- Segurança é um processo contínuo, não um projeto com data de término
- A autenticação multifator bloqueia a maioria dos ataques baseados em credenciais
- Software sem patches é o vetor de ataque mais comum em todos os tamanhos de empresa
- A maioria das violações envolve erro humano; controles técnicos sem treinamento deixam uma lacuna
- Os atacantes não visam empresas pelo tamanho; eles visam quem tem os controles mais fracos
1. Tratar a segurança como um projeto único
Um padrão comum na cibersegurança de pequenas empresas é a mentalidade de "projeto": uma explosão de atividade, um conjunto de ferramentas instaladas e, em seguida, a suposição de que o trabalho está concluído. Um firewall foi configurado há dois anos. O antivírus está em execução. As senhas foram alteradas após o último susto. Essas são etapas úteis em um ponto fixo no tempo. O ambiente ao redor delas muda constantemente.
Novas vulnerabilidades são descobertas em softwares toda semana. Novas técnicas de phishing surgem à medida que as antigas são filtradas pelos gateways de e-mail. Os sistemas em seu negócio também mudam: novos funcionários entram, novos serviços em nuvem são adicionados, laptops antigos são substituídos sem ser devidamente desativados. Cada uma dessas mudanças pode abrir uma lacuna que não existia quando você revisou sua postura de segurança pela última vez.
Um ciclo de revisão definido lida com isso sem uma equipe grande: uma verificação trimestral de contas de usuário e acesso, uma confirmação mensal de que os patches estão sendo aplicados e uma revisão anual de seus controles gerais. Empresas que executam esses ritmos de forma consistente superam aquelas que investem muito uma vez e depois recuam.
2. Depender apenas de senhas
As senhas podem ser roubadas, adivinhadas, reutilizadas e vazadas sem que o proprietário da conta saiba. Dumps de credenciais de violações não relacionadas circulam online, e ferramentas automatizadas testam combinações roubadas de nome de usuário e senha em plataformas de e-mail corporativo, armazenamento em nuvem e sistemas de acesso remoto em minutos após um dump ser publicado.
A autenticação multifator (MFA) muda a equação. Mesmo quando uma senha está correta, o atacante não pode continuar sem também controlar o segundo fator, que geralmente é um telefone ou token de hardware. A própria pesquisa da Microsoft consistentemente descobriu que o MFA bloqueia mais de 99% dos ataques automatizados de credenciais. A tecnologia é madura, gratuita ou de custo muito baixo na maioria das principais plataformas e leva menos de uma hora para ser habilitada em um ambiente de pequena empresa.
Comece com contas de e-mail: o e-mail é a chave mestra para a maioria dos outros serviços por meio de links de redefinição de senha. Ferramentas de acesso remoto (VPNs, Remote Desktop), armazenamento de arquivos em nuvem e qualquer plataforma financeira ou de folha de pagamento devem seguir. A implementação técnica é direta; a parte mais difícil é aplicá-la a todas as contas, incluindo as pertencentes a funcionários sênior que recebem os ataques mais direcionados.
3. Ignorar atualizações de software e firmware
Software sem patches é a categoria de vulnerabilidade mais explorada em incidentes cibernéticos que afetam empresas de todos os tamanhos. Quando um patch de segurança é lançado, ele vem com uma descrição do que corrige. Essa descrição é lida tanto por defensores quanto por atacantes. Os atacantes então verificam sistemas que ainda não aplicaram a correção e os exploram em escala. A janela entre o lançamento de um patch e a exploração ativa observada agora é medida em dias, às vezes horas.
Muitas PMEs funcionam com software com meses ou anos de atraso nas atualizações. As atualizações levam tempo, às vezes quebram coisas e raramente há alguém cujo trabalho explícito cubra patches. Adiá-las abre uma exposição progressivamente maior a vulnerabilidades conhecidas para as quais exploits funcionais estão publicamente disponíveis.
As atualizações de firmware são frequentemente ignoradas completamente. O software que roda em seu roteador, nos seus switches gerenciados e no hardware do seu firewall recebe atualizações de segurança assim como os sistemas operacionais. Um roteador executando firmware de 2021 quase certamente contém vulnerabilidades que foram divulgadas e exploradas desde então. Verificar seu hardware de rede para atualizações de firmware uma vez por trimestre, juntamente com seus patches de software, fecha uma categoria de exposição que a maioria das pequenas empresas nunca abordou.
