Categoria: Cibersegurança

O teletrabalho não falha por causa da tecnologia: falha por causa da forma como é montado. Quando alguém leva o portátil para casa, se liga pelo wifi da sala e abre o email da empresa através de uma VPN que ninguém revê há dois anos, o problema não é estar a trabalhar fora do escritório. O problema é que estendeu a sua rede empresarial a um sítio que não controla, e nem sequer deu por isso.

Montar teletrabalho seguro na sua empresa não é distribuir portáteis e cruzar os dedos. É desenhar um posto remoto onde o acesso está controlado, o dispositivo está gerido e os dados continuam a ser seus mesmo quando a equipa está a 400 quilómetros. Aqui explicamos-lhe como se faz bem, o que costuma correr mal e por onde entram mesmo os sustos.

Os riscos reais de um teletrabalho mal montado

O risco do teletrabalho não é teórico nem exótico. É aborrecidamente concreto: um colaborador reutiliza a palavra-passe do email em cinco sites, um deles sofre uma fuga e, de repente, há credenciais válidas da sua empresa a circular. Ou o portátil sem cifra esquecido num comboio. Ou a rede doméstica partilhada com a consola de jogos do filho e um router ainda com a palavra-passe de fábrica. Nenhum destes cenários precisa de um hacker sofisticado. Precisa de um descuido, e os descuidos acontecem.

O padrão que sai mais caro é a VPN de acesso total. Instala-se a pensar “assim entram em tudo a partir de casa” e transforma-se numa autoestrada: quem compromete um único equipamento remoto passa a ter, de repente, a mesma visibilidade que se estivesse ligado no escritório. Sem segmentação, sem registo de quem acede a quê, sem forma de cortar um acesso concreto sem deitar toda a gente abaixo. É cómodo no primeiro dia e um buraco no resto do tempo.

E há um risco que quase ninguém contabiliza: o equipamento fantasma. Pessoas que se ligam a partir do seu computador pessoal “só para uma coisa rápida”, dispositivos que nunca são atualizados porque estão fora do alcance da TI, contas de ex-colaboradores ainda ativas porque a saída foi tratada nos recursos humanos mas não nos sistemas. Se não sabe exatamente que equipamentos e que pessoas acedem aos seus dados hoje, não tem teletrabalho seguro: tem uma lista de incidentes à espera de data.

Acessos seguros: VPN, MFA e gestão de identidades

A primeira camada de um posto remoto seguro é quem entra e a quê. E aqui o mínimo inegociável é o segundo fator de autenticação (MFA) em tudo o que dá para a Internet: email, VPN, painel de administração, ferramentas na nuvem. Uma palavra-passe roubada, com o MFA ativo, deixa de servir para quase nada. Sem MFA, uma única fuga põe toda a empresa em xeque. A diferença de custo entre as duas situações é abismal e o esforço para o ativar, mínimo.

A VPN continua a ter o seu lugar, mas bem pensada: acesso cifrado, sim, mas segmentado por função. O comercial não precisa de ver os servidores de administração, e a contabilidade não precisa do ambiente de desenvolvimento. Cada pessoa acede apenas ao que o seu trabalho exige, e cada acesso fica registado. A abordagem moderna vai ainda mais longe com modelos de confiança zero, onde não se confia em ninguém por estar “dentro da rede”: cada pedido é verificado. Não é preciso implementar tudo de uma vez, mas é preciso ir nessa direção.

O alicerce de tudo isto é a gestão de identidades: um diretório único onde entradas, saídas e permissões se gerem de forma centralizada. Que desativar alguém seja um clique que revoga todos os seus acessos de uma vez, e não uma lista de dez sistemas onde ir apagando contas de memória. Que ativar um novo colega signifique herdar o perfil do seu posto, nem mais nem menos. Esse controlo é o que separa uma empresa que sabe quem mexe nos seus dados de uma que só se apercebe quando já é tarde.

• MFA obrigatório no email, na VPN e em todas as ferramentas críticas, sem exceções.
• Acesso por função: cada pessoa vê apenas o que o seu trabalho precisa.
• Identidade centralizada: entradas, saídas e permissões a partir de um único ponto.
• Registo de acessos: saber quem entrou, quando e a quê.

Dispositivos, cópias de segurança e dados fora do escritório

Um acesso seguro que termina num portátil não gerido não serve de nada. O dispositivo remoto tem de estar sob controlo: disco cifrado para que um roubo não seja uma fuga de dados, antivírus e proteção avançada atualizados, patches de segurança em dia e capacidade de o bloquear ou apagar remotamente se desaparecer. Isto não se consegue confiando que cada colaborador mantenha o seu equipamento. Consegue-se com gestão centralizada de dispositivos, onde as políticas se aplicam sozinhas e a TI vê o estado de cada máquina.

A regra de ouro para separar o teletrabalho profissional do “desenrasque”: nada de dispositivos pessoais para dados da empresa. O computador de casa, partilhado, sem cifra e com software que ninguém audita, não é um posto de trabalho, é uma brecha com teclado. Um equipamento empresarial gerido custa dinheiro, sim, mas é a fronteira entre ter o controlo da sua informação e não o ter.

E depois há as cópias de segurança, o ponto onde o teletrabalho costuma falhar em silêncio. No escritório, os ficheiros acabam num servidor que alguém salvaguarda. Em casa, se a pessoa guarda coisas no ambiente de trabalho do portátil e esse disco morre, não há volta a dar. A solução é que os dados vivam em sítios com cópia de segurança —armazenamento empresarial na nuvem ou servidores com cópia automática— e que exista uma cópia de segurança real, testada e com capacidade de restauro verificada. Uma cópia que nunca restaurou não é uma cópia: é uma suposição.

O teletrabalho não amplia o seu escritório: amplia a sua superfície de ataque. A diferença entre as duas coisas é exatamente o trabalho que fizer antes de distribuir os portáteis.

Um posto remoto pronto a trabalhar e seguro

Junte as peças anteriores e tem um posto de trabalho remoto que funciona: a pessoa liga o equipamento, identifica-se com duplo fator, acede apenas ao que precisa, trabalha com os seus dados num armazenamento com cópia de segurança e, se algo se avaria, tem a quem ligar. Nada de improvisar, nada de “vamos lá ver se funciona”. Um posto pensado para que a equipa produza desde o primeiro minuto, sem que a segurança seja um estorvo nem uma ilusão.

A chave está em que tudo isto seja coerente e gerido como um conjunto, e não como peças soltas que cada um instala à sua maneira. O erro habitual é tratar o teletrabalho como uma exceção temporária: monta-se depressa, com remendos, e fica assim durante anos. O posto remoto tem de ser desenhado com o mesmo critério que o do escritório, porque em termos de risco é exatamente igual de importante. É aí que entram uma cibersegurança bem pensada e um posto de trabalho gerido que se ocupa do ciclo completo.

E não se esqueça do fator humano. A melhor arquitetura cai por terra se a equipa clica no email de phishing ou partilha a palavra-passe pelo WhatsApp. Formar as pessoas, ter um suporte a quem possam escrever quando têm dúvidas e regras de utilização claras não é um extra: faz parte do posto. A segurança que as pessoas entendem é a que se cumpre.

Como a MagicBoxDesk lho monta

Na MagicBoxDesk montamos o teletrabalho seguro da sua empresa como aquilo que é: um serviço de princípio ao fim. Desenhamos os acessos com MFA e gestão de identidades, entregamos equipamentos empresariais cifrados e geridos, deixamos os dados num armazenamento com cópia de segurança e cópias que testamos a sério, e colocamos por trás uma monitorização 24/7 e um suporte técnico —remoto e presencial em toda a Espanha— a que a sua equipa pode ligar quando algo não funciona. Externalizamos o seu departamento de TI para que o teletrabalho deixe de ser um risco e passe a ser uma vantagem.

Não lhe vendemos uma caixa de produtos: montamos-lhe o posto de que a sua empresa precisa, nem mais nem menos, e encarregamo-nos de que continue a funcionar e seguro ao longo do tempo. Peça um orçamento sem compromisso e dizemos-lhe exatamente do que a sua equipa precisa para trabalhar a partir de qualquer lugar, com todas as garantias.

Se acha que a sua empresa é demasiado pequena para que um grupo de ransomware se interesse por ela, é exatamente por isso que é um alvo. Os atacantes já não escolhem as vítimas à mão: varrem a internet, testam credenciais roubadas e entram por onde a porta cede. E as PME são a porta que menos resiste.

O padrão é sempre o mesmo: entram por um e-mail ou uma palavra-passe, movem-se pela sua rede sem que ninguém os veja, cifram os seus dados e também as suas cópias de segurança, e ainda levam uma cópia para o ameaçar de a publicar se não pagar. Dupla extorsão. A boa notícia: um ataque de ransomware trava-se com medidas concretas e comprovadas. Aqui ficam quais e o que fazer se já o tem em cima.

Porque é que as PME são o alvo preferido

O ransomware deixou de ser um ataque dirigido a grandes empresas há anos. Hoje é um negócio industrializado que funciona por volume, e a PME reúne o combo perfeito: dados valiosos, defesas modestas e pressa para voltar a faturar. O atacante sabe que uma empresa de 20 ou 50 pessoas raramente tem equipa de segurança, que as suas cópias costumam estar na mesma rede e que, com o negócio parado, cada hora dói o suficiente para se ponderar pagar.

Junta-se a isto a cadeia de abastecimento. Muitas PME são fornecedoras de empresas maiores, e comprometer a pequena é o caminho cómodo para chegar à grande. O seu acesso aos sistemas de um cliente ou as suas credenciais partilhadas transformam-no num trampolim, não apenas numa vítima final.

E depois há o inimigo interno: o “a mim não me vai acontecer”. Essa frase justifica o antivírus caducado, as palavras-passe de 2019 e as cópias que ninguém alguma vez testou restaurar. O ransomware não castiga o azar; castiga a falta de preparação. A diferença entre um susto e um encerramento de duas semanas decide-se antes do ataque, não durante.

Como o ransomware entra de verdade

Esqueça o hacker genial a quebrar cifras impossíveis. A realidade é mais banal e é precisamente por isso mais perigosa: quase sempre entram pela porta principal usando a chave certa. Estas são as vias reais, por ordem de frequência.

