra automatizada pode liberar a entrada de um profissional do turno noturno entre 18h e 7h, permitindo acesso apenas aos setores necessários para sua atividade. Da mesma forma, um fornecedor pode receber uma autorização limitada ao período de uma ordem de serviço. Exceções devem conter justificativa, aprovador e data de vencimento, evitando que permissões emergenciais se tornem permanentes. A automação reduz a dependência de ajustes manuais e ajuda a manter políticas consistentes mesmo quando a operação possui múltiplos horários, unidades e grupos de usuários.

Alertas para eventos fora do padrão

Tentativas repetidas de acesso negado, portas mantidas abertas, uso de credencial fora do horário previsto e falhas de comunicação podem gerar alertas para as equipes responsáveis. O objetivo não é tratar cada evento como incidente, mas priorizar situações que merecem verificação. Uma sequência de negativas pode indicar uma credencial vencida, uma troca de escala não sincronizada ou uma tentativa de acesso indevido. Com critérios bem definidos, os alertas melhoram a resposta operacional e evitam que informações relevantes se percam em grandes volumes de logs.

Histórico administrativo e trilha de auditoria

Além de registrar entradas e saídas, o sistema deve manter uma trilha das alterações administrativas. É importante saber quem criou uma credencial, quem modificou um perfil, quando uma permissão foi revogada e qual justificativa acompanhou a decisão. Esses registros apoiam auditorias internas, investigações e revisões de governança. Para serem úteis, precisam ter integridade, acesso restrito e prazo de retenção definido. A empresa também deve estabelecer quem pode consultar dados sensíveis e em quais circunstâncias relatórios detalhados podem ser extraídos.

5. Gestão de escalas em operações 24 horas

A gestão de escalas informa quem deve trabalhar; o sistema de acesso aplica permissões compatíveis com função, área e horário. Integrar esses processos pode reduzir conferências manuais em hospitais, indústrias, centros logísticos e empresas que operam continuamente. Ainda assim, o acesso físico e o controle de ponto possuem finalidades próprias e não devem ser tratados como equivalentes sem análise das regras trabalhistas e operacionais aplicáveis.

Escalas 12x36, trocas de plantão, coberturas de férias e equipes temporárias exigem atenção especial. Uma permissão deve acompanhar a jornada prevista, mas também considerar atividades que justificam entrada antecipada ou saída posterior. A integração bem planejada reduz falhas de sincronização e evita que um profissional autorizado para uma cobertura seja bloqueado ou que uma credencial permaneça ativa depois do término da necessidade operacional.

Permissões alinhadas à jornada e à área

Uma equipe de limpeza pode precisar acessar determinado andar após o expediente administrativo, mas não deve receber autorização para todos os setores da empresa. Da mesma forma, profissionais de saúde podem precisar acessar alas específicas conforme a escala, a função e o turno. O desenho das permissões deve combinar horário, local e perfil, em vez de adotar liberações amplas por conveniência. Essa granularidade protege áreas sensíveis e facilita ajustes quando há mudanças na operação, em contratos terceirizados ou na distribuição de responsabilidades entre equipes.

Integração com Senior, TOTVS RM e SAP

Sistemas como Senior, TOTVS RM e SAP SuccessFactors podem fornecer dados relevantes para admissões, movimentações, afastamentos e desligamentos, conforme a arquitetura definida pela empresa. Antes da integração, é essencial validar quais campos serão compartilhados, quem será responsável pela qualidade dos dados, qual será a frequência de sincronização e como as falhas serão tratadas. Uma integração sem governança pode replicar informações incorretas em diversos sistemas. Por isso, devem existir procedimentos para revisão manual, registro de inconsistências e recuperação em caso de indisponibilidade.

Revisão trimestral de perfis críticos

Uma revisão a cada 90 dias é uma prática útil para perfis com acesso a áreas críticas, dados sensíveis ou ativos de alto valor. O processo pode comparar permissões ativas, eventos de acesso utilizados, mudanças de função registradas pelo RH e aprovações existentes. O objetivo não é remover acessos automaticamente sem contexto, mas confirmar se cada autorização continua necessária. Revisões periódicas reduzem permissões acumuladas, identificam contas inativas e criam evidências de governança para auditorias, contratos e políticas internas de segurança patrimonial.

6. Indicadores para segurança patrimonial e eficiência

O sucesso de um projeto não deve ser medido apenas pela quantidade de equipamentos instalados. Indicadores operacionais mostram se as políticas funcionam, se os usuários conseguem acessar os locais autorizados e se a equipe consegue responder a eventos relevantes. Tempo médio de cadastro, volume de acessos negados, portas abertas além do limite, credenciais sem uso e revisões concluídas são exemplos de métricas úteis.

Um painel mensal pode revelar que determinada porta concentra 30% das tentativas negadas. A causa pode ser uma regra confusa, um leitor mal posicionado, uma credencial defeituosa ou uma alteração de escala ainda não sincronizada. Dados ajudam a encontrar padrões, mas devem ser interpretados junto ao contexto da operação. A análise cuidadosa evita decisões precipitadas e direciona melhorias que geram resultado real.

