Categoria: Cibersegurança

Os ficheiros começam a aparecer com extensões estranhas, há uma nota de resgate no ambiente de trabalho e os equipamentos começam a cair em cadeia. Nesse momento não precisa de um tratado sobre cibersegurança: precisa de saber o que fazer nos próximos sessenta minutos. Porque o que decidir ali —e sobretudo o que fizer por puro nervosismo— faz a diferença entre um dia mau e duas semanas com o negócio parado.

Este não é um artigo de prevenção. Parte do princípio de que já está a acontecer e dá-lhe o plano de resposta a incidentes passo a passo: o que tocar, o que não tocar, a quem ligar e por que ordem recuperar. Guarde-o antes de precisar dele, porque quando precisar não vai ter tempo de o procurar.

Porque as primeiras horas decidem tudo

O ransomware não cifra à velocidade da luz. Quando vê a nota de resgate, a cifragem continua a avançar pela rede: cada minuto que um equipamento infetado permanece ligado são mais pastas partilhadas, mais servidores e —o que mais dói— mais cópias de segurança a cair. A janela para conter o dano mede-se em minutos, não em horas. É aí que se joga se amanhã abre ou não.

O outro inimigo dessa primeira hora é o pânico. A reação instintiva —desligar tudo, reiniciar servidores, começar a apagar o que parece infetado, pagar o resgate para acabar depressa— é quase sempre a reação errada. Conter não é reagir depressa; é reagir na ordem certa. Uma empresa que isola com cabeça recupera a partir da cópia em dois dias. Uma que improvisa à flor da pele acaba com o incidente alastrado, as evidências destruídas e nenhuma cópia limpa à qual voltar.

O ransomware não castiga a falha técnica; castiga a improvisação. Quem tem o plano escrito executa; quem não o tem discute enquanto a cifragem avança.

Os primeiros passos certos, por ordem

Este é o guião da primeira hora. Não o improvise: faça-o tal como está, de cima a baixo.

• Isole da rede os equipamentos afetados. Desligue o cabo, corte o Wi-Fi, corte a VPN. O objetivo é travar a propagação de imediato. Isolar vem primeiro, sempre, antes de investigar seja o que for.
• Não desligue à toa. Desligar da rede não é o mesmo que desligar a frio. Desligar apaga informação volátil que serve para saber o que aconteceu e como entraram, e em alguns casos até complica a recuperação de dados. Isole, mas deixe os equipamentos ligados salvo indicação de quem gere o incidente.
• Proteja já as cópias de segurança. Antes de qualquer outra coisa, garanta que as cópias não são alcançáveis a partir da rede comprometida. Se o ransomware chegar a elas, acabou a conversa. Desligue-as ou verifique que estão isoladas e imutáveis.
• Corte os acessos remotos e as contas privilegiadas. VPN, ambiente de trabalho remoto, acessos de fornecedores e contas de administrador. Por onde entraram podem voltar a entrar, e muitas vezes o atacante continua lá dentro a ver como reage.
• Preserve as evidências. Fotografe a nota de resgate, anote a hora, não apague registos nem ficheiros cifrados. Essa informação é ouro para saber o alcance, para o seguro e, se for preciso, para a queixa.
• Ative o plano e ponha uma pessoa ao comando. Alguém coordena, decide e comunica; os restantes executam. Avise o seu fornecedor de cibersegurança gerida e comece a documentar o que está afetado. Numa crise, cinco pessoas a decidir em paralelo fazem mais estragos do que o próprio ataque.

Com isto feito, o incêndio está contido. Agora é altura de avaliar o alcance com calma: o que está cifrado, o que não está, e se há indícios de que também tenham levado dados —a chamada dupla extorsão—, porque isso muda as suas obrigações legais.

O que NÃO fazer em circunstância alguma

Metade de uma boa resposta é não cometer os erros que transformam um incidente num desastre irreversível. Estes são os quatro que saem mais caros.