• Phishing por e-mail. Uma mensagem que parece legítima —uma fatura, um aviso de entrega, um suposto colega— com um anexo ou uma ligação. Um clique e já há um pé lá dentro. Continua a ser a via número um.
• Credenciais roubadas ou fracas. Palavras-passe vazadas em falhas anteriores, reutilizadas entre serviços ou tão simples que se adivinham por força bruta. Com um utilizador e uma palavra-passe válidos, o atacante não “hackeia”: simplesmente inicia sessão.
• RDP e VPN expostos à internet. O ambiente de trabalho remoto ou o acesso VPN abertos sem proteção extra são um íman. Os atacantes varrem a internet à procura destas portas 24 horas por dia.
• Software sem correções. Servidores, firewalls ou aplicações com vulnerabilidades conhecidas e públicas que ninguém atualizou. O exploit já está escrito; basta encontrar o sistema esquecido.

Uma vez lá dentro, o ataque não cifra de imediato. O atacante move-se lateralmente durante horas ou dias, procura as contas de administrador e, sobretudo, localiza as suas cópias de segurança para as inutilizar antes de dar o golpe. Quando finalmente lança a cifra, já é tarde. A defesa joga-se em detetar esse movimento silencioso, não a cifra final.

As defesas que travam mesmo um ataque

Não há bala de prata, mas há um conjunto de medidas que, combinadas, tornam a sua empresa um alvo demasiado caro para o atacante. Estas são as que fazem mesmo a diferença:

• EDR em cada equipamento. Um antivírus deteta o conhecido; um EDR deteta o comportamento suspeito —movimento lateral, cifra massiva— e corta-o em tempo real. É ver o ataque em vez de dar por ele quando já nada arranca.
• Cópias imutáveis e isoladas. Se a sua cópia está na mesma rede e acessível, o ransomware cifra-a com tudo o resto. Precisa de cópias imutáveis (que não se podem modificar nem apagar) e uma fora do seu ambiente. É o seu último cartucho quando tudo o resto falhou.
• MFA em todos os acessos. Duplo fator no e-mail, VPN, acesso remoto e aplicações críticas. Uma palavra-passe roubada deixa de servir se for preciso um segundo fator. É a medida que trava mais ataques com menos esforço.
• Correções em dia. Um processo real de atualização de sistemas operativos, servidores e aplicações. Fechar as vulnerabilidades conhecidas antes de as usarem contra si não é opcional, é higiene básica.
• Segmentação da rede. Que um equipamento infetado não consiga alcançar toda a empresa. Separar redes e aplicar o mínimo privilégio contém o incêndio numa divisão em vez de o deixar arrasar o edifício.
• Formação da equipa. As suas pessoas são a primeira firewall. Uma equipa que reconhece um phishing e sabe a quem avisar trava o ataque mais depressa do que qualquer tecnologia. Formação breve, prática e repetida.
• Plano de resposta a incidentes. Saber de antemão quem isola, quem decide, a quem se liga e como se restaura. Improvisar durante o ataque custa dias; ter o plano ensaiado custa horas.

Uma cópia de segurança que nunca testou restaurar não é uma cópia de segurança: é uma suposição. E as suposições não aguentam um ransomware.

A chave não está em ter uma destas medidas, mas em tê-las todas a funcionar em simultâneo e supervisionadas. É aqui que a cibersegurança gerida separa as empresas que sobrevivem das que não.

O que fazer na primeira hora se lhe acontecer

Se vê ficheiros com extensões estranhas, notas de resgate ou equipamentos a cair em cadeia, já está a acontecer. A primeira hora decide o tamanho do desastre. Aja assim:

• Isole, não desligue. Desligue os equipamentos afetados da rede —cabo, wifi, VPN— para travar a propagação, mas evite desligá-los a frio: pode perder provas e dados úteis para a recuperação.
• Não pague às cegas. Pagar não garante recuperar os dados, marca-o como quem paga e financia o ataque seguinte. Antes de decidir seja o que for, avalie o alcance real e as suas opções de restauro com quem saiba.
• Ative o plano de resposta. Convoque quem decide, avise o seu fornecedor de segurança e documente o que aconteceu. Um ataque em curso não é o momento de decidir quem faz o quê; é o momento de executar o que já estava decidido.
• Restaure a partir de uma cópia limpa. Antes de recuperar, certifique-se de que a cópia não está comprometida e de que fechou a via de entrada. Restaurar sobre um sistema ainda infetado reinicia o pesadelo.
• Cumpra a legislação. Consoante os dados afetados, pode haver obrigação de notificar a violação. Tenha-o previsto para não somar uma coima ao desastre.

A oferta da MagicBoxDesk: cibersegurança gerida e backup à prova de ransomware

Montar e manter tudo o anterior exige tempo, ferramentas e critério que à maioria das PME não compensa ter em casa. Por isso na MagicBoxDesk oferecemo-lo como serviço gerido em mensalidade, sem surpresas: nós pomos a tecnologia, a vigilância e a experiência, e você esquece o problema. É externalizar a sua TI com a segurança e as cópias incluídas, não como um extra que se fatura quando já é tarde.

• EDR gerido em todos os seus equipamentos, com deteção e resposta a comportamento suspeito.
• Backup com cópias imutáveis e isoladas, com restauros testados periodicamente.
• MFA e controlo de acessos no e-mail, VPN, ambiente de trabalho remoto e aplicações críticas.
• Gestão de correções e atualizações contínua sobre servidores, postos e perímetro.
• Segmentação e hardening da rede para conter qualquer equipamento comprometido.
• Monitorização e resposta a incidentes, com um plano de atuação definido e alguém do outro lado quando precisar.
• Formação e simulações de phishing para que a sua equipa deixe de ser o elo fraco.

O que ganha resume-se facilmente: tranquilidade, conformidade e zero interrupções. Esse trabalho de vigiar e-mails estranhos, palavras-passe antigas e cópias por testar passa para uma equipa que o faz todos os dias. Damos suporte remoto e presencial em toda a Espanha, com deslocação ao seu escritório quando é preciso.

Proteja a sua empresa antes que seja tarde

O ransomware não avisa, mas perdoa quem está preparado. A decisão não é se investir em proteção contra ransomware para a sua empresa, mas se prefere fazê-lo agora, a mensalidade fixa, ou depois, com o negócio parado e a qualquer preço. A primeira opção sai sempre mais barata.

Na MagicBoxDesk montamos e mantemos toda esta defesa por si para que se ocupe do seu negócio. Peça um orçamento sem compromisso e dizemos-lhe exatamente o que precisa para dormir descansado. Se prefere contar-nos primeiro o seu caso, escreva-nos ou ligue-nos e vemos isso.

A firewall mais cara da sua empresa não serve de nada se um colaborador escrever a palavra-passe num site falso às nove da manhã, com o café na mão e quinze tarefas pendentes. O phishing não ataca as suas máquinas: ataca as suas pessoas, e é por isso que nenhuma ferramenta o trava por completo. A boa notícia é que a defesa que melhor funciona é também a mais barata: uma equipa formada que sabe reconhecer o isco antes de morder.

A formação em phishing para a sua empresa não é uma palestra anual de uma hora que todos esquecem no dia seguinte. É um hábito que se constrói com exemplos reais, simulações e um protocolo claro para quando alguém cair, porque alguém vai cair. Aqui fica como montá-la sem conversa fiada.

Como é um phishing real (com exemplos)

Esqueça o e-mail do príncipe nigeriano cheio de erros de ortografia. O phishing que hoje chega às caixas de entrada da sua equipa está bem escrito, personalizado e com uma urgência calculada. Usa o logótipo certo, imita o tom do seu banco ou da Microsoft e, muitas vezes, infiltra-se num fio de e-mails já existente. O objetivo é sempre o mesmo: levá-lo a clicar, a introduzir credenciais ou a movimentar dinheiro sem pensar.

Estes são os formatos que verá vezes sem conta numa PME:

O falso Microsoft 365. “A sua palavra-passe expira hoje, verifique-a aqui.” A ligação leva a uma página idêntica ao login da Microsoft, alojada num domínio parecido mas falso. Escreve a sua palavra-passe e acabou de a oferecer ao atacante, que já está dentro do seu correio a ler faturas.

A fraude do CEO. Um e-mail que aparenta vir do diretor-geral pede à contabilidade uma transferência urgente e confidencial “para fechar um negócio”. Joga com a hierarquia e a pressa: ninguém quer fazer o chefe esperar. Empresas sérias já perderam dezenas de milhares de euros com dois parágrafos bem escritos.

A fatura ou a encomenda. Um anexo que “é a fatura pendente” ou um SMS de uma transportadora com uma ligação para “reagendar a entrega”. O anexo instala malware; a ligação rouba dados. E o phishing por SMS ou WhatsApp funciona porque no telemóvel não vê o endereço completo nem pensa duas vezes.

O phishing não procura enganar o seu antivírus. Procura enganar a pessoa que está com pressa.

Os sinais que qualquer pessoa pode aprender a ver

Não é preciso que a sua equipa seja especialista em segurança. É preciso que interiorize meia dúzia de reflexos que servem para 90% das tentativas. Estes são os sinais que ensinamos a reconhecer, e que qualquer pessoa pode aprender numa tarde:

• A urgência e a ameaça. “Aja em 24 horas ou perderá o acesso.” Quando um e-mail o mete à pressa ou o assusta, é quase sempre para que não raciocine.
• O remetente que não bate certo. Passe o rato por cima do nome e veja o endereço real. suporte@micr0soft-seguranca.com não é a Microsoft, por muito bem paginado que esteja o e-mail.
• A ligação que esconde o destino. Antes de clicar, passe o cursor e verifique o URL em baixo à esquerda. Se o texto diz uma coisa e a ligação aponta para outra, é uma armadilha.
• O pedido de credenciais ou dados. Nenhum banco nem fornecedor sério lhe pede a palavra-passe por e-mail. Se lha pedem, é fraude.
• O anexo inesperado. Faturas que não esperava, ZIP, ficheiros que pedem para “ativar as macros”. Na dúvida, não o abra e pergunte por outro canal.
• O que sai do normal. O diretor nunca pede transferências por e-mail, o seu fornecedor nunca muda de conta bancária sem avisar. Tudo o que fuja ao habitual merece uma chamada de confirmação.

