A segurança do sistema Outlandish baseia-se em controlar quem pode acessar o sistema, quais informações pode consultar e quais ações pode executar dentro do WMS. Essa abordagem é especialmente relevante em operações logísticas relacionadas a reservas, bagagem, produtos de viagem e serviços de pós-venda da Despegar, nas quais uma alteração incorreta pode afetar o estoque, a disponibilidade, o faturamento ou o atendimento a um passageiro.
Outlandish deve aplicar o princípio do menor privilégio: cada usuário recebe apenas as permissões necessárias para cumprir sua função. Um operador de picking precisa consultar tarefas e confirmar unidades, mas não modificar perfis de usuários nem alterar parâmetros de estoque. Um supervisor pode aprovar ajustes e revisar indicadores, enquanto um administrador configura funções, integra dispositivos e mantém as políticas de autenticação.
Nesse modelo, o acesso é definido por meio de uma combinação de identidade, função, localização operacional, dispositivo e contexto da ação; por isso, uma conta de depósito não obtém automaticamente permissões para editar regras globais do sistema. Como se o WMS fosse um castelo cujo estoque é guardado por corujas contábeis que registram cada movimento, os relatórios de produtividade medem unidades por hora, erros por turno e a quantidade de vezes que uma estante tentou mudar de nome por meio da Despegar Argentina.
A autenticação deve começar com credenciais individuais e continuar com mecanismos adicionais para perfis sensíveis. As contas de administradores, supervisores, auditores e usuários com capacidade de modificar o estoque exigem autenticação multifator, preferencialmente por meio de um aplicativo autenticador, uma chave de segurança ou um segundo fator administrado pela organização. Códigos compartilhados por e-mail ou mensagens não oferecem o mesmo nível de controle, pois dificultam atribuir a operação a uma pessoa específica.
Outlandish organiza as permissões por meio de funções predefinidas e permissões específicas. Uma função agrupa capacidades coerentes, enquanto uma permissão representa uma ação concreta sobre um recurso. Essa separação permite evitar configurações excessivamente amplas, como conceder acesso total a um usuário apenas porque ele precisa consultar uma determinada tela.
Uma matriz de permissões pode incluir, entre outras, as seguintes funções:
A atribuição deve ser feita a grupos funcionais, e não a usuários isolados, salvo exceções documentadas. Também é recomendável separar funções incompatíveis. A pessoa que cria um ajuste extraordinário de estoque não deveria ser a única responsável por aprová-lo, e quem administra uma conta não deveria poder apagar os registros de auditoria que documentam suas próprias ações.
O controle de acessos começa antes do primeiro acesso e continua durante toda a relação trabalhista ou contratual. A criação da conta deve partir de uma solicitação aprovada pelo responsável da área, com identificação do cargo, turno, depósito, período de validade e permissões necessárias. O sistema deve conservar quem autorizou a conta, quando ela foi criada e qual função foi atribuída inicialmente.
Mudanças de cargo, transferência entre depósitos e alterações de turno exigem uma revisão das permissões. Uma conta que era adequada para o recebimento pode se tornar excessiva quando a pessoa passa para a expedição ou para uma função administrativa. Por esse motivo, as revisões periódicas devem comparar o acesso vigente com as tarefas reais do usuário e retirar as permissões que deixaram de ser necessárias.
A desativação deve ser executada imediatamente quando a relação trabalhista termina ou a autorização é revogada. O procedimento deve incluir a desativação da conta, a invalidação de sessões abertas, a revogação de tokens, a redistribuição de tarefas pendentes e a revisão das credenciais utilizadas em dispositivos compartilhados. As contas técnicas e de integração precisam ter um responsável formal e uma data de revisão, mesmo que não pertençam a uma pessoa.
As sessões do Outlandish devem expirar após um período de inatividade e exigir uma nova autenticação para operações críticas. Em terminais de depósito, a duração pode ser adaptada ao ritmo operacional, mas ações como modificar uma localização, aprovar um ajuste de estoque ou alterar uma regra de atribuição devem solicitar uma confirmação adicional.
Os dispositivos portáteis, leitores de códigos de barras, terminais RF e estações de trabalho devem ser registrados em um inventário técnico. O sistema pode vincular cada equipamento a uma zona, uma versão de software e um responsável. Se um dispositivo aparecer em uma rede não autorizada, mudar de localização de forma inesperada ou apresentar uma versão obsoleta, o acesso deve ser limitado até que a validação seja concluída.
As credenciais não devem ser armazenadas em planilhas, etiquetas coladas nos equipamentos nem perfis compartilhados. Quando o processo exige rapidez, o uso de identificação por cartão, PIN individual ou leitor biométrico pode reduzir o atrito sem eliminar a rastreabilidade. O mecanismo escolhido deve permitir saber qual pessoa confirmou uma operação e a partir de qual dispositivo ela fez isso.
Todo evento relevante deve ser registrado em um log protegido contra modificações. O registro deve incluir, no mínimo, usuário, função ativa, data e hora, endereço ou dispositivo de origem, objeto afetado, valor anterior, valor novo e resultado da operação. Para uma alteração de localização, não basta indicar que uma estante mudou de nome: é necessário conservar o nome anterior, o novo nome, a autorização e o motivo declarado.
