Um colaborador clica em um link falso de redefinição de senha numa sexta-feira às 17h. Na segunda-feira de manhã, o servidor de arquivos é criptografado por um ransomware, o e-mail está fora de serviço e ninguém sabe se o último backup funciona.
Esse cenário afeta empresas de todos os tamanhos, e a resposta não se limita a instalar um antivírus. Reforçar a segurança digital da sua empresa em 2024 passa por escolhas técnicas precisas, uma organização testada e uma verdadeira disciplina sobre os acessos.
Passkeys e autenticação resistente a phishing
O phishing continua sendo o principal vetor de entrada de ataques significativos contra as empresas francesas. As campanhas não se limitam mais a e-mails: SMS, chamadas de voz, falsos portais de login em dispositivos móveis multiplicam as superfícies de exposição. Diante desse cenário, a simples combinação de nome de usuário e senha não é mais suficiente, mesmo com um segundo fator por SMS.
As passkeys mudam o jogo. Baseadas em criptografia assimétrica, elas eliminam a senha transmissível e tornam o phishing clássico ineficaz. Distinguem-se duas categorias de acordo com o nível de segurança desejado.
- As passkeys sincronizadas se replicam entre os dispositivos de um mesmo ecossistema (Apple, Google, gerenciador de senhas). Práticas para uso cotidiano, são adequadas para aplicações empresariais padrão.
- As passkeys vinculadas ao dispositivo (device-bound) permanecem armazenadas em um token de hardware ou em um módulo de segurança integrado. Elas oferecem um nível de segurança superior para acessos críticos: consoles de administração, VPN, bancos de dados sensíveis.
- A escolha entre as duas depende do risco associado a cada recurso. Misturar as duas em uma mesma organização é não apenas possível, mas recomendado.
No que diz respeito ao deployment, começa-se pelos contas com privilégios (administradores de sistema, responsáveis financeiros), e depois se amplia gradualmente. Os retornos variam sobre a facilidade de adoção de acordo com as faixas etárias e os hábitos digitais, mas a curva de aprendizado permanece curta assim que existe um acompanhamento interno.
Para aprofundar as questões de proteção dos sistemas de informação, os recursos disponíveis na seção de segurança da Open Syd permitem compreender melhor as soluções adequadas para PMEs.
Registro e prova: o que as autoridades esperam após um incidente
Muitas empresas investem na prevenção e negligenciam totalmente a rastreabilidade. As autoridades francesas, com a CNIL à frente, agora insistem na combinação MFA, registro e controle de acessos remotos como base de prova em caso de incidente. Sem esses elementos, uma empresa vítima de um ciberataque corre o risco não apenas de danos operacionais, mas também de uma sanção por falta de medidas de segurança apropriadas.
Concretamente, registrar significa gravar as conexões, as tentativas de acesso falhadas, as modificações de direitos e as transferências de arquivos volumosos. Esses logs devem ser datados, mantidos por um período coerente com a regulamentação e armazenados em um espaço separado do sistema monitorado.
Implementar um registro utilizável
Um registro de conexão que gera milhares de linhas sem que se saiba como lê-las não tem utilidade. Primeiro, definimos os eventos a serem capturados: autenticações, elevações de privilégios, acessos a dados pessoais. Em seguida, configuramos alertas sobre comportamentos anormais (conexão a partir de um país incomum, acesso às 3h da manhã em um posto normalmente utilizado durante o dia).
O dimensionamento do armazenamento e a duração da retenção dependem do setor e do volume de dados tratados. Centralizar os logs em um servidor dedicado ou em um serviço externalizado evita que um atacante apague suas pistas comprometendo a máquina alvo.
Backups testados e plano de resposta a incidentes
A maioria das empresas declara fazer backups. Muito poucas testam regularmente a restauração. A diferença entre os dois é medida no dia em que um ransomware criptografa o servidor principal.
A CNIL recomenda explicitamente backups armazenados fora da rede da empresa, com testes de restauração periódicos. Um disco externo conectado permanentemente ao servidor não é um backup utilizável: ele será criptografado ao mesmo tempo que o restante.
Organizar a resposta antes da crise
Um plano de resposta a incidentes não é redigido durante o ataque. Prepara-se antecipadamente uma ficha de referência que cobre quatro perguntas.
- Quem toma a decisão de isolar um servidor ou cortar um acesso VPN? A cadeia de decisão deve ser clara, inclusive na ausência do dirigente.
- Como se comunica se o e-mail estiver comprometido? Um canal de emergência (mensagem criptografada no telefone pessoal, número de telefone de plantão) deve ser definido.
- Quais prestadores chamar e em que ordem? Provedor de hospedagem, editor do software empresarial, seguradora cibernética, autoridades (ANSSI para os operadores envolvidos, CNIL se dados pessoais forem expostos).
- Onde estão os backups e quem possui as credenciais para acessá-los? Este ponto parece trivial até o momento em que a única pessoa informada está de férias.
Gestão de acessos remotos e segmentação de rede
O trabalho remoto multiplicou os pontos de entrada para os sistemas de informação. Um VPN mal configurado ou um acesso RDP aberto na Internet representa uma porta de entrada direta para um atacante que obteve credenciais por phishing.
Cada acesso remoto deve passar por um túnel criptografado com autenticação multifatorial ativa. Os acessos genéricos compartilhados entre várias pessoas (uma única conta “admin” para toda a equipe) devem ser evitados: eles tornam o registro inútil, pois não se pode mais atribuir uma ação a um indivíduo.
Segmentar para limitar a propagação
Em uma rede plana, um posto comprometido dá acesso a todos os recursos. Segmentar a rede em zonas (estações de trabalho, servidores empresariais, backups, dispositivos conectados) limita a propagação lateral de um ataque. Aplicam-se regras de firewall entre cada segmento para permitir apenas os fluxos estritamente necessários.
Essa abordagem se alinha aos princípios do modelo zero trust: nenhum dispositivo ou usuário é considerado confiável por padrão, mesmo dentro da rede. A confiança é verificada a cada solicitação, não uma vez por todas no momento da conexão VPN.
O quadro regulatório europeu se tornou mais rigoroso recentemente em relação a incidentes e à resiliência de produtos digitais. Esperar o próximo ataque para estruturar sua segurança digital é como contratar um seguro após o incêndio. As medidas descritas aqui não exigem um orçamento considerável, mas demandam tempo, rigor e, acima de tudo, testes regulares para verificar se funcionam no dia em que são necessárias.