A regra de ouro que resume todas: na dúvida, verifique por outro canal. Uma chamada de trinta segundos ao remetente real desmonta 99% das fraudes. É mais lento do que clicar, e é justamente por isso que funciona.

Como formar e simular ataques na sua equipa

Saber a teoria não chega. A reação correta treina-se, tal como um simulacro de incêndio. Por isso uma formação em phishing que funciona combina três peças: conteúdo breve e prático, simulações reais e medição.

Formação curta e frequente. Esqueça a sessão maratona de duas horas uma vez por ano. Funciona melhor um vídeo de cinco minutos por mês, com exemplos do setor da sua empresa. O objetivo não é que a sua equipa memorize, mas que desenvolva o instinto de desconfiar do e-mail à pressa.

Simulações de phishing controladas. Aqui está a diferença entre uma empresa que diz que forma e uma que de facto protege. Enviam-se e-mails de phishing falsos —inofensivos— aos colaboradores e mede-se quem clica. A quem cai não se aponta o dedo nem se castiga: forma-se nesse momento, com o erro ainda fresco. É a lição que de facto se recorda. Repetido de poucas em poucas semanas, a percentagem de cliques baixa de forma mensurável campanha após campanha.

Medir e reforçar. Sem números não sabe se a formação serve. Mede-se a taxa de cliques, quantas pessoas reportam o e-mail suspeito e o tempo de reação. Esse dado diz-lhe onde estão os pontos fracos —muitas vezes um departamento concreto— para reforçar precisamente aí. Uma equipa bem formada não só evita cair: avisa, e esse aviso precoce é o que corta um incidente antes de crescer.

Tudo isto encaixa numa abordagem mais ampla de cibersegurança e de um posto de trabalho gerido onde a formação se combina com as defesas técnicas: filtros de correio, duplo fator de autenticação e permissões bem ajustadas. A pessoa formada é a última linha; as camadas técnicas são as anteriores.

O que fazer nos primeiros minutos se alguém cair

Vai acontecer. Por muito bem formada que esteja a equipa, um dia alguém vai clicar e introduzir a sua palavra-passe. O que marca a diferença entre um susto e uma brecha grave é a velocidade de reação nos primeiros minutos. Por isso o protocolo deve estar escrito e conhecido antes de acontecer, não improvisado às onze da noite.

• Avisar de imediato, sem medo. Quem cai deve poder dizê-lo no segundo, sem receio da bronca. Um colaborador que esconde o erro por vergonha é o pior cenário possível.
• Mudar a palavra-passe já da conta afetada e de qualquer outra onde tenha sido reutilizada. Se houver duplo fator, melhor: o atacante terá a palavra-passe mas não o segundo passo.
• Desligar o equipamento da rede se foi aberto um anexo ou instalado algo, para travar a propagação enquanto se revê.
• Rever o alcance. Procurar regras de reencaminhamento automático que o atacante tenha criado no correio, acessos a partir de localizações estranhas e movimentos anómalos. O roubo de credenciais costuma vir seguido de espionagem silenciosa.
• Avisar quem possa ser a próxima vítima. Se o atacante entrou num correio, usará essa conta para enganar colegas, clientes e fornecedores. Avisá-los corta a cadeia.

Ter este protocolo claro, com um responsável a quem ligar e passos definidos, transforma um incidente potencialmente grave num incidente controlado. A diferença mede-se em minutos e, muitas vezes, em milhares de euros.

Como a MagicBoxDesk o ajuda a blindar a sua equipa

Na MagicBoxDesk montamos a defesa completa contra o phishing na sua empresa: formação prática e contínua, campanhas de simulação que medem e melhoram a reação real da sua equipa, e as camadas técnicas que apanham o que a pessoa nem sequer deveria ter de ver —filtragem de correio, duplo fator, permissões ajustadas e um protocolo de resposta a incidentes pronto para o dia em que for preciso. Tudo dentro do nosso serviço de cibersegurança e do posto de trabalho gerido, com suporte remoto e presencial em toda a Espanha.

Não vendemos uma palestra avulsa: construímos o hábito e sustentamos a proteção ao longo do tempo, para que um e-mail à pressa deixe de ser a porta de entrada no seu negócio. Peça um orçamento sem compromisso e dizemos-lhe exatamente do que a sua equipa precisa para não morder o isco.

Quase nenhuma PME cai por causa de um ciberataque de cinema. Cai por causa do aborrecido: um servidor que se desliga e não volta, um ransomware que cifra a pasta partilhada numa sexta-feira à tarde, uma canalização que rebenta por cima do rack, um fornecedor de nuvem com uma paragem de seis horas. A pergunta que realmente importa não é se vai acontecer, mas quantas horas a sua empresa pode ficar sem faturar, sem produzir ou sem atender clientes antes de o dano ser irreversível. Um plano de continuidade de negócio para PME é exatamente a resposta a essa pergunta, posta por escrito e testada.

E não, não é preciso um manual de 200 páginas nem o orçamento de uma multinacional. É preciso saber que processos não podem parar, quanto aguenta realmente e que três coisas faz na primeira hora. O resto é enfeite. Vamos ao concreto.

Continuidade vs. recuperação: o que é um BCP e o que é um DRP

Confundem-se constantemente, e essa confusão é cara. O BCP (Business Continuity Plan) responde a “como continua o meu negócio a funcionar enquanto algo está avariado”. O DRP (Disaster Recovery Plan) responde a “como recupero a tecnologia que caiu”. Um olha para o negócio; o outro, para os sistemas.

Um exemplo: cai-lhe o ERP. O DRP diz como restaura a base de dados a partir da cópia e em que servidor a coloca de pé. O BCP diz como a equipa de faturação continua a emitir guias de remessa num modelo provisório entretanto, para que o armazém não pare. O DRP repara a máquina; o BCP mantém o dinheiro a entrar pela porta. Precisa dos dois, e precisa que falem entre si.

Recuperar o sistema em dois dias não serve de nada se o seu negócio morre em quatro horas sem ele.

O erro clássico da PME é ter (com sorte) um bocado de DRP —as cópias de segurança— e nem rasto de BCP. Tem backups, sim, mas ninguém sabe quem decide ativar a recuperação, a quem se avisa, como se atendem os clientes entretanto nem quanto tempo é “demasiado”. Isso não é um plano: é uma pasta de ficheiros e os dedos cruzados.

Que processos não podem parar e quanto aguenta: RTO e RPO em português claro

Todo o plano sério arranca do mesmo ponto: nem tudo importa por igual. Se tentar proteger cada sistema com a mesma urgência, nem termina nem o consegue pagar. Faça uma lista honesta dos seus processos —faturar, produzir, tratar encomendas, pagar salários, dar suporte— e classifique-os pelo que acontece se pararem uma hora, um dia, uma semana. Os que doem em horas são os seus processos críticos. Esses é que mandam.

Sobre essa lista surgem duas siglas que soam técnicas mas são puro senso comum:

• RTO (objetivo de tempo de recuperação): quanto tempo um processo pode estar em baixo antes de o dano ser grave. É o seu “relógio”. Se a sua loja online não pode estar mais de 2 horas sem vender, o seu RTO é 2 horas.
• RPO (objetivo de ponto de recuperação): quantos dados se pode permitir perder, medidos em tempo. Se faz cópia a cada 24 horas, o seu RPO é de um dia: perante um desastre, perde até um dia de trabalho. Para um ERP de faturação isso costuma ser inaceitável.

A magia está em cruzar ambos com a realidade. Se o seu processo crítico exige um RTO de 2 horas mas a sua única cópia está num disco USB que alguém leva para casa às sextas, a sua capacidade real de recuperação é de dias, não de horas. Aí tem o buraco, medido e com números. E com esses números já pode decidir onde investir: replicação na nuvem, cópias mais frequentes, um servidor secundário. Não por medo, mas por critério.

Um conselho que poupa dinheiro: ajuste o RTO e o RPO ao valor do processo, não à sua ansiedade. O servidor de ficheiros do marketing pode tolerar um RPO de 24 horas sem drama. A base de dados de encomendas, não. Proteger tudo como se fosse crítico é a forma mais rápida de rebentar o orçamento e nunca terminar o plano.

Um plano simples que vai mesmo usar

O melhor plano de continuidade não é o mais completo: é o que a sua equipa consegue executar às 3 da madrugada, com adrenalina, sem o informático de serviço contactável. Isso significa curto, claro e acionável. Um documento de duas ou três páginas bem feitas vale mais do que um calhamaço que ninguém abriu.

O mínimo que deve conter:

• Processos críticos e os seus RTO/RPO: a lista do ponto anterior, priorizada. O que se recupera primeiro e o que pode esperar.
• Quem decide e quem executa: nomes e suplentes. Quem declara o incidente, quem autoriza a recuperação, quem fala com os clientes. Sem papéis definidos, há paralisia.
• Contactos-chave fora do sistema: telefones da equipa, do fornecedor de IT, do banco, do seguro. Impressos ou no telemóvel, porque se a rede cair não terá acesso ao Drive.
• Onde estão as cópias e como se restauram: localização, credenciais de acesso controladas e o procedimento passo a passo. Uma cópia que ninguém sabe restaurar não é uma cópia.
• O plano B manual: como cada processo crítico continua a operar sem o seu sistema. Faturar num modelo, tirar encomendas por telefone, o que quer que mantenha o negócio vivo nessas horas.

Repare no que não está: jargão, diagramas de arquitetura lindíssimos, cenários improváveis. O plano descreve o que fazer na primeira hora das três ou quatro quedas que realmente lhe podem acontecer. Todo o resto sobra até este núcleo funcionar. Comece pequeno, ponha-o por escrito hoje e melhore-o depois.

Como testá-lo para que funcione a sério

Um plano por testar é uma hipótese. E na continuidade, as hipóteses caem precisamente quando mais precisa delas. A cópia que “se fazia sozinha” falhava em silêncio há três meses; o procedimento de restauro demorava oito horas em vez de duas porque ninguém o tinha cronometrado. Estas coisas não se descobrem a ler o plano: descobrem-se a executá-lo.