4. Dar a todos acesso de administrador
Dar a todos os funcionários direitos de administrador significa que uma única conta comprometida dá ao atacante acesso total a tudo naquela máquina e potencialmente à rede mais ampla. O ransomware depende disso: ele é executado com as permissões que o usuário conectado tem. Se esse usuário for um administrador, o ransomware pode criptografar todo o sistema e se espalhar para compartilhamentos de rede. Se o usuário tiver permissões padrão, o dano será significativamente contido.
O acesso de administrador permite instalar software, alterar configurações do sistema e modificar controles de segurança. Em uma pequena empresa onde todos usam seu próprio laptop e instalam software livremente, parece que conceder direitos de administrador é o caminho de menor resistência. Na prática, significa que todo malware que é executado em qualquer máquina em seu negócio herda o mesmo nível de acesso como se você tivesse entregado as chaves pessoalmente.
O princípio de privilégio mínimo é a abordagem correta: cada conta deve ter apenas o acesso necessário para realizar o trabalho para o qual é usada. Contas de usuário padrão para o trabalho do dia a dia e uma conta de administrador separada usada apenas quando permissões elevadas são genuinamente necessárias. A maioria dos softwares de negócios funciona perfeitamente bem com permissões de usuário padrão. O software que insiste em direitos de administrador deve suscitar uma pergunta sobre se ele realmente é necessário.
Implementar isso não requer infraestrutura complexa. Em um ambiente Windows, criar contas de usuário padrão e uma conta de administrador local ou de domínio separada leva menos de uma hora. A redução no raio de explosão quando a conta de um funcionário é comprometida é imediata e substancial.
5. Ter backups mas nunca testá-los
Quase toda empresa que passou por um incidente de ransomware dirá que tinha backups. A pergunta de acompanhamento é sempre a mesma: eles já testaram se esses backups realmente restauravam com sucesso? Na maioria dos casos, a resposta é não. O software de backup funciona silenciosamente em segundo plano, os logs relatam conclusão e ninguém verifica se os dados restaurados são realmente utilizáveis até que uma recuperação real seja necessária.
As falhas de backup são mais comuns do que a maioria das pessoas assume. Arquivos copiados enquanto estavam abertos por outro processo são frequentemente corrompidos no backup. Configurações de backup em nuvem que foram configuradas uma vez e nunca revisadas geralmente excluem novas pastas, novas unidades ou novos sistemas adicionados desde a configuração inicial. A mídia de backup que funcionava bem há doze meses pode ter falhado silenciosamente sem que ninguém percebesse, porque ninguém tentou lê-la.
O teste a ser executado é simples: escolha uma seleção aleatória de arquivos do seu backup, restaure-os para um local de teste e confirme que abrem corretamente. Para um servidor ou sistema crítico, vá além e verifique se uma restauração completa do sistema pode realmente trazer a máquina de volta a um estado funcional. Este exercício deve ser feito pelo menos trimestralmente. Documentar o resultado cria um registro de devida diligência que importa para reclamações de seguro e, onde relevante, para fins regulatórios. O objetivo de um backup não é o ato de criá-lo. É a capacidade de se recuperar a partir dele.
Um backup que você nunca testou é um backup que você não tem. A recuperação só é testada quando você deliberadamente a testa.
6. Não treinar funcionários para reconhecer phishing
O phishing representa mais de 80% dos incidentes de segurança relatados. A técnica funciona porque visa pessoas em vez de sistemas. Um e-mail de phishing bem elaborado não precisa explorar uma vulnerabilidade de software. Ele precisa que um funcionário clique em um link, abra um anexo ou insira suas credenciais em uma página de login falsa convincente. As defesas técnicas filtram uma grande proporção das tentativas de phishing, mas não capturam tudo, e os e-mails que passam tendem a ser os mais convincentes.
O treinamento não é um evento único. Uma sessão anual oferece alguma conscientização, mas ela desaparece rapidamente. A abordagem mais eficaz combina treinamento curto e regular com exercícios simulados de phishing: enviar e-mails de phishing de teste aos funcionários e rastrear quem clica. Não se trata de apanhar pessoas. Trata-se de tornar o reconhecimento de indícios de phishing um reflexo em vez de um exercício mental deliberado. Funcionários que clicaram em um e-mail de phishing de teste uma vez são significativamente mais vigilantes depois do que funcionários que apenas assistiram a uma apresentação sobre por que não devem clicar.
