Segurança da informação em PMEs: os erros mais comuns (e mais fáceis de evitar)

Existe uma ideia equivocada de que segurança da informação é assunto de grande corporação, com orçamento de segurança dedicado. Na realidade, boa parte dos ataques que atingem pequenas e médias empresas explora falhas básicas, não sofisticadas — o que também significa que boa parte da proteção contra eles não exige grandes investimentos, exige atenção e alguma disciplina de processo.

Senhas compartilhadas e sem rotação

É comum encontrar, em empresas de porte pequeno e médio, a mesma senha de administrador usada por vários sistemas, compartilhada entre várias pessoas, e nunca trocada desde que foi criada. Quando um funcionário sai da empresa sem que essas senhas sejam trocadas, o acesso dele continua tecnicamente válido — mesmo que ninguém pretenda que isso aconteça. Adotar gestão individual de acesso, com senhas próprias por pessoa e revogação imediata no desligamento, resolve boa parte desse risco sem custo relevante.

Um gerenciador de senhas corporativo, com custo baixo ou até gratuito para equipes pequenas, já resolve boa parte desse problema: permite compartilhar acesso quando necessário sem expor a senha em texto, e revogar esse compartilhamento individualmente sem precisar trocar a senha para todo mundo que a utiliza.

Ausência de autenticação em duas etapas

Muitos ataques bem-sucedidos começam com uma senha vazada ou adivinhada, não com uma invasão sofisticada. A autenticação em duas etapas, disponível gratuitamente na maioria dos sistemas relevantes, reduz drasticamente esse risco, porque a senha sozinha deixa de ser suficiente para o acesso. Apesar de simples e barata, ainda é uma das medidas de segurança menos adotadas em empresas menores, muitas vezes por pura falta de definição de que aquilo é obrigatório internamente.

Um detalhe que costuma passar despercebido é que a autenticação em duas etapas precisa ser obrigatória para todos os acessos administrativos, não apenas oferecida como opção. Deixar a critério de cada funcionário ativar ou não costuma resultar em adoção parcial, o que preserva boa parte do risco original.

Sistemas desatualizados por medo de quebrar algo

Atualizações de software corrigem falhas de segurança conhecidas, mas em muitas empresas elas são adiadas indefinidamente por receio de que a atualização quebre alguma integração ou processo. Esse receio é legítimo, mas a solução não é nunca atualizar — é ter um ambiente de teste onde a atualização pode ser validada antes de ir para produção. Sistemas que ficam anos sem atualização acumulam vulnerabilidades já publicamente conhecidas, o que os torna alvos fáceis mesmo para ataques automatizados e pouco sofisticados.

Vale lembrar que boa parte dos ataques automatizados na internet não procura uma vítima específica: eles varrem endereços em massa procurando por versões desatualizadas e conhecidas de determinados sistemas. Isso significa que uma empresa pequena, sem nenhum motivo aparente para ser alvo de alguém, ainda assim pode ser comprometida simplesmente por manter um software desatualizado exposto à internet.

Backup que não está isolado do ambiente principal

Um erro grave e recorrente é manter o backup acessível pela mesma rede e pelas mesmas credenciais do ambiente de produção. Em um ataque de sequestro de dados, isso significa que o backup pode ser criptografado ou apagado junto com o resto, eliminando justamente a rede de segurança que deveria existir para esse cenário. Backups eficazes precisam de algum grau de isolamento — de rede, de credenciais, ou idealmente dos dois.

Esse isolamento não precisa ser complexo para ser eficaz: mesmo uma cópia offline periódica, guardada fora do alcance das credenciais usadas no dia a dia, já reduz consideravelmente o impacto de um ataque desse tipo, sem exigir uma reestruturação completa da infraestrutura de backup existente.

Falta de um plano simples de resposta a incidente

Quando um incidente de segurança acontece, o tempo de reação importa muito. Empresas sem nenhum plano, ainda que simples, sobre quem aciona, o que isolar primeiro e como se comunicar internamente durante um incidente, tendem a perder tempo precioso decidindo o que fazer no meio da crise, em vez de já estar executando uma resposta previamente combinada.

Treinamento das pessoas, não só da infraestrutura

Boa parte dos incidentes de segurança em PMEs começa com uma pessoa clicando em um link malicioso ou fornecendo uma senha em um site falso, não com uma falha técnica de fato. Investir em conscientização simples e periódica da equipe sobre esses riscos, sem precisar de treinamentos formais caros, costuma reduzir esse tipo de incidente de forma mais eficaz do que qualquer ferramenta de segurança sozinha.

A ServiceGet ajuda pequenas e médias empresas a identificar e corrigir essas falhas de segurança antes que se tornem incidentes. Entre em contato para uma avaliação de segurança do seu ambiente de TI.