Não é preciso simular um incêndio. Teste por camadas:

• Restauro real das cópias: pegue num backup e recupere-o num ambiente à parte. Cronometre. Cumpre o seu RTO? Estão lá todos os dados? Isto faz-se todos os trimestres, não uma vez na vida.
• Simulacro de mesa: junte a equipa uma hora, lance “são 9:00 e o ERP não arranca” e que cada um diga o que faz. As lacunas aparecem sem tocar num único sistema.
• Teste do plano B manual: passe meio dia a faturar ou a tirar encomendas como se o sistema não existisse. Vai descobrir o que falta antes de precisar dele a sério.

Cada teste deixa tarefas: atualizar um contacto, corrigir um backup, esclarecer um passo confuso. Esse ciclo —testar, encontrar a falha, corrigi-la— é o que transforma um documento numa capacidade real. E aqui a monitorização desempenha um papel silencioso mas decisivo: se vigiar os sistemas e as cópias em tempo real, muitos incidentes são detetados e contidos antes de se transformarem num desastre que ative todo o plano. Prevenir sai muito mais barato do que recuperar.

Como a MagicBoxDesk o prepara

Tudo isto —classificar processos, fixar RTO e RPO realistas, montar cópias que de facto se restauram, escrever o plano e testá-lo todos os trimestres— é trabalho especializado e contínuo. É exatamente o que fazemos quando externalizamos o departamento de TI de uma empresa: não vendemos um PDF e desaparecemos, deixamos montada a capacidade real de encaixar um golpe e continuar a faturar. Desenhamos o BCP e o DRP à medida da sua operação, com monitorização 24/7 que deteta os problemas antes de o deitarem abaixo e com cópias verificadas de forma automática, não “na teoria”.

Damos suporte remoto e presencial em toda a Espanha, com a experiência de quem levantou sistemas caídos a um domingo à noite mais vezes do que gostaria. Se não sabe quantas horas o seu negócio aguenta sem os seus sistemas, esse é precisamente o ponto de partida. Peça um orçamento sem compromisso e dizemos-lhe, com números, onde está o seu risco real e o que precisa mesmo para dormir descansado.

Durante anos, a cibersegurança «obrigatória» era coisa de bancos, hospitais e grandes operadoras. A NIS2 quebrou esse esquema. A nova diretiva europeia alarga as obrigações de segurança a muitos mais setores e às empresas de média dimensão que até agora viviam à margem, e — isto é o que quase ninguém vê chegar — estende a exigência a toda a sua cadeia de fornecedores. Traduzindo: mesmo que a sua empresa não conste na lista dos setores afetados, pode acabar por ter de cumprir porque vende a alguém que está sujeito.

Aqui não vamos atordoá-lo com números de artigos nem citar coimas exatas — para o detalhe jurídico está o seu assessor legal. Vamos ao que verdadeiramente lhe interessa: se a NIS2 o afeta, o que o obriga a fazer na prática e como cumprir a NIS2 na sua empresa sem montar um departamento de segurança inteiro nem enlouquecer pelo caminho.

O que é a NIS2 e a quem se aplica de verdade

A NIS2 é a evolução da primeira diretiva europeia de segurança das redes e dos sistemas. O seu objetivo é elevar o nível de cibersegurança em toda a União e, para o conseguir, faz duas coisas importantes: alarga o número de setores considerados essenciais ou importantes — energia, transportes, saúde, água, banca, infraestrutura digital, administração pública, mas também indústria transformadora, alimentação, gestão de resíduos, serviços postais, química e mais — e baixa o limiar de dimensão, arrastando muitas médias empresas que antes ficavam de fora.

Mas o ponto que a maioria das pessoas ignora é o da cadeia de abastecimento. A NIS2 obriga as entidades afetadas a gerir o risco que lhes chega através dos seus fornecedores. O que é que isso significa para si? Que se for você a dar a manutenção informática, o software, o alojamento, a logística ou qualquer serviço crítico a uma empresa sujeita à NIS2, essa empresa vai começar a exigir-lhe garantias de segurança por contrato. A armadilha do «eu não estou na lista» é precisamente essa: não é preciso estar na lista para que a norma o alcance.

A NIS2 não pergunta só se a sua empresa é crítica. Pergunta de quem depende você e quem depende de si. É aí que entra a maioria.

Por isso o primeiro passo não é presumir que não é consigo, mas sim verificá-lo a sério: olhar para o seu setor, a sua dimensão e — sobretudo — a quem vende. Muitas PME descobrem que estão sujeitas indiretamente no dia em que um grande cliente lhes envia um questionário de segurança que não sabem responder.

O que o obriga a fazer na prática

A NIS2 não lhe dá uma checklist de produtos para comprar. Exige-lhe uma abordagem de gestão de riscos: identificar o que pode correr mal, avaliar o seu impacto e aplicar medidas proporcionadas. Dentro desse enquadramento, há obrigações que se repetem e que convém ter claras desde já.

• Análise e gestão de riscos. Saber que ativos tem, que ameaças os afetam e o que faria perante cada uma. É a base sobre a qual assenta tudo o resto.
• Medidas técnicas mínimas. Controlo de acessos, autenticação robusta (de preferência multifator), cifragem, atualizações em dia, cópias de segurança testadas, segmentação de rede e segurança no correio. O essencial, mas feito a sério.
• Notificação de incidentes. Perante um incidente significativo, é preciso avisar a autoridade competente em prazos apertados. Improvisar nesse dia não é opção: precisa de saber a quem liga, o que comunica e quem o faz.
• Segurança da cadeia de abastecimento. Avaliar e exigir garantias aos seus fornecedores, e estar em condições de as dar aos seus clientes.
• Continuidade e recuperação. Planos para continuar a operar e voltar à normalidade após um incidente, incluindo a gestão de crise.
• Formação e sensibilização. A sua equipa é a primeira linha. A norma espera que as pessoas sejam formadas, a começar pela direção.

E há uma mudança de fundo que atravessa tudo: a responsabilidade recai sobre a direção. A NIS2 deixa de tratar a cibersegurança como um assunto do «rapaz da informática» e coloca-a na mesa dos administradores, que devem aprovar as medidas, supervisionar o seu cumprimento e formar-se. Já não vale delegar e olhar para o lado: se algo falha, a responsabilidade tem nome e apelido lá em cima.

Por onde começar se parte do zero

Se lê tudo o que está acima e sente a aflição, respire. Não é preciso fazer tudo ao mesmo tempo nem comprar dez ferramentas caras. É preciso fazê-lo por ordem. E a ordem importa mais do que a pressa.

1. Uma análise de riscos honesta

Antes de proteger o que quer que seja, tem de saber o que protege. Faça o inventário dos seus sistemas, dos seus dados e das suas dependências, e avalie onde tem os maiores buracos. Este diagnóstico é o que transforma uma lista genérica de obrigações num plano concreto para a sua empresa. Sem ele, qualquer investimento em segurança é um tiro às cegas.

2. As medidas básicas primeiro

A maioria dos incidentes graves entra pela porta do costume: uma palavra-passe fraca, um equipamento por atualizar, um e-mail de phishing, uma cópia de segurança que nunca foi testada. Fechar essas portas é mais rentável do que qualquer tecnologia sofisticada. Multifator, atualizações automatizadas, cópias que se restauram de verdade e controlo de quem acede a quê: isso tira-lhe de cima uma parte enorme do risco com um esforço razoável.

3. Um plano realista, por fases

O resto — notificação de incidentes, continuidade, formação, exigências aos fornecedores — desenrola-se por etapas, com responsáveis claros e datas. Um plano de adequação bem feito diz-lhe o que faz este trimestre e o que faz no seguinte, para que o cumprimento seja um caminho sustentável e não um sprint impossível que se abandona a meio. É aqui que ter alguém que já o fez antes marca a diferença entre avançar e andar às voltas.

O erro de o tratar como papelada

Existe a tentação de viver a NIS2 como um trâmite: juntar quatro documentos, meter uma política numa gaveta e continuar como sempre. É o pior erro possível, e por dois motivos. O primeiro, prático: um cumprimento de fachada não aguenta um incidente real. No dia em que lhe entra um ransomware, o papel não restaura os seus servidores nem evita que as suas operações parem. O segundo, de fundo: cumprir bem a NIS2 é, literalmente, estar mais seguro. As obrigações não são caprichos do legislador; são as medidas que há anos evitam desastres nas empresas que as aplicam.

Veja-o ao contrário: a diretiva está a dar-lhe a desculpa perfeita — e o apoio da direção — para fazer finalmente o que a sua cibersegurança devia ter tido desde sempre. Uma empresa que cumpre a NIS2 a sério não evita apenas problemas legais: sofre menos interrupções, perde menos dados e transmite mais confiança aos seus clientes. O cumprimento deixa de ser um custo e torna-se uma vantagem competitiva, sobretudo quando esses clientes começam a perguntar pela sua segurança antes de assinar consigo.

A oferta da MagicBoxDesk: NIS2 como serviço gerido

Na MagicBoxDesk tratamos da parte técnica e organizativa do cumprimento da NIS2 como um serviço gerido contínuo, não como um relatório que entregamos e desaparecemos. Somos o departamento de TI que a sua empresa externaliza: montamos as medidas, mantemo-las vigiadas e estamos presentes no dia em que há um incidente. E fazemo-lo com uma mensalidade sem surpresas, para que a segurança seja previsível no seu orçamento em vez de um susto sempre que acontece algo.

Isto é o que inclui contratar a cibersegurança gerida da MagicBoxDesk para alcançar o cumprimento da NIS2:

• Diagnóstico inicial. Analisamos se a NIS2 o afeta — diretamente ou pela sua cadeia de abastecimento — e medimos a sua situação real face ao que a norma exige.
• Plano de adequação por fases. Um roteiro priorizado, com responsáveis e prazos, ajustado à sua dimensão e ao seu orçamento.
• Medidas técnicas implementadas. Controlo de acessos, multifator, cifragem, atualizações, segmentação, cópias de segurança testadas e monitorização dos seus sistemas.
• Plano de resposta a incidentes. Um procedimento claro de deteção, contenção e notificação no prazo, para que nesse dia saiba exatamente o que fazer e quem o faz.
• Acompanhamento contínuo. Revisões periódicas, formação à sua equipa e à direção, e apoio em toda a Espanha, remoto e presencial quando é preciso.