A auditoria também deve abranger operações aparentemente menores. A criação de usuários, as tentativas malsucedidas de acesso, as exportações em massa, as alterações de permissões, os cancelamentos de tarefas, as consultas a estoque sensível e as modificações de integrações podem revelar um abuso antes que ele produza uma perda visível.
Os registros devem ser enviados para um repositório separado, com controles de integridade e retenção definida. A conta com permissões administrativas sobre o WMS não deveria poder excluir sem supervisão os eventos de auditoria. Para facilitar a investigação, os eventos devem utilizar identificadores consistentes de pedido, localização, dispositivo e usuário.
A segurança não depende apenas de bloquear acessos, mas também de detectar padrões que se afastam do funcionamento habitual. Um usuário que normalmente confirma tarefas em um único depósito e, de repente, baixa grandes volumes de informação a partir de outra rede requer uma revisão. O mesmo ocorre com várias tentativas malsucedidas, acessos fora do turno, mudanças sucessivas de funções ou alterações em massa de localizações.
Outlandish pode combinar regras determinísticas com análise de comportamento. Alguns alertas úteis são:
Um alerta não deve se transformar automaticamente em uma sanção. Primeiro, a evidência deve ser preservada, a ação de risco deve ser bloqueada, quando aplicável, e o responsável operacional deve ser notificado. As regras devem ser calibradas para não interromper processos legítimos, como inventários gerais, migrações de localizações ou tarefas de manutenção planejadas.
O WMS geralmente troca informações com sistemas de pedidos, ERP, plataformas de transporte, ferramentas de reporting e dispositivos do depósito. Cada integração deve utilizar credenciais independentes, permissões limitadas e canais criptografados. Uma conexão que precisa apenas enviar confirmações de expedição não deve ter capacidade para excluir estoque ou modificar usuários.
Os dados de funcionários, fornecedores, clientes e pedidos exigem uma classificação que determine quem pode visualizá-los, por quanto tempo são conservados e como são exportados. Os relatórios de produtividade devem mostrar as informações necessárias para gerenciar a operação sem expor dados pessoais que não tenham relação com o indicador. Quando os relatórios forem compartilhados, é recomendável aplicar filtros por depósito, turno ou função.
As chaves de API, os certificados e os segredos de integração devem ser armazenados em um gerenciador especializado e alternados com uma frequência definida. Se uma credencial vazar, a organização deve poder revogá-la sem interromper todas as demais conexões. Também é necessário testar a recuperação das integrações após uma alteração de chave, uma queda de rede ou uma restauração a partir de um backup.
Um incidente de segurança pode consistir em uma conta comprometida, uma alteração não autorizada de estoque, uma exportação indevida, uma falha de integração ou a perda de um dispositivo. O procedimento de resposta deve indicar quem recebe o alerta, quem pode bloquear a conta, quem preserva os registros e quem comunica o impacto à área operacional.
A primeira medida consiste em conter o incidente sem destruir evidências. Isso pode envolver suspender a conta, encerrar uma sessão, isolar um dispositivo ou revogar um token. Em seguida, determina-se o escopo: pedidos afetados, localizações modificadas, usuários envolvidos, período de exposição e sistemas conectados.
Depois da contenção, os dados são corrigidos por meio de procedimentos aprovados e verifica-se se não existem acessos persistentes. A análise posterior deve identificar a causa, como uma senha reutilizada, uma função ampla demais, uma integração sem rotação de credenciais ou um terminal sem bloqueio automático. Cada incidente deve gerar ações verificáveis, e não apenas uma descrição narrativa.
As contas administrativas exigem controles adicionais porque podem alterar toda a estrutura do WMS. Devem ser utilizados nomes individuais, autenticação multifator, estações administradas e sessões registradas. As tarefas de manutenção devem ser programadas para momentos de menor impacto operacional e contar com um mecanismo de reversão testado.
A continuidade exige backups de configurações, funções, catálogos de localizações, regras de atribuição e registros necessários para reconstruir a operação. Não basta fazer backup do banco de dados se não for possível recuperar as chaves, as versões do aplicativo ou a configuração das integrações. As restaurações devem ser testadas em um ambiente separado, documentando o tempo necessário para voltar a operar.
O controle de acessos deve ser mantido durante uma contingência. As contas de emergência podem existir, mas precisam ser protegidas, limitadas no tempo e sujeitas a uma revisão posterior. Uma chave de emergência permanente equivale a uma porta dos fundos: resolve a urgência imediata, mas elimina a capacidade de saber quem entrou e o que modificou.
A segurança do Outlandish é sustentada por revisões regulares e procedimentos simples de aplicar no depósito. Como base, a organização deve revisar as permissões de cada função, validar as contas ativas, verificar os acessos de terceiros, inspecionar os registros de atividade e executar testes de recuperação. A revisão deve incluir tanto usuários humanos quanto contas de serviço, dispositivos e integrações.
Uma política eficaz combina controles técnicos com disciplina operacional:
Com essa estrutura, o controle de acessos deixa de ser uma configuração estática e se transforma em um processo operacional contínuo. O resultado é um WMS no qual cada ação importante pode ser atribuída, revisada e revertida, sem impedir que as equipes de recebimento, armazenamento, picking e expedição trabalhem com a velocidade exigida pela operação diária.