• Não pague às cegas. Pagar não garante recuperar os dados —muitos decifradores falham ou só funcionam a meio—, marca-o como quem paga e financia o ataque seguinte. É a última opção, nunca a primeira, e só depois de avaliar a fundo se consegue restaurar a partir da cópia.
• Não restaure sobre o infetado. Recuperar os dados num sistema ainda comprometido, ou sem ter fechado a via de entrada, reinicia o pesadelo em horas. Primeiro limpa-se ou reinstala-se; depois restaura-se.
• Não o esconda. Silenciar o incidente para que ninguém saiba expõe-no a coimas por não notificar e destrói a confiança quando acabar por se saber, que há de saber-se. A transparência bem gerida protege; o silêncio agrava.
• Não apague registos nem ficheiros. “Limpar” por conta própria destrói as evidências de que precisa para perceber o alcance, cumprir a lei e receber o seguro. Não toque nos registos: são o seu melhor aliado.

Notificação e obrigações: o relógio legal também corre

Enquanto contém e recupera, há um segundo relógio em marcha que muita gente ignora até ser tarde. Se no ataque foram comprometidos dados pessoais —de clientes, colaboradores ou fornecedores—, o RGPD obriga-o a notificar a violação à CNPD no prazo de 72 horas desde que tem conhecimento. Não espera que tenha recuperado o serviço e não é opcional: não notificar acrescenta uma coima ao desastre que já tem em cima.

E há mais frentes a tratar em paralelo, sem as deixar para o fim:

• Comunicação aos afetados. Se a violação representar um risco elevado para clientes ou colaboradores, além da CNPD há que informá-los diretamente. Prepare uma mensagem clara e honesta, não um comunicado vazio.
• Aviso ao seguro. Se tem uma apólice de ciber-risco, comunique-o quanto antes: muitas exigem notificação imediata e dão-lhe acesso a uma equipa de resposta. Agir por conta própria pode deixá-lo fora da cobertura.
• Queixa e organismos. Apresentar queixa e avisar os canais de referência como o CNCS deixa registo oficial e dá-lhe apoio. A documentação que preservou na primeira hora é precisamente o que aqui faz falta.

Ter identificado de antemão quem redige a notificação, quem fala com o seguro e quem fala com os clientes é o que permite cumprir estes prazos sem travar a recuperação técnica. Improvisá-lo com o negócio parado é a receita para falhar os três.

Como o MagicBoxDesk o ajuda: resposta a incidentes e recuperação a partir de cópia limpa

Tudo o anterior soa simples escrito com calma. Às três da manhã, com o negócio parado e o telefone a tocar, não é. Por isso o maior valor não está em ter o plano num PDF, mas em ter alguém do outro lado que o execute consigo. No MagicBoxDesk montamos, mantemos e acionamos esse plano de resposta como serviço, dentro do seu IT externalizado, com suporte remoto e presencial em toda a Espanha.

• Resposta a incidentes com um plano definido e ensaiado: quem isola, quem decide, a quem se avisa e por que ordem, para atuar em minutos em vez de improvisar em dias.
• Contenção e análise do alcance: isolamos o afetado, preservamos evidências e determinamos se houve roubo de dados, sem destruir a informação de que precisa depois.
• Cópias imutáveis e isoladas, com restauros testados periodicamente, para que, quando chegar o momento, exista mesmo uma cópia limpa à qual voltar.
• Recuperação na ordem certa: identidade e autenticação primeiro, depois o que fatura ou produz, a seguir correio e ficheiros, e os postos por último, reinstalados a partir de imagem limpa.
• Apoio nas obrigações legais: notificação da violação no prazo, comunicação ao seguro e aos afetados, com a documentação em ordem.
• Fecho da via de entrada antes de reconectar, para que o ataque não recomece assim que tudo arranca.

O ideal é falarmos antes do incidente, não durante. Preparar o plano, as cópias e os acessos custa uma fração do que custa um resgate ou duas semanas de paragem, e é o que transforma uma crise num mau bocado. Se já o tem em cima, também cá estamos para o ajudar a conter e a recuperar.