O que ganha é simples de resumir: tranquilidade, cumprimento e uma empresa mais difícil de derrubar. Você trata do seu negócio; nós tratamos de que a NIS2 esteja coberta e de que continue seguro quando a norma deixar de ser notícia. Pode ver todos os nossos serviços de TI ou falar diretamente connosco através do contacto.

A NIS2 não espera que esteja pronto, e os seus clientes também não. Peça um orçamento sem compromisso e dizemos-lhe com clareza se o afeta e do que precisa de verdade para cumprir sem enlouquecer.

A maioria das PME descobre a ISO 27001 pela porta dos fundos: um grande cliente, uma administração pública ou uma seguradora pede-lhes o certificado para continuar a trabalhar em conjunto. E é aí que começa a corrida contra o relógio, quando a norma é vista como um papel a despachar e não como aquilo que realmente é: uma forma ordenada de proteger a informação da sua empresa.

Se está nesse ponto, a boa notícia é que a ISO 27001 é perfeitamente acessível a uma PME sem montar um departamento inteiro nem gastar uma fortuna. A chave está em começar pelo sítio certo e não se dispersar. Aqui tem o mapa completo: o que lhe traz de verdade, o que precisa no mínimo e uma checklist passo a passo para arrancar já hoje.

O que é a ISO 27001 e o que lhe traz de verdade

A ISO 27001 é a norma internacional que define como montar um Sistema de Gestão de Segurança da Informação (SGSI). Em bom português: um conjunto de políticas, controlos e processos para proteger a confidencialidade, a integridade e a disponibilidade dos dados que a sua empresa gere. Não é uma ferramenta que se instala; é uma forma de trabalhar que se certifica perante um auditor externo.

Para que serve para além do selo? Para três coisas muito concretas. A primeira, ganhar e não perder contratos: cada vez mais concursos públicos, grandes contas e clientes internacionais exigem a certificação como requisito de entrada. Sem ela, nem se apresenta. A segunda, a confiança: demonstra a clientes e parceiros que leva a segurança a sério, o que encurta ciclos de venda e evita intermináveis questionários de segurança. E a terceira, a mais subvalorizada, a ordem interna: obriga-o a saber que dados tem, onde estão, quem lhes acede e o que faz se algo falhar.

A ISO 27001 não protege a sua empresa por ter o certificado pendurado na parede. Protege-o porque, para o conseguir, o obriga a pôr ordem onde antes havia improviso.

Requisitos mínimos para uma PME

Esqueça a ideia de que precisa de uma equipa de segurança a tempo inteiro. Uma PME pode cumprir a ISO 27001 com recursos modestos se cobrir estes mínimos:

• Compromisso da direção. A norma exige que a gerência esteja implicada: aprova a política, atribui recursos e revê o sistema. Sem esse apoio, o projeto morre.
• Um responsável pelo SGSI. Não precisa de ser um perfil sénior de segurança; pode ser interno ou externalizado, mas alguém tem de coordenar e responder.
• Um âmbito definido. Não tem de certificar toda a empresa de uma só vez. Pode limitá-lo a um serviço, uma instalação ou um processo concreto, o que reduz drasticamente o esforço.
• Uma análise de riscos. O coração da norma: identificar o que pode correr mal com a sua informação e decidir como tratá-lo. É o que dá sentido a todos os controlos.
• Controlos do Anexo A. A versão de 2022 da norma traz 93 controlos agrupados em quatro blocos. Não se aplicam todos: escolhe os que a sua análise de riscos justifica e documenta o porquê.
• Documentação viva. Políticas, procedimentos e registos. A armadilha aqui é gerar papéis que ninguém usa; o auditor procura evidência de que são aplicados a sério.

A base técnica também conta: cópias de segurança testadas, controlo de acessos, gestão de palavras-passe, antivírus e atualizações em dia. Muitas PME já têm metade feita sem o saber; o trabalho consiste em ordená-la, documentá-la e tapar os buracos. É aqui que uma boa base de cibersegurança e conformidade lhe poupa meses.

Checklist passo a passo para arrancar

Esta é a ordem que funciona. Salte passos e terá de os refazer mais tarde com o relógio contra si:

• 1. Defina o âmbito. Decida que parte da empresa entra no SGSI. Quanto mais limitado e realista, mais depressa chega à certificação sem morrer pelo caminho.
• 2. Consiga o apoio da direção. Ponha preto no branco quem lidera, que orçamento existe e o que se espera. É o passo que evita que o projeto fique a meio.
• 3. Inventarie os seus ativos de informação. Que dados gere, em que sistemas vivem, quem lhes toca. Não pode proteger o que não sabe que tem.
• 4. Faça a análise de riscos. Cruze ativos com ameaças, avalie impacto e probabilidade e priorize. Este documento manda sobre tudo o resto.
• 5. Selecione os controlos. Escolha do Anexo A os que tratam os seus riscos e redija a Declaração de Aplicabilidade justificando cada decisão.
• 6. Redija as políticas e procedimentos. Curtos, claros e aplicáveis. Política de segurança, controlo de acessos, gestão de incidentes, cópias, fornecedores.
• 7. Implemente os controlos técnicos e organizativos. É aqui que se executa: acessos, cifragem, backups, formação da equipa, gestão de incidências. O que estava no papel passa à realidade.
• 8. Forme e sensibilize a sua gente. O elo fraco é quase sempre humano. Sessões breves e phishing simulado fazem mais do que cem documentos.
• 9. Faça uma auditoria interna. Antes de vir o auditor externo, verifique você mesmo se o sistema funciona e corrija os desvios.
• 10. Passe a auditoria de certificação. Uma entidade acreditada revê o SGSI em duas fases. Se tudo bater certo, obtém o certificado, válido três anos com auditorias de acompanhamento anuais.

Prazos, custos orientativos e erros típicos

Nenhuma implementação é idêntica, mas para uma PME com o âmbito bem limitado, o habitual são entre 4 e 8 meses desde o arranque até à auditoria de certificação. Empresas maiores ou com processos complexos chegam a um ano. O prazo depende mais da disponibilidade interna do que da dificuldade técnica: se ninguém tem tempo de levar o projeto por diante, arrasta-se para sempre.

Quanto ao custo, há que separar duas rubricas. Por um lado, a implementação (consultoria, horas internas, ferramentas), que numa PME costuma mover-se numa faixa de alguns milhares de euros consoante o tamanho e a maturidade de partida. Por outro, a auditoria de certificação, faturada à parte pela entidade acreditada e repetida todos os anos nas auditorias de acompanhamento. Quanto mais ordenada já estiver a sua infraestrutura, mais barata sai a implementação.

Os erros que saem mais caros repetem-se sempre:

• Certificar toda a empresa de uma vez quando podia começar por um âmbito reduzido e ampliá-lo depois.
• Comprar modelos de documentos e adaptá-los mal: o auditor deteta à primeira um SGSI de copiar e colar que ninguém aplica.
• Deixar a segurança técnica para o fim. Se os seus backups não se restauram ou os acessos são um caos, nenhum papel o salva em auditoria.
• Esquecer os fornecedores. A norma exige controlar o risco de terceiros; quem subcontrata sem controlo chumba.
• Tratar o certificado como um fim. O SGSI é vivo: se o abandona depois de aprovar, a auditoria de acompanhamento do ano seguinte deita-o abaixo.

Como a MagicBoxDesk o acompanha na implementação

A ISO 27001 falha quando é encarada como um trâmite documental separado da realidade técnica da empresa. Na MagicBoxDesk abordamo-la ao contrário: partimos da sua infraestrutura, dos seus acessos e das suas cópias de segurança reais, e sobre essa base montamos o SGSI que o auditor vai certificar. Como externalizamos o departamento de TI de PME e empresas em toda a Espanha, não nos limitamos a redigir políticas: implementamos e mantemos os controlos técnicos que as sustentam.

Acompanhamo-lo em todo o percurso: definição do âmbito, análise de riscos, Declaração de Aplicabilidade, implementação técnica, formação da equipa, auditoria interna e preparação para a certificação. E depois continuamos consigo com monitorização, backups e cibersegurança gerida para que as auditorias de acompanhamento sejam aprovadas sem sobressaltos. Descubra tudo o que cobrimos na nossa página de serviços e na área de cibersegurança e conformidade.

Se tem um cliente que lhe exige a ISO 27001 ou quer antecipar-se antes que lha peçam, não faça disso uma corrida contra o relógio. Peça um orçamento sem compromisso e dizemos-lhe com critério por onde começar, quanto lhe custará e em que prazo real a terá pronta.

O RGPD não é um formulário que se preenche uma vez e se esquece. É uma forma de trabalhar com os dados dos seus clientes e colaboradores que tem de manter ao longo do tempo. A boa notícia para uma empresa pequena é que cumprir a sério não exige um departamento jurídico inteiro: exige organização, alguns documentos bem feitos e uma parte técnica que quase ninguém olha até chegar um incidente ou uma inspeção.

Neste guia explicamos-lhe como cumprir o RGPD na sua empresa, centrando-nos no que de facto depende de si: o site, os registos, os contratos com fornecedores e a segurança dos dados. Não é aconselhamento jurídico —para isso existe o seu advogado ou o seu encarregado da proteção de dados—, é o roteiro técnico e organizativo que evita que uma falha tola acabe em coima.

O que o RGPD lhe pede realmente (em bom português)

Tire da cabeça a ideia de que o RGPD é sobre “não partilhar dados”. É sobre algo mais simples e mais exigente: saber que dados tem, para que os usa, onde estão e quem lhes toca. Se conseguir responder a estas quatro perguntas sobre qualquer dado pessoal que a sua empresa gere —o email de um cliente, o recibo de vencimento de um colaborador, o CV de um candidato—, está no bom caminho. Se não conseguir, é aí que está o seu problema.