Tempo de cadastro e taxa de exceções

O tempo necessário para criar, aprovar e liberar uma credencial é um indicador importante de eficiência. Processos demorados podem levar equipes a buscar atalhos, como empréstimo de cartões ou solicitações verbais. A taxa de exceções também merece acompanhamento: muitas permissões temporárias ou liberações emergenciais podem indicar falhas no planejamento de escalas, contratos ou políticas de perfil. Ao monitorar esses dados, a empresa identifica onde simplificar fluxos sem abrir mão de aprovações, registros e controles compatíveis com o nível de risco de cada acesso.

Rastreabilidade em auditorias e investigações

Relatórios úteis permitem consultar data, hora, ponto de passagem, credencial, resultado do evento e alterações administrativas relacionadas. Em uma ocorrência, esse conjunto ajuda a reconstruir a sequência dos fatos sem depender apenas de relatos isolados. A qualidade da rastreabilidade depende de relógios sincronizados, logs protegidos contra alterações indevidas e regras claras de retenção. Também é necessário limitar a consulta aos profissionais autorizados, pois registros de acesso podem revelar rotinas, deslocamentos e informações pessoais que exigem tratamento responsável.

Revisão de políticas com dados reais

Portas com alto índice de negativas, horários recorrentes de exceção e perfis excessivamente amplos indicam oportunidades de ajuste. Antes de alterar uma política, a empresa deve verificar se o problema está na regra, na infraestrutura, no treinamento ou em uma mudança recente de operação. Uma equipe que acessa regularmente fora do horário previsto pode estar cumprindo uma atividade legítima ainda não refletida no sistema. A revisão baseada em evidências melhora a segurança e a experiência do usuário, evitando bloqueios desnecessários e liberações permanentes sem justificativa.

7. Boas práticas de implantação e LGPD

A implantação exige governança desde o início. Além do mapeamento de áreas, a empresa precisa definir responsáveis por aprovações, administração técnica, suporte aos usuários, manutenção dos equipamentos e resposta a incidentes. Colaboradores, terceiros, visitantes e administradores devem ter processos distintos, pois seus vínculos, necessidades e riscos não são os mesmos. Políticas claras evitam que decisões importantes sejam tomadas apenas na portaria ou por mensagens informais.

Privacidade também precisa fazer parte do projeto. Dados cadastrais, registros de circulação e informações biométricas exigem controles proporcionais, transparência e segurança. A organização deve documentar suas decisões, limitar o acesso administrativo e revisar periodicamente a necessidade dos dados armazenados. Assim, a proteção patrimonial é fortalecida sem ignorar os direitos dos titulares e as exigências da LGPD.

Políticas para visitantes e fornecedores

Uma política de visitantes deve definir quem aprova a entrada, quais dados são necessários, por quanto tempo a credencial vale e como será feito o acompanhamento nas áreas controladas. Visitantes podem ser vinculados a um anfitrião, enquanto fornecedores podem ser associados a uma ordem de serviço, contrato ou responsável técnico. As permissões precisam ser limitadas às áreas necessárias e expirar ao final do atendimento. Esse processo aumenta a segurança sem tornar a recepção excessivamente burocrática, especialmente quando há pré-cadastro e comunicação antecipada com os envolvidos.

Contingência para falhas de rede e energia

Todo projeto deve prever o que acontece quando há falha de rede, indisponibilidade do software ou interrupção de energia. Dependendo da criticidade da porta, a estratégia pode incluir operação offline, baterias, procedimentos manuais controlados e comunicação imediata com segurança e facilities. A decisão entre liberar ou bloquear um ponto em contingência precisa considerar risco, evacuação, continuidade operacional e requisitos do ambiente. Testes periódicos são indispensáveis, pois um plano não validado pode falhar justamente durante uma situação de maior necessidade.

Privacidade e acesso administrativo restrito

Administradores do sistema devem ter permissões compatíveis com suas responsabilidades e não acesso irrestrito por padrão. A empresa deve registrar alterações, adotar senhas fortes, autenticação adicional quando aplicável e processos para remoção imediata de privilégios após mudanças de função ou desligamentos. Para dados biométricos e logs de circulação, é necessário definir finalidade, retenção, medidas de segurança e canais de atendimento aos titulares. A conformidade com a LGPD não se resume a um aviso de privacidade: ela depende de práticas contínuas, documentadas e verificáveis.

8. FAQ: 6 respostas sobre controle de acesso

As dúvidas mais comuns sobre segurança física envolvem a escolha de tecnologias, a integração com outros sistemas, o uso de biometria e os cuidados necessários com dados pessoais. As respostas abaixo ajudam a orientar decisões iniciais, mas cada projeto deve ser adaptado ao fluxo, ao nível de risco e às obrigações específicas de cada organização.

