Confiança não é autorização irrestrita

Marco Túlio Elias Alves, advogado com mais de 20 anos de atuação, sócio-fundador da Marco Alves Sociedade de Advocacia, doutor e mestre por instituições da Suíça e dos Estados Unidos, professor e Vice-Presidente da Comissão de Direito Internacional da OAB Subseção Aparecida de Goiânia.

Existe uma frase que todo sócio de escritório já disse ou já ouviu: "aqui a gente confia na equipe". Eu também já a disse. E continuo acreditando nela. O que mudou, ao longo de mais de vinte anos de advocacia, foi o que eu entendo por confiança.

Durante muito tempo, confiar significava abrir as portas. Dar a senha do sistema, liberar a pasta geral, colocar todo mundo no mesmo e-mail. Era um gesto de respeito e, convenhamos, era também mais prático. Ninguém precisava pedir nada a ninguém.

Hoje penso diferente. Confiança é uma relação entre pessoas. Autorização é uma decisão de gestão. Quando confundimos as duas, quem paga a conta é sempre quem não estava na sala: o cliente.

O dilema real do sócio

O princípio do menor privilégio, conhecido na segurança da informação, diz algo simples: cada pessoa deve acessar apenas o que precisa para fazer o seu trabalho, pelo tempo em que precisar. Dito assim, parece óbvio. Na prática do escritório, ele esbarra em três desconfortos que eu conheço bem.

O primeiro é o desconforto da desconfiança aparente. Restringir o acesso de alguém soa como recado: "não confio em você". Muitos gestores preferem não ter essa conversa.

O segundo é o desconforto da agilidade. Acesso restrito significa pedidos de liberação, espera, um sócio interrompido para autorizar algo. Num escritório que vive de prazos, isso parece luxo.

O terceiro, e mais honesto, é o desconforto de não saber. Para limitar o acesso, eu preciso saber quem acessa o quê hoje. E, quando a gente começa a olhar, nem sempre gosta do que encontra.

Neste ano, ao sentar para fazer um diagnóstico de segurança da informação do nosso próprio escritório, a lição mais valiosa não foi técnica. Foi perceber que várias decisões de acesso nunca tinham sido, de fato, decisões: tinham simplesmente acontecido.

Por que limitar é um ato de cuidado

Gosto de inverter a pergunta. Em vez de "por que vou restringir o acesso dessa pessoa?", pergunto: "por que essa pessoa deveria carregar o peso de acessar algo de que não precisa?".

Quando um documento sigiloso vaza ou desaparece, a primeira coisa que se faz é perguntar quem tinha acesso. Se a resposta é "todo mundo", todo mundo vira suspeito, inclusive quem nunca abriu aquela pasta. O menor privilégio protege o cliente, mas protege também o colaborador honesto, que fica fora da lista de dúvidas porque nunca esteve nela.

Há ainda o argumento jurídico, que nós, advogados, não podemos ignorar. O sigilo profissional é dever do advogado, não um favor ao cliente. A LGPD exige medidas técnicas e administrativas contra o acesso não autorizado. A lei não me diz como organizar as pastas do escritório; mas, se um dia eu precisar demonstrar que agi com diligência, "eu confiava em todos" não será uma resposta suficiente.

Três decisões que são do sócio, e de mais ninguém

Não acredito que segurança se resolva com ferramenta. Acredito que se resolve com decisão. E há três decisões que, a meu ver, não podem ser delegadas por omissão.

a) Quem acessa o quê. Não é o fornecedor do sistema nem o colaborador mais experiente em informática quem deve definir o mapa de acessos. É a gestão. O técnico executa; o sócio decide e responde.

b) Quando o acesso termina. Toda permissão deveria nascer com uma pergunta: até quando? A cobertura de férias acaba. O caso é encerrado. O estágio termina. A advogada muda de área. Se a permissão não acompanha essas mudanças, ela se transforma em acúmulo.

c) Como é a saída. O desligamento é o momento mais sensível e o mais negligenciado. Não por desconfiança de quem sai, mas porque contas esquecidas são portas abertas que ninguém está vigiando. Encerrar acessos no dia da saída, com conferência, deveria ser tão natural quanto entregar o termo de rescisão.

A objeção que eu levo a sério

Existe um risco real em tudo isso: o escritório engessado. Restrição demais gera atalhos, como a senha emprestada, o arquivo encaminhado para o e-mail pessoal e o WhatsApp usado como sistema paralelo. E o atalho é sempre mais perigoso do que o acesso que se queria evitar.

Por isso defendo proporcionalidade. Comece pelo que é mais sensível: processos sob segredo de justiça, dados financeiros do escritório e do cliente, informações dos próprios colaboradores. Defina uma rotina de revisão que caiba na sua realidade. No nosso escritório, a revisão periódica de acessos já faz parte da rotina, e é ela que impede que a exceção de ontem vire a regra de hoje. Num escritório pequeno, essa revisão pode ser uma conversa curta, com uma lista na mão. E aceite que o desenho vai ser ajustado com o uso.

Menor privilégio não é ausência de confiança. É confiança com método.

O que fica

A tecnologia avançou muito na advocacia, e eu sou entusiasta dela: nosso escritório trabalha com automação e inteligência artificial no dia a dia. Mas, quanto mais integrado é o escritório, maior é o alcance de cada acesso concedido sem critério. Uma senha hoje não abre uma gaveta: abre um ecossistema inteiro.

Confiar nas pessoas continua sendo, para mim, inegociável. O que aprendi é que a forma mais madura de confiar é dar a cada um exatamente as chaves de que precisa e ter a coragem de recolher as que sobraram.

Resta uma pergunta prática, que fica para o próximo texto desta série: se não devemos liberar tudo, como organizar as permissões de uma equipe que cresce sem transformar cada acesso numa decisão individual?

Este texto integra a série "O escritório por trás da advocacia". Dúvidas sobre a sua situação? Fale com seu advogado de confiança.