O regulamento assenta em princípios que se traduzem em obrigações concretas e muito práticas:

• Uma base legal para cada tratamento. Não recolhe dados “por via das dúvidas”: cada dado responde a um motivo (um contrato, um consentimento, uma obrigação legal).
• Minimização. Pede apenas o que precisa. Um formulário de contacto não precisa do número do documento de identificação.
• Transparência. A pessoa sabe o que faz com os seus dados antes de lhos entregar.
• Direitos. Qualquer pessoa pode pedir-lhe acesso, retificação ou apagamento, e tem de conseguir dar resposta.
• Segurança. Protege os dados com medidas técnicas reais, não com boas intenções.

O essencial: o cumprimento demonstra-se, não se declara. O princípio da “responsabilidade” (accountability) significa que o ónus de provar que cumpre recai sobre si. Por isso a documentação e os registos não são burocracia; são a sua defesa no dia em que alguém perguntar.

O seu site: textos legais, formulários e cookies

O site é onde a maioria das empresas pequenas arrisca uma queixa, porque é a única coisa que qualquer um pode auditar de fora sem entrar no seu escritório. Aqui não há margem para improviso e três coisas têm de estar impecáveis.

Textos legais que digam a verdade

Precisa de uma política de privacidade, de um aviso legal e, se usar cookies, de uma política de cookies. O erro habitual é copiar a de outro site: fica com um documento que menciona finalidades que não aplica e omite as que aplica. A política tem de refletir a sua realidade —que dados recolhe de verdade, com que ferramentas (o seu CRM, o seu fornecedor de email marketing, a sua analítica) e durante quanto tempo os guarda—. Um texto genérico é pior do que não ter nada, porque prova que sabia que tinha de o colocar e ainda assim não o fez bem.

Formulários com consentimento real

Cada formulário —contacto, newsletter, orçamento— precisa de informar quem trata os dados e de remeter para a política de privacidade. Se o objetivo é enviar comunicações comerciais, é preciso uma caixa de consentimento não pré-assinalada. E esse consentimento tem de poder ser demonstrado: guarde quando e como foi dado. Um formulário que não regista nada é uma promessa que não consegue provar.

Cookies: bloquear antes de aceitar

O banner de cookies não é decorativo. Os cookies não essenciais —analítica, publicidade, píxeis de redes sociais— não podem carregar até o utilizador aceitar, e recusar tem de ser tão fácil como aceitar. Muitos banners “de modelo” mostram o aviso mas carregam os scripts na mesma: isso é incumprir com cartaz e tudo. A configuração técnica do banner e do gestor de etiquetas é tão importante como o texto.

Registo das atividades de tratamento e contratos de subcontratante

Aqui está a parte que quase nenhuma empresa pequena tem feita, e é das primeiras a serem pedidas numa inspeção. O registo das atividades de tratamento é o inventário de tudo o que faz com dados pessoais: cada atividade (gestão de clientes, processamento salarial, recrutamento, videovigilância) com a sua finalidade, a sua base legal, as categorias de dados, os prazos de conservação e as medidas de segurança.

Não é preciso uma ferramenta cara: uma folha de cálculo bem estruturada e mantida atualizada cumpre. O que não cumpre é não o ter ou tê-lo desatualizado. O registo é além disso o melhor mapa para tudo o resto: quando o preenche a sério descobre tratamentos que não tinha documentado e fornecedores que tocam nos dados sem contrato.

Cada empresa a quem entrega dados pessoais para que trabalhe por si é um subcontratante. E com cada uma precisa de um contrato assinado. Sem exceções.

O contrato de subcontratante é um documento do artigo 28.º do RGPD que regula o que esse fornecedor pode fazer com os dados. E quem são os seus subcontratantes? Mais do que pensa:

• O seu contabilista ou gabinete de assessoria, que trata salários e dados fiscais.
• O fornecedor do seu email e do seu CRM, onde vivem os contactos de clientes.
• A plataforma de email marketing a partir da qual envia a sua newsletter.
• O alojamento onde está o seu site e os seus formulários.
• O seu suporte informático externo, que acede aos equipamentos e aos sistemas.

Muitos fornecedores sérios já disponibilizam o seu contrato de subcontratante pronto a assinar (às vezes chamam-lhe DPA). O seu trabalho é reuni-los todos e guardá-los. E atenção às transferências internacionais: se a sua ferramenta armazena dados fora do Espaço Económico Europeu, é preciso verificar que existe uma garantia válida. Não é opcional.

Erros típicos que acabam em coima

A maioria das coimas às PME não vem de casos rebuscados, mas de falhas repetidas que se podiam ter evitado com um pouco de organização. Estas são as que mais se repetem:

• Cookies que carregam sem consentimento. O clássico. Banner de fachada enquanto a analítica e os píxeis já estão a correr.
• Não responder a um direito a tempo. Alguém pede que apague os seus dados, ninguém trata do assunto, e esse silêncio transforma-se em queixa.
• Não notificar uma violação de segurança. Perante um incidente que afeta dados pessoais, há um prazo de 72 horas para avaliar e, se for caso disso, notificar a autoridade. Improvisar nesse dia sai caro.
• Enviar comunicações comerciais sem consentimento ou sem uma ligação clara para cancelar a subscrição.
• Dados sem proteção. Palavras-passe partilhadas, portáteis sem cifra, backups que ninguém testa, acessos de ex-colaboradores ainda ativos.

Repare no padrão: quase todos são falhas técnicas e de organização, não de interpretação jurídica. Uma violação por um servidor desatualizado, um backup que falhou em silêncio ou um banner mal configurado não se resolvem com um bom advogado; previnem-se com uma infraestrutura bem montada e vigiada. É aí que a proteção de dados deixa de ser papelada e se torna cibersegurança aplicada.

Como a MagicBoxDesk o ajuda

Sejamos claros: a MagicBoxDesk não é a sua assessoria jurídica. Não redigimos a sua política de privacidade nem lhe dizemos que base legal se aplica a cada tratamento —isso é trabalho do seu advogado ou do seu encarregado da proteção de dados—. O que fazemos é a metade técnica e de segurança do RGPD, que é a que costuma ficar a meio e a que, quando falha, acaba em incidente.

Encarregamo-nos de que as medidas de segurança que o regulamento exige existam de verdade e funcionem: controlo de acessos, cifra, cópias de segurança testadas, atualizações em dia, monitorização dos seus sistemas e um plano de resposta para o dia em que houver uma violação. Configuramos bem o seu site e o seu banner de cookies, revemos onde e como se armazenam os dados que gere e ajudamo-lo a manter a ordem técnica que sustenta tudo o resto. Como externalizamos o seu departamento de TI, isto não é um projeto avulso: é apoio contínuo em toda a Espanha, remoto e presencial quando é preciso.

Cumprir o RGPD na sua empresa é sobretudo ter as coisas organizadas e protegidas antes de alguém perguntar. Nós pomos a parte técnica para que se ocupe do seu negócio. Peça um orçamento sem compromisso e revemos consigo o que precisa mesmo para dormir descansado.

A maioria dos ataques que deitam uma PME abaixo não é obra de um hacker de cinema: é um e-mail com uma fatura falsa, uma palavra-passe reutilizada e um servidor sem correções há meses. Nada de sofisticado. E é aí que está o problema, porque significa que quase tudo se pode prevenir com um punhado de medidas bem aplicadas, não com o orçamento de uma multinacional.

Este artigo não é uma lista de medos nem um catálogo de produtos. São as 10 medidas de cibersegurança para PME que realmente fazem a diferença, ordenadas pelo que dão em troca do que custam. Se só puder fazer três coisas neste trimestre, aqui vai saber quais.

Porque é que as PME são o alvo preferido

Existe a ideia de que “a mim não me vão atacar, sou demasiado pequeno”. É precisamente o contrário. A PME é o alvo perfeito porque tem dados e dinheiro, mas não tem equipa de segurança. O atacante não o escolhe a si: lança campanhas automatizadas que rastreiam milhares de empresas à procura da porta aberta, e a sua costuma estar.

A isto soma-se o facto de muitas PME serem fornecedoras de empresas maiores. Comprometê-lo a si é a via barata para chegar ao seu cliente: o famoso ataque à cadeia de fornecimento. E quando cai uma PME, não cai “um bocadinho”: a faturação para, os orçamentos são cifrados, o e-mail perde-se. Um incidente que uma grande empresa absorve pode fechar as portas a um negócio de 15 pessoas.

As 10 medidas ordenadas por impacto/custo

Por experiência, estas são as medidas que mais proteção dão por cada euro investido. Vão de cima para baixo: se começar pelas primeiras, com pouco dinheiro fecha a maioria das portas por onde entra um ataque real.

• Cópias de segurança testadas e isoladas (3-2-1). Três cópias, dois suportes, uma fora da rede. E restaurá-las todos os meses: um backup que nunca testou não é um backup, é uma ilusão.
• Duplo fator (MFA) em tudo o que é importante. E-mail, VPN, banca, administração. É o mais barato que existe e trava 99% dos acessos com palavra-passe roubada.
• Atualizações e correções em dia. A maioria das intrusões aproveita falhas já corrigidas. Um calendário de correções automático tira-lhe de cima o risco mais comum e mais tonto.
• Um gestor de palavras-passe e o fim das chaves repetidas. Uma palavra-passe única e longa por serviço, guardada num gestor. Acabou o “mesma chave para tudo” e o post-it no ecrã.
• EDR/antivírus gerido em cada equipamento. Não o antivírus grátis que ninguém vê, mas proteção de endpoint com alertas centralizados que alguém vigia a sério.
• Formação real contra o phishing. 90% dos ataques entram por um clique. Ensinar a sua equipa a desconfiar de um e-mail custa pouco e evita o desastre mais frequente.
• Permissões mínimas (privilégio mínimo). Cada pessoa acede apenas ao que precisa. Se cair uma conta, o dano fica no seu perímetro e não leva a empresa toda à frente.
• Segmentação de rede e wi-fi de convidados. Que o portátil de uma visita ou a impressora não estejam na mesma rede que o seu ERP. Um compartimento estanque trava a propagação.
• Monitorização 24/7 e registo de eventos. Detetar um intruso em horas, não em semanas. Ver o ataque enquanto acontece marca a diferença entre um susto e uma crise.
• Um plano de resposta a incidentes escrito. Saber quem faz o quê, a quem se liga e por que ordem se restaura. Improvisar no dia do ataque é a forma mais cara de aprender.