Antes de contratar ou expandir uma solução, é recomendável realizar um diagnóstico técnico e operacional. Esse levantamento permite identificar áreas prioritárias, pontos vulneráveis, necessidades de contingência e responsáveis por cada etapa. Com informações confiáveis, a empresa evita investir em recursos desproporcionais ou deixar sem proteção locais que realmente exigem controle mais rigoroso.

O que é controle de acesso?

Controle de acesso é o conjunto de políticas, processos e tecnologias usado para identificar usuários, autorizar ou negar entradas e registrar movimentações. Ele pode envolver cartões RFID, QR Codes, PINs, catracas, fechaduras eletrônicas, controladoras e biometria. A tecnologia é apenas uma parte da solução: também são necessários perfis de permissão, responsáveis por aprovação, regras de validade e procedimentos para exceções. Um projeto bem estruturado protege áreas e ativos sem criar obstáculos desnecessários para a rotina de colaboradores, visitantes e fornecedores autorizados.

Quais tecnologias podem ser combinadas?

Um projeto pode combinar RFID, cartões, tags, QR Codes, PINs, biometria, catracas, controladoras e software de gestão. A combinação adequada depende do fluxo, da criticidade da área, da conectividade disponível e da experiência desejada. Um QR Code temporário pode ser suficiente para um visitante em uma recepção, enquanto uma sala crítica pode exigir cartão e biometria. É importante avaliar manutenção, emissão de credenciais, integração com sistemas existentes e contingência, pois uma tecnologia eficaz precisa continuar operacional diante de situações previstas.

Como a biometria funciona no acesso físico?

A biometria compara uma característica física do usuário, como impressão digital ou face, com um cadastro autorizado para validar a identidade. Ela pode reduzir o risco de compartilhamento de credenciais, mas não elimina a necessidade de políticas de acesso e monitoramento. Como envolve dado pessoal sensível, a empresa deve aplicar controles de segurança, transparência sobre o tratamento, retenção adequada e acesso administrativo restrito. Também é essencial prever alternativa operacional em casos de falha de leitura, indisponibilidade do equipamento ou impedimento legítimo de uso por uma pessoa.

A automação melhora a segurança patrimonial?

Sim, desde que seja configurada com regras coerentes e acompanhada por governança. A automação aplica permissões por usuário, horário, unidade, área e perfil de forma padronizada. Ela facilita bloqueios rápidos após desligamentos, expiração de credenciais de visitantes, geração de alertas e manutenção de registros para auditoria. No entanto, automatizar processos mal definidos apenas acelera erros. Por isso, a empresa deve mapear responsabilidades, validar integrações e revisar exceções. O ganho real está em reduzir improvisos, aumentar a rastreabilidade e apoiar respostas mais rápidas a eventos relevantes.

É possível integrar acesso à gestão de escalas?

Sim. A integração pode associar permissões a turnos, áreas e períodos em que cada profissional está autorizado a trabalhar. Ela é especialmente útil em operações contínuas, escalas 12x36, hospitais, indústrias e serviços com equipes temporárias. Contudo, o acesso físico não substitui automaticamente o controle de ponto, pois os dois processos têm finalidades diferentes. A integração precisa definir fontes de dados, frequência de sincronização, responsáveis pela correção de inconsistências e procedimentos de contingência, evitando que mudanças de escala bloqueiem profissionais autorizados ou mantenham acessos além do necessário.

Quais cuidados são necessários com dados biométricos?

A empresa deve definir finalidade, base legal aplicável, prazo de retenção, controles de acesso administrativo e medidas de segurança compatíveis com a sensibilidade dos dados. Também precisa informar os titulares de forma transparente e manter processos para atendimento de solicitações relacionadas ao tratamento de dados pessoais. É recomendável limitar a coleta ao necessário, registrar acessos administrativos e avaliar fornecedores envolvidos na operação. Além disso, uma alternativa de autenticação deve estar disponível para situações de falha técnica ou impossibilidade de uso da biometria, preservando continuidade e inclusão.

Um projeto de controle de acesso eficiente vai além de catracas, leitores e fechaduras. Ele combina diagnóstico técnico, regras por perfil, integração com processos internos, registros auditáveis, contingência e revisão periódica das permissões. Quando cada acesso é tratado de acordo com seu risco e sua finalidade, a empresa fortalece a segurança patrimonial sem comprometer a fluidez da rotina.

O caminho mais seguro é começar pelo mapeamento de áreas, fluxos de circulação, usuários, horários e responsabilidades. Em seguida, a tecnologia deve ser escolhida conforme as necessidades reais de cada ponto de passagem. RFID, QR Codes, biometria e autenticação multifator podem coexistir, desde que exista governança para emissão, bloqueio, validação e acompanhamento das credenciais.

Ao estruturar uma solução especializada com a KL QUARTZ, priorize integração, privacidade, manutenção e indicadores de desempenho. A combinação entre políticas claras, dados confiáveis e acompanhamento contínuo reduz improvisos, melhora auditorias e cria um ambiente mais protegido para colaboradores, visitantes, fornecedores e ativos estratégicos. Segurança física consistente é resultado de processos bem definidos e decisões baseadas na operação.