No MagicBoxDesk tratamos da sua segurança e do seu plano de resposta para que se ocupe do seu negócio. Peça um orçamento sem compromisso e dizemos-lhe o que precisa mesmo para que as primeiras horas de um ransomware joguem a seu favor e não contra si.

Antes de se perguntar como se implementa a ISO 27001, há uma pergunta que decide tudo o resto: à sua empresa compensa certificar-se? Porque certificar-se custa dinheiro, horas da sua gente e um compromisso que não termina no dia em que lhe entregam o selo, mas que se renova todos os anos. E nem a todas as PME compensa. A algumas, imenso. A outras, é deitar orçamento fora por vaidade.

Este artigo não fala de por onde começar nem de checklists de implementação. Fala de tomar a decisão com critério: o que o certificado lhe dá de verdade, quando o retorno é evidente, quanto custa sem cifras infladas e que alternativa tem se o que quer é estar seguro mas ainda ninguém lhe exige o papel.

O que a ISO 27001 lhe dá realmente (e o que não dá)

Primeiro, para tirar o fumo: a ISO 27001 não o torna imune a um ataque. Não é um antivírus, nem uma firewall, nem uma garantia de que não lhe vai entrar um ransomware. É um sistema de gestão da segurança da informação: uma forma ordenada e auditada de saber que dados tem, que riscos correm e o que faz para os tratar. O certificado atesta que esse sistema existe e funciona, não que é invulnerável.

Então, o que lhe dá em troca do esforço? Na prática, três coisas concretas. A primeira é uma chave comercial: abre-lhe portas que sem o selo estão fechadas —grandes clientes, concursos, contratos internacionais—. A segunda é confiança demonstrável: encurta ciclos de venda e poupa-lhe os intermináveis questionários de segurança que as grandes contas lhe enviam antes de assinar. E a terceira, a mais subvalorizada, é ordem interna real: para se certificar tem de pôr por escrito quem acede a quê, como se fazem as cópias de segurança e o que acontece quando algo falha. Essa ordem vale mesmo que nunca pendure o certificado na parede.

A pergunta útil não é «certifico-me?», mas «quanto negócio perco por não estar certificado?». Com esse número em cima da mesa, a decisão toma-se sozinha.

Quando SIM compensa certificar-se

A ISO 27001 torna-se rentável quando há um motivo comercial ou normativo claro por trás. Se se reconhece nalgum destes casos, a resposta costuma ser sim sem muitas voltas:

• Um cliente exige-a para continuar a trabalhar consigo. É o caso mais frequente e o mais fácil de decidir: se perder essa conta dói mais do que o custo de se certificar, compensa. Ponto final.
• Quer concorrer a concursos ou entrar em grandes contas. Em muitos cadernos de encargos e processos de homologação o certificado é requisito de entrada: sem ele, nem sequer o avaliam.
• Lida com dados sensíveis de terceiros. Se é fornecedor tecnológico, gere dados de clientes ou trata informação crítica, a certificação é o argumento que dissipa as dúvidas de quem o contrata.
• Opera num setor regulado ou dentro de uma cadeia de abastecimento exigente. Cada vez mais empresas transferem as suas obrigações —incluindo a pressão de normativas como a NIS2— para os seus fornecedores. Pedem-lha mesmo que a lei não o obrigue diretamente.
• Está em fase de crescimento e quer jogar noutra liga. Se o seu objetivo é vender a empresas maiores ou expandir-se para fora, o certificado deixa de ser um luxo e passa a ser uma condição para competir.

E ao contrário: se ninguém lho pede, não vende a grandes contas e a sua verdadeira prioridade é simplesmente não levar um susto, talvez ainda não precise do selo. Precisa dos controlos. É disso que falamos mais abaixo.