Repare numa coisa: as quatro primeiras quase não custam dinheiro, apenas critério e disciplina. Se a sua empresa as tivesse todas em dia, já estaria à frente da maioria das PME do seu setor. O resto acrescenta camadas, mas 80% da proteção vive na parte de cima da lista.

A segurança não é um produto que se compra uma vez: é um hábito que se mantém. No dia em que deixa de a vigiar, volta a estar quebrada.

Erros que deixam a porta aberta

Quase nenhum incidente começa por uma técnica brilhante do atacante. Começa por um erro nosso que já lá estava há meses. Estes são os que mais encontramos ao entrar numa empresa pela primeira vez:

• Backups que ninguém restaurou nunca. Descobre-se que estavam vazios justamente no dia em que fazem falta.
• Contas de pessoas que já saíram continuam ativas meses depois de irem embora.
• O administrador usa a conta de admin para tudo, incluindo ler o e-mail e navegar.
• Servidores e NAS expostos à internet “para poder entrar a partir de casa”, sem VPN nem MFA.
• Ninguém olha para os alertas. Há antivírus, há logs, mas não há uma pessoa responsável por os rever.

O padrão repete-se: não falta tecnologia, falta alguém que assuma o comando. A segurança sem responsável é uma casa com alarme que ninguém ligou.

Por onde começar esta semana

Não precisa de um projeto de seis meses para dar um salto de segurança. Pode começar hoje, com o que já tem. Em cinco dias úteis, isto é o realista e o que mais o protege:

• Segunda: ative o duplo fator no e-mail e na administração. É grátis e é o que mais trava.
• Terça: confirme que tem backup e restaure um ficheiro de teste. Se não conseguir, tem um problema grave para resolver já.
• Quarta: reveja quem tem acesso a quê e desative contas de pessoas que já saíram.
• Quinta: lance as atualizações pendentes de sistemas e equipamentos.
• Sexta: envie um e-mail interno com três sinais para reconhecer um phishing. Formação mínima, impacto máximo.

Com essa semana já terá fechado as portas por onde entra a maioria dos ataques. O passo seguinte é torná-lo algo permanente e vigiado, e é aí que ter uma equipa por trás vale mais do que depender de que alguém se lembre.

Como a MagicBoxDesk o implementa

Ler a lista é fácil; sustentá-la ao longo do tempo é o difícil. Na MagicBoxDesk tratamos da cibersegurança da sua empresa de princípio a fim: começamos por uma auditoria que lhe diz, sem rodeios, onde está e que risco corre hoje. Depois implementamos as medidas por ordem de impacto —MFA, cópias testadas, correções, EDR gerido, segmentação— e deixamo-las a funcionar e monitorizadas 24/7, não apenas instaladas.

Atuamos como o seu departamento de TI externalizado: suporte remoto e presencial em toda a Espanha, resposta a incidentes quando algo acontece e acompanhamento se precisar de cumprir a ISO 27001 ou o GDPR. Você trata do seu negócio; nós tratamos de que ninguém o pare. Pode ver tudo o que cobrimos nos nossos serviços.

Se leu até aqui, já sabe o suficiente para perceber que não pode deixar isto para mais tarde. Peça um orçamento sem compromisso e dizemos-lhe o que precisa mesmo —nem mais, nem menos— para que a sua empresa deixe de ser um alvo fácil.

Um escritório de advogados não vende sapatos: vende confiança. E essa confiança vive em pastas cheias de contratos, registos clínicos, declarações de IRS, escrituras e processos que, se vazarem, arruínam um cliente e a sua firma na mesma semana. A cibersegurança em escritórios e gabinetes profissionais não é um luxo de grandes empresas: é a condição para poder continuar a exercer. Um atacante não precisa de invadir um banco quando pode cifrar o disco de um gabinete de contabilidade com três funcionários e exigir um resgate por vinte anos de processos fiscais.

A boa notícia é que proteger um escritório pequeno não exige o orçamento de uma multinacional. Exige critério, ordem e algumas medidas bem colocadas. Vejamos onde está o risco real e o que se faz, na prática, para blindar os dados confidenciais sem travar o trabalho do dia a dia.

Porque é que um escritório é um alvo de alto valor

Os atacantes já não perseguem apenas as grandes empresas. Perseguem o retorno fácil, e um escritório profissional é precisamente isso: dados altamente sensíveis concentrados em poucos equipamentos, com proteção fraca e uma enorme pressão para pagar depressa. Quando uma firma não consegue aceder aos seus processos em plena audiência, ou um gabinete não consegue entregar as declarações antes do prazo, o resgate paga-se porque o custo de não o pagar é pior.

Além disso, um escritório é uma porta de entrada para terceiros. Guarda informação de dezenas ou centenas de clientes: as suas contas, os seus litígios, os seus dados pessoais, por vezes as suas credenciais bancárias. Comprometer a sua firma vale mais do que comprometer um cliente isolado, porque a partir de si chega-se a todos. Por isso os ataques à cadeia de fornecimento e a fraude do CEO se cevam nos gabinetes de contabilidade e de consultoria: quem controla o seu email pode pedir uma transferência fazendo-se passar por si, e o cliente confia.

• Dados de altíssimo valor concentrados: processos, contabilidade, dados de saúde ou penais.
• Urgência estrutural: prazos judiciais e fiscais que não admitem dias de paragem.
• Efeito multiplicador: comprometê-lo a si abre a porta a toda a sua carteira de clientes.
• Superfície humana: poucos filtros técnicos e muito email com documentos anexados.

Dados confidenciais: cifragem, acessos e cópias

A proteção de dados confidenciais assenta em três pilares que se reforçam mutuamente. Falhar num torna os outros dois inúteis. Se cifrarmos o disco mas toda a gente souber a palavra-passe, não há cifragem. Se controlarmos os acessos mas não houver cópias, um ransomware leva tudo na mesma. É preciso montar os três, e montá-los bem.

Cifragem: que um disco roubado não valha nada

Um portátil esquecido num táxi não devia ser uma violação de dados. Com cifragem completa do disco (BitLocker no Windows, FileVault no Mac) ativada em todos os equipamentos, esse portátil é um caro pisa-papéis e nada mais. O mesmo se aplica aos dados em trânsito: o email e o acesso aos processos devem viajar cifrados, e os documentos que saem do escritório —para um cliente, para o tribunal— devem sair protegidos, não num anexo aberto.

Acessos: cada pessoa vê apenas o que é seu

O pecado mais comum num escritório pequeno é a pasta partilhada onde toda a gente vê tudo. O estagiário não precisa do processo de divórcio do sócio, e o administrativo não devia poder abrir a contabilidade de todos os clientes. Resolve-se com permissões por função, palavras-passe robustas e, sobretudo, autenticação de dois fatores (MFA) no email e em qualquer acesso remoto. A MFA é a medida que trava mais ataques por menos dinheiro: mesmo que roubem a palavra-passe, não entram.

Cópias: o seguro contra o pior dia

As cópias de segurança são a única coisa que transforma um desastre num mau bocado. A regra que funciona é a 3-2-1: três cópias dos dados, em dois suportes diferentes, com uma fora das instalações e, idealmente, imutável (que o ransomware não possa cifrar nem apagar). E uma cópia cujo restauro nunca foi testado não é uma cópia: é uma esperança. Restaurar a sério, com alguma periodicidade, é o que separa o «estamos operacionais em duas horas» do «perdemos a firma».

Cumprimento do RGPD e segredo profissional

Num escritório, a segurança não é apenas técnica: é uma obrigação legal e deontológica. O RGPD exige-lhe aplicar medidas técnicas e organizativas adequadas para proteger os dados pessoais que trata, e um gabinete ou um escritório de advogados tratam dados de categoria especial —saúde, convicções, antecedentes— todos os dias. A isto soma-se o segredo profissional, que na advocacia não é uma recomendação mas um dever deontológico cujo incumprimento tem consequências.

O ponto que muitos escritórios ignoram é que uma violação de segurança pode obrigá-lo a notificar a autoridade de proteção de dados em 72 horas, e em certos casos a comunicá-lo aos afetados. Sem registos, sem rastreabilidade dos acessos e sem um plano de resposta, essas 72 horas caem-lhe em cima sem sequer saber que dados foram comprometidos. A coima dói, mas a perda de confiança dos seus clientes dói mais e não se recupera com uma multa paga.

Cumprir o RGPD não é preencher um PDF uma vez: é poder demonstrar, no dia da inspeção ou da violação, que as suas medidas eram reais e estavam a funcionar.

É aqui que referenciais como a ISO 27001 trazem ordem mesmo que não vá certificar-se: obrigam a inventariar que dados tem, onde estão, quem acede e o que faz se algo falhar. Esse exercício, ajustado à medida de um escritório, é a melhor forma de transformar o «devíamos estar protegidos» num «estamos protegidos e podemos prová-lo».

Um plano realista para um escritório pequeno

Esqueça a ideia de comprar vinte produtos de segurança que ninguém vai configurar. Um escritório de três a quinze pessoas protege-se com poucas medidas, bem implementadas e mantidas. Esta é a ordem que verdadeiramente reduz o risco, do mais rentável ao mais avançado.

• MFA em tudo o que é importante: email, acesso remoto e aplicações de gestão. É o primeiro, sempre.
• Cópias 3-2-1 com uma cópia imutável e testes de restauro periódicos, não apenas backups que «andam sozinhos».
• Cifragem do disco em todos os portáteis e equipamentos que saem do escritório.
• Antivírus/EDR gerido que detete comportamentos, não apenas vírus conhecidos, e avise alguém que reaja.
• Atualizações em dia do sistema e do software de gestão: a maioria dos ataques entra por falhas já corrigidas.
• Permissões por função e palavras-passe geridas, para que cada pessoa veja apenas o que lhe compete.
• Formação breve à equipa: reconhecer um email de phishing evita mais incidentes do que qualquer caixa mágica.

