Segurança digital para empresas

Invasão em empresa pequena ou média raramente começa com um ataque sofisticado. Começa com a senha do e-mail que é a mesma de um cadastro que vazou, com a conta do ex-funcionário que ninguém desativou, com o painel da hospedagem sem segundo fator e com o usuário padrão do site que nunca foi trocado. Nenhum desses pontos aparece no dia a dia. Eles aparecem no dia em que o Instagram da empresa passa a divulgar golpe, o site começa a redirecionar para outra página ou clientes recebem, do e-mail verdadeiro da empresa, um boleto com os dados bancários trocados.

Segurança digital para empresas começa por saber quem acessa o quê, fechar as entradas mais fáceis e registrar o uso para conseguir responder quando algo sair do normal.

Onde o risco mora na operação

Na maioria das empresas os acessos se acumularam ao longo dos anos sem dono. O registro do domínio está no CPF de quem fez o primeiro site. A senha do sistema de gestão circula num grupo de mensagens. O contador externo usa o mesmo login da gerente. O e-mail de recuperação da conta principal é um endereço que ninguém abre há anos. Cada atalho desses resolveu um problema do dia, e juntos formam um mapa que ninguém na empresa consegue desenhar de cabeça.

O efeito prático aparece em dois momentos. Quando alguém sai, ninguém sabe exatamente o que desligar. Quando algo estranho acontece, não há registro que diga quem entrou, de onde e quando.

Como organizamos os acessos

O trabalho começa por um inventário: cada sistema, cada conta, quem tem acesso, com que nível de permissão e para qual e-mail vai a recuperação de senha. A prioridade segue o impacto. Primeiro vêm as contas que abrem todas as outras, como o e-mail principal, o registro do domínio, o DNS e a hospedagem. Quem controla essas contas controla o resto.

Depois entram as medidas que mais reduzem risco para o esforço que pedem: segundo fator de autenticação nas contas críticas, fim da senha compartilhada com um gerenciador de senhas da empresa e o princípio do privilégio mínimo, que quer dizer que cada pessoa acessa só o que o trabalho dela pede. O artigo sobre autenticação em dois fatores e gestão de acessos compara os tipos de segundo fator e onde cada um faz sentido.

Mudança de acesso tem um risco próprio: trancar do lado de fora quem precisa trabalhar. Por isso ela não estreia em todo mundo ao mesmo tempo. Uma regra nova de firewall ou a exigência de segundo fator roda antes num ambiente isolado ou num grupo piloto e é validada com a rotina real da empresa, incluindo o vendedor que acessa pelo celular na rua, o contador que entra de fora e a máquina antiga do estoque. Toda mudança sobe com o caminho de volta documentado, para que um bloqueio indevido seja desfeito em um comando, e não numa tarde de telefonemas.

Auditoria, registro e LGPD

Controlar acesso sem registrar o uso deixa metade do trabalho de fora. Ligamos os logs de acesso dos sistemas que permitem isso e guardamos esses registros num lugar que uma conta comum invadida não consiga apagar. Com isso, a revisão periódica mostra login em horário estranho, conta parada que voltou a ser usada e permissão que cresceu sem motivo.

Isso também tem peso legal. A LGPD, no art. 46, pede que quem trata dados pessoais adote medidas de segurança técnicas e administrativas para protegê-los de acesso não autorizado e de perda. O art. 48 obriga o controlador a comunicar à ANPD e aos titulares o incidente de segurança que possa causar risco ou dano relevante. Sem registro, a empresa não consegue nem saber o que foi exposto para decidir se precisa comunicar. O texto sobre LGPD em sites e sistemas trata do restante dessas obrigações.

O que muda depois

A saída de um funcionário vira um roteiro com a lista de contas a encerrar, e não uma caça ao tesouro. A empresa sabe quem administra cada sistema e consegue responder ao cliente ou auditor que pede evidência de controle de acesso. Quando algo dá errado, a resposta é mais rápida porque já se sabe quais credenciais trocar, e os registros mostram o que aconteceu.

Nada disso torna a empresa invulnerável, e convém desconfiar de quem promete isso. Segurança é reduzir a chance de um incidente e o estrago que ele causa quando acontece. Por isso ela anda junto com backup e continuidade, que define como os dados voltam depois de um problema, e com o monitoramento de sites e sistemas, que avisa quando algo sai do comportamento normal.

O que decidir antes de começar

Três decisões aceleram o trabalho. A primeira é nomear um responsável interno com autoridade para cobrar mudança de hábito, porque parte do que se ajusta é comportamento, e não tecnologia. A segunda é reunir o acesso às contas administrativas, ou pelo menos descobrir quem o tem; quando ninguém sabe, recuperar o controle dessas contas vira a primeira etapa. A terceira é definir quanto atrito a equipe aceita: segundo fator em todas as contas ou só nas críticas, bloqueio de acesso vindo de fora do país ou não.

Para quem quer adiantar o básico por conta própria, o checklist de segurança da informação para pequenas empresas lista o que dá para fazer ainda esta semana.