Os elementos práticos a cobrir em qualquer treinamento de phishing são: como inspecionar o endereço de e-mail real do remetente em vez de apenas o nome de exibição, os sinais de urgência e táticas de pressão em mensagens de phishing, como verificar uma solicitação por um canal diferente em vez de responder ao e-mail e o que fazer quando suspeitam ter clicado em algo que não deveriam. Esse último ponto é crítico. Funcionários que têm medo de reportar um erro porque temem consequências ficarão em silêncio, e uma violação silenciosa é muito mais prejudicial.
7. Assumir que seu tamanho o torna um alvo improvável
A crença de que os atacantes se concentram em grandes empresas é um dos equívocos mais persistentes e perigosos na cibersegurança de pequenas empresas. É baseada em um mal-entendido de como a maioria dos ataques cibernéticos realmente funciona. Grandes ataques direcionados contra organizações específicas existem, mas representam uma pequena proporção do total de incidentes. A maioria dos ataques que afetam pequenas empresas é oportunista: ferramentas automatizadas varrem intervalos de IP em busca de serviços expostos, testam credenciais comuns em páginas de login e enviam campanhas de phishing para listas de e-mail coletadas em escala massiva. Essas ferramentas não verificam o tamanho da empresa antes de continuar.
Uma pequena empresa com controles fracos tem mais probabilidade de sofrer um incidente do que uma grande empresa com controles fortes, porque suas fraquezas são mais fáceis de explorar e suas capacidades de detecção são menores. Atacantes que operam em escala seguem o caminho de menor resistência. Uma pequena empresa mal protegida muitas vezes é esse caminho.
Há também uma lógica de segmentação secundária que afeta muitas PMEs especificamente. Pequenas empresas frequentemente atuam como fornecedores, contratados ou parceiros de tecnologia para organizações maiores. Atacantes que querem acesso aos sistemas de um grande alvo às vezes comprometem primeiro um fornecedor menor e então usam esse ponto de apoio para alcançar o alvo primário. Esse padrão de ataque à cadeia de suprimentos significa que o risco para uma pequena empresa não se trata apenas de proteger seus próprios dados. Inclui o risco de ser usada como ponte para uma violação muito maior, com todas as consequências reputacionais e contratuais que se seguem.
Transformando consciência em ação
Ler uma lista de erros comuns é útil. Fazer algo a respeito antes que um incidente force sua mão é o que separa empresas que se recuperam rapidamente das que não se recuperam. As sete áreas acima estão listadas em ordem aproximada de frequência em revisões pós-incidente, mas todas valem a pena ser abordadas independentemente de onde você acha que está.
Um ponto de partida prático é uma autoavaliação em relação a essas sete áreas. Para cada uma, pergunte se você tem uma prática documentada em vigor e se essa prática está sendo seguida consistentemente hoje, não apenas em teoria. As lacunas entre política e realidade são onde os incidentes acontecem. Se você encontrar várias lacunas e não tiver certeza por onde começar, o MFA em e-mail e contas em nuvem é o único controle que proporcionará a redução de risco mais imediata com o menor esforço e custo.
- Habilite o MFA no e-mail primeiro. O e-mail é a chave mestra para a maioria dos outros serviços. Isso leva menos de uma hora para configurar e imediatamente bloqueia a maioria dos ataques automatizados de credenciais.
- Aplique os patches de segurança pendentes esta semana. Verifique seus sistemas operacionais, softwares de negócios e o firmware do seu roteador ou firewall. Defina um lembrete mensal no calendário para repetir essa verificação.
- Revise quem tem direitos de administrador. Remova-os de qualquer conta que genuinamente não precise deles para o trabalho do dia a dia. Crie uma conta de administrador separada usada apenas quando acesso elevado for necessário.
- Teste seus backups. Restaure uma amostra de arquivos hoje e confirme que abrem corretamente. Agende um lembrete trimestral para repetir esse teste e documentar o resultado.
- Realize uma sessão de conscientização sobre phishing para todos os funcionários. Cubra como identificar um e-mail suspeito, como verificar uma solicitação por um canal diferente e, crucialmente, como reportar um clique sem medo de culpa.
Nenhuma dessas etapas requer um grande orçamento ou infraestrutura especializada. Elas requerem tempo e consistência. Empresas que as aplicam reduzem sua exposição à maioria das ameaças que afetam as PMEs hoje. As que não aplicam não estão protegidas pelo seu tamanho.
O NCSC publica uma linha de base prática de cibersegurança para pequenas e médias empresas, cobrindo os mesmos controles fundamentais descritos neste guia. Os recursos de melhores práticas de cibersegurança da ENISA fornecem detalhes adicionais de implementação para organizações que estão desenvolvendo seu programa de segurança.