Quanto custa de verdade

É aqui que muitos se surpreendem, porque o custo da ISO 27001 não é uma fatura única. São quatro rubricas distintas, e convém vê-las todas antes de decidir:

• Consultoria de implementação. O acompanhamento para montar o sistema: âmbito, análise de riscos, políticas e controlos. É a rubrica mais visível e varia muito consoante o tamanho da sua empresa e o quão ordenada está a sua infraestrutura de partida.
• Tempo interno da sua equipa. O custo oculto que ninguém orça. A sua gente tem de fornecer informação, aprovar políticas e aplicar o que se documenta. Se ninguém tiver horas para o projeto, arrasta-se e sai mais caro.
• Auditoria de certificação. Faturada por uma entidade acreditada independente, à parte da consultoria. É a que emite o certificado depois de rever o seu sistema em duas fases.
• Manutenção anual. O certificado dura três anos, mas todos os anos há uma auditoria de acompanhamento. Um sistema abandonado cai por si, portanto há que mantê-lo vivo: isso são horas e, muitas vezes, ferramentas.

Não lhe vou dar um valor fechado porque seria mentira: depende do seu tamanho, do âmbito que definir e de quanto já tem feito. E aí está a boa notícia. Quanto mais ordenada estiver a sua base técnica —cópias testadas, controlo de acessos, atualizações em dia—, mais barata sai a implementação, porque já está a cumprir metade da norma sem saber. A forma mais rápida de disparar o custo é certificar toda a empresa de uma vez quando podia começar por um âmbito delimitado e ampliá-lo depois.

A alternativa: implementar os controlos sem certificar

Aqui está a nuance que quase ninguém lhe conta: o que o protege não é o certificado, são os controlos. O selo é a acreditação de que um terceiro verificou que esses controlos existem. Se ninguém lhe está a pedir o papel, pode ficar com a parte que de verdade o blinda e poupar a auditoria externa e a sua renovação anual.

Na prática significa implementar as medidas que saem da própria norma —análise de riscos, cópias de segurança que se restauram de verdade, controlo de acessos, gestão de incidentes, formação da equipa, controlo de fornecedores— mas sem passar pela entidade certificadora. Tem boa segurança, cumpre de facto boa parte do que os seus clientes exigem e evita o custo recorrente do certificado. É a via inteligente quando a sua prioridade é não levar um susto, não ganhar um concurso.

A vantagem acrescida é que esse trabalho não se deita fora: no dia em que um cliente lhe exigir a ISO 27001, já terá 70% do caminho feito e a certificação será um trâmite de formalizar e documentar, não um projeto de raiz. Começar pelos controlos e certificar quando chegar o momento é, quase sempre, a decisão mais rentável. Uma boa base de cibersegurança e conformidade é exatamente esse ponto de partida.

Como a MagicBoxDesk o ajuda a decidir (e a chegar até ao certificado)

A maioria das consultoras vende-lhe o certificado sem lhe perguntar se precisa dele. Na MagicBoxDesk fazemos o contrário: a primeira coisa é dizer-lhe com honestidade se à sua empresa compensa certificar-se ou se lhe basta implementar os controlos. Olhamos para quem lho pede, que negócio está em jogo e em que estado está a sua infraestrutura, e sobre isso damos-lhe uma recomendação com números, não uma venda.

E se a resposta for que sim compensa, levamo-lo até ao fim. Como externalizamos o departamento de TI de PME e empresas em toda a Espanha, não nos limitamos a redigir políticas: partimos das suas cópias, dos seus acessos e dos seus sistemas reais, implementamos os controlos técnicos que sustentam a norma e acompanhamo-lo até à auditoria de certificação. Depois continuamos consigo com monitorização, backups e cibersegurança gerida para que as auditorias de acompanhamento anuais se aprovem sem sustos. Pode ver tudo o que cobrimos na nossa página de serviços.

Por isso, antes de gastar um euro num certificado que talvez não precise —ou de deixar passar um contrato por não o ter—, deixe que lho digamos com clareza. Peça um orçamento sem compromisso e dizemos-lhe se lhe compensa, quanto lhe custaria de verdade e em que prazo real o teria pronto.