Nenhuma destas medidas é cara por si só. O que falha nos escritórios não é o orçamento, é que ninguém se encarrega de garantir que continuam a funcionar: a MFA que um dia foi desativada «porque incomodava», o backup que há três meses falha em silêncio, o portátil novo que ninguém cifrou. A segurança não é um produto que se instala uma vez; é uma manutenção que alguém tem de vigiar todos os dias.

Como a MagicBoxDesk o monta

Na MagicBoxDesk somos o departamento de TI que o seu escritório não tem de contratar no quadro. Começamos pelo que verdadeiramente protege: revemos como estão hoje os seus acessos, as suas cópias e os seus equipamentos, tapamos primeiro as falhas de maior risco e deixamos montado um esquema que cumpre o RGPD e respeita o segredo profissional. Não lhe vendemos uma caixa: montamos cibersegurança à medida de um escritório —MFA, cifragem, cópias imutáveis com restauro testado, EDR gerido e monitorização— e ficamos a vigiar que continue a funcionar, com suporte remoto e presencial em toda a Espanha.

Fazemo-lo sem travar o seu trabalho e sem tecnicismos desnecessários: você trata dos seus clientes, nós tratamos de que os dados deles estejam blindados e de que, no dia em que chegar um incidente, tenha um plano e não uma improvisação. Pode ver tudo o que cobrimos nos nossos serviços, desde cibersegurança a cópias de segurança, monitorização 24/7 e conformidade regulamentar.

Proteger um escritório não é uma questão de medo, é uma questão de critério. Peça um orçamento sem compromisso e dizemos-lhe, no seu caso concreto, o que precisa mesmo e o que é gastar por gastar.

O ataque que deita abaixo uma PME quase nunca chega às nove da manhã de uma terça-feira. Chega num sábado à noite, num feriado, nas férias de agosto: precisamente quando ninguém está a olhar para o ecrã. E quando na segunda-feira alguém liga o computador, o ransomware já lá está dentro há 48 horas a cifrar servidores. A questão não é se o seu antivírus é bom, mas quem vigia a sua empresa enquanto a sua equipa dorme.

A boa notícia: montar uma equipa de segurança que vigie 24/7 é caríssimo e inviável para a maioria das PME, mas contratá-la como serviço está mesmo ao seu alcance. Isso é a cibersegurança gerida, e neste artigo explicamos-lhe o que é, o que a sua empresa ganha e como distinguir um serviço sério de um que só lhe vende uma caixa com luzinhas.

Porque o antivírus já não chega

O antivírus tradicional funciona comparando ficheiros com uma lista de ameaças já conhecidas. Serve para o malware do costume, mas os ataques que fazem mesmo estragos já não se parecem com um vírus. O atacante entra com uma palavra-passe roubada por phishing, move-se pela rede como um utilizador legítimo, desativa as defesas e vai tomando posições durante dias. Para o antivírus, nada disto é “um ficheiro mau”: são sessões válidas, ferramentas do próprio sistema, tráfego que parece normal.

A isto junta-se um pormenor incómodo: os atacantes escolhem o seu pior momento. Sabem que as PME não têm ninguém de prevenção à noite nem ao fim de semana, por isso atacam precisamente nessa altura. Um antivírus pode detetar algo e disparar um alerta, mas se esse alerta soa num domingo às três da madrugada e não há ninguém que o leia, é como um alarme a tocar numa casa vazia. O aviso existe; a resposta, não.

O problema, então, já não é detetar, mas detetar, perceber e responder a tempo, em qualquer dia e a qualquer hora. E isso uma ferramenta sozinha não o faz: é preciso tecnologia moderna mais pessoas a vigiar. É aí que entra a cibersegurança gerida.

O que é a cibersegurança gerida, sem siglas vazias

Um serviço de cibersegurança gerida assenta em três pilares. Explicamo-los de forma clara, porque as siglas por si só não protegem ninguém.

EDR / XDR: o vigilante em cada equipamento. O EDR (deteção e resposta no endpoint) é a evolução do antivírus. Em vez de se limitar a procurar ficheiros conhecidos, observa o comportamento de cada computador e servidor: que processos arrancam, que ligações se abrem, o que tenta mexer no registo. Quando algo se comporta como um ataque —mesmo que seja novo e não conste de nenhuma lista— deteta-o e pode isolar o equipamento de imediato. O XDR é o mesmo, mas cruzando informação de várias fontes (equipamentos, correio, rede, cloud) para ver o ataque completo, não peças soltas.

SOC: os olhos humanos, 24/7. Um SOC (centro de operações de segurança) é a equipa de pessoas que vigia esses alertas de forma contínua, de dia e de noite. Um EDR gera muitos sinais, e a maioria é ruído; é preciso critério para saber qual é um falso positivo e qual é o início de um incidente sério. O SOC é quem olha, investiga e decide. É a diferença entre ter uma câmara de segurança e ter alguém a olhar para as câmaras.

Resposta a incidentes: apagar o fogo, não só avisar. Detetar sem atuar não serve de nada. Um bom serviço não lhe manda um e-mail a dizer “achamos que tem um problema”: atua. Isola o equipamento comprometido, corta a propagação, bloqueia a conta roubada e orienta-o na recuperação. Tudo isto em minutos, não quando alguém do seu escritório se apercebe na segunda-feira.

Um EDR sem ninguém que o vigie é um alarme a tocar numa casa vazia. A segurança gerida põe alguém à frente do ecrã, sempre.

Externalizá-lo em vez de montá-lo em casa

Façamos as contas sem floreados. Para ter vigilância 24/7 própria precisa de cobrir três turnos, sete dias por semana, feriados incluídos. Isto não é “contratar um informático de segurança”: são várias pessoas com perfil especializado, formação contínua, ferramentas de licença cara e procedimentos comprovados. Para uma PME, o custo e a dificuldade de encontrar e reter esse talento tornam-no simplesmente inviável.

Um profissional no quadro, além disso, dorme, adoece e vai de férias. A segurança não. Um só par de olhos não cobre 24 horas nem acumula a experiência de ver ataques todos os dias em muitos ambientes diferentes. Um SOC como serviço sim: reparte a vigilância por uma equipa que já viu o ataque que a si lhe calha pela primeira vez.

Ao externalizar a sua TI de segurança transforma um problema de quadro de pessoal impossível numa mensalidade previsível, e ganha isto:

• Vigilância contínua e real, de noite, em feriados e em agosto, sem depender de alguém da sua equipa estar disponível.
• Especialistas que veem ataques todos os dias em muitos ambientes, com critério para separar o ruído da ameaça a sério.
• Resposta rápida e orientada: o incidente é isolado e contido em minutos, não quando já é tarde.
• Custo previsível: uma mensalidade em vez do investimento e do risco de montar e manter uma equipa própria.
• Zero rotação de talento: o serviço não sai da sua empresa nem leva o conhecimento consigo.

Como escolher um bom serviço gerido

Nem todos os serviços vendidos como “cibersegurança gerida” são a mesma coisa. Alguns são apenas uma licença de EDR com um painel bonito e nenhum humano por trás. Para não comprar fumo, pergunte isto antes de assinar:

• Há vigilância humana 24/7 a sério? Que lhe confirmem que há pessoas a olhar, não só um software que envia e-mails automáticos.
• Qual é o tempo de resposta a um incidente? Tem de estar comprometido por escrito, não ser uma promessa vaga.
• Só avisam ou também atuam? Um bom serviço contém o ataque (isola equipamentos, bloqueia contas); não se limita a notificá-lo do desastre.
• O que inclui exatamente a mensalidade? Equipamentos cobertos, correio, servidores, relatórios… sem surpresas nem extras a meio do contrato.
• Recebe relatórios que percebe? Precisa de saber o que se passa na sua empresa em linguagem clara, não um despejo técnico ilegível.
• Fala com alguém quando precisa? Um interlocutor próximo vale mais do que um portal de tickets impessoal.

Se um fornecedor foge a estas perguntas, já tem a sua resposta. A cibersegurança bem feita nota-se nos pormenores, e o mais importante é que haja pessoas responsáveis por trás da tecnologia.

A oferta da MagicBoxDesk: cibersegurança gerida 24/7

Na MagicBoxDesk montamos e operamos a segurança da sua empresa como serviço gerido contínuo, sem que tenha de criar nem manter uma equipa própria. Implementamos o EDR nos seus equipamentos, vigiamo-lo de forma permanente e respondemos quando algo corre mal. Você dedica-se ao seu negócio; nós ficamos a olhar para o ecrã. Contrata-se com uma mensalidade por equipamento, sem surpresas, e é um serviço que cresce consigo à medida que acrescenta postos.

Isto é o que inclui contratar a cibersegurança gerida com a MagicBoxDesk:

• EDR gerido em cada equipamento e servidor: deteção por comportamento, não só por assinaturas conhecidas.
• Monitorização 24/7, integrada com o nosso serviço de monitorização contínua, com vigilância real todos os dias do ano.
• Resposta a incidentes: isolamos o equipamento comprometido, contemos a propagação e orientamo-lo na recuperação.
• Relatórios claros e periódicos sobre o estado da sua segurança, numa linguagem que a sua direção percebe.
• Mensalidade por equipamento, previsível e sem investimento inicial em montar um SOC próprio.
• Um interlocutor a sério: apoio próximo em toda a Espanha, remoto e presencial quando é preciso.

A cibersegurança gerida encaixa com o resto dos nossos serviços de cibersegurança e de externalização de TI: pode começar pela vigilância e alargar às cópias de segurança, à conformidade regulamentar ou ao posto de trabalho gerido quando precisar.

Deixe de vigiar você e durma descansado

Um incidente de segurança não avisa, e recuperar de um ransomware custa muito mais —em dinheiro, em tempo e em reputação— do que tê-lo prevenido. Pôr uma equipa de especialistas a vigiar a sua empresa 24 horas por dia já não é um luxo de grandes corporações: é um serviço que a sua PME pode contratar hoje mesmo por uma mensalidade acessível.

Na MagicBoxDesk tratamos nós da segurança para que você trate do seu negócio. Peça um orçamento sem compromisso e dizemos-lhe exatamente do que a sua empresa precisa, quantos equipamentos cobrir e quanto custa. Sem fumo e sem letras miudinhas.