Fundamentos de segurança de TI

Dê a cada pessoa senhas exclusivas e um gerenciador de senhas

O hábito mais prejudicial em um pequeno escritório é ter uma senha compartilhada entre e-mail, contabilidade e serviços bancários. Quando qualquer site vaza, os invasores tentam a mesma senha em qualquer lugar em questão de horas. A solução não são truques de memória: é um gerenciador de senhas em cada mesa e telefone, para que cada conta receba uma senha longa e exclusiva que ninguém precisa lembrar.

Trabalhe nas contas na ordem que for importante: primeiro o e-mail, depois o banco, o pacote de contabilidade e quaisquer painéis de administração. Nunca armazene senhas do Office em uma planilha compartilhada ou em um caderno.

Ative a MFA em todas as contas que a oferecem

Autenticação multifator significa que apenas uma senha roubada não é mais suficiente. Um invasor em outro país que tenha sua senha ainda não conseguirá entrar sem o código do seu telefone. A Microsoft e o Google relatam há anos que o MFA bloqueia a esmagadora maioria dos ataques automatizados de controle de contas.

Seja honesto com a equipe sobre o custo: o MFA adiciona cerca de dez segundos no login. Essa é a segurança mais barata que o escritório jamais comprará.

Instale atualizações de acordo com uma programação, não por capricho

A maioria dos surtos de ransomware e worm se espalha por meio de falhas que foram corrigidas semanas antes. Os escritórios atingidos são aqueles onde o Windows Update mostra um aviso durante meses. Em vez disso, defina uma disciplina simples: as atualizações são instaladas automaticamente, as máquinas são reiniciadas pelo menos uma vez por semana e uma pessoa nomeada verifica o status da atualização mensalmente.

A mesma regra abrange o roteador, o NAS, os navegadores e o software de contabilidade, e não apenas o Windows.

Ative a proteção que o Windows já inclui

O firewall, o antivírus e a linha de base do endpoint já estão instalados — eles só precisam estar ativados e íntegros. Abra a Segurança do Windows e verifique cada seção: A proteção contra vírus e ameaças (Microsoft Defender) deve dizer "Nenhuma ação necessária", o Firewall e a proteção de rede devem estar ativados para todos os perfis e o BitLocker deve estar ativado nas edições suportadas para que um laptop roubado não entregue sua unidade.

As ferramentas de endpoint pagas adicionam gerenciamento central, relatórios e camadas extras, que ganham seu lugar à medida que um escritório cresce ou quando um contrato de cliente exige isso. Eles vêm depois desses princípios básicos, não antes.

Mantenha backups — e comprove-os com uma restauração de teste

Um backup que você nunca restaurou é uma esperança, não um backup. As unidades falham silenciosamente, as tarefas de backup param de ser executadas e o ransomware caça cópias de backup deliberadamente. Mantenha pelo menos uma cópia off-line ou fora do local, onde uma infecção de rede não possa alcançá-la.

Em seguida, prove que toda a cadeia funciona: uma vez por trimestre, restaure alguns arquivos reais do backup e abra-os. O teste de restauração é o controle. Se você tirar uma ideia de todo este guia, escolha essa.

Ofereça às pessoas apenas o acesso que seu trabalho precisa

Privilégio mínimo parece técnico; é realmente apenas uma limpeza arrumada. O PC receptor não necessita da senha de administrador do servidor. O trabalho diário deve acontecer a partir de contas padrão, com os direitos de administrador mantidos em uma conta separada que é usada apenas ao instalar ou alterar algo.

Quando alguém sair, desative as contas no mesmo dia — e-mail, login no PC, contabilidade, tudo. Um membro da equipe que saiu em março não deverá ainda ter um login ativo em outubro, e a revogação que espera por um momento conveniente geralmente espera para sempre.

Gaste na ordem certa — primeiro as camadas gratuitas

Avaliação honesta: a maior parte desta lista não custa nada. O Windows Defender, o firewall do Windows, as atualizações automáticas, o BitLocker nas edições suportadas e o MFA nas suas contas existentes já estão em construção. O primeiro gasto real geralmente é uma assinatura do gerenciador de senhas para a equipe e uma cópia de backup externa ou offline – quantias modestas. A proteção de endpoint paga só é disponibilizada depois que o básico é mantido ou quando o contrato do cliente exige isso.