Em 2020 quase todas as empresas resolveram o teletrabalho da mesma maneira: uma VPN na firewall, um utilizador e uma password por colaborador, e toda a gente passou a “estar no escrit\u00f3rio” a partir de casa. Funcionou \u2014 e \u00e9 exatamente esse o problema. Uma VPN cl\u00e1ssica liga o computador remoto \u00e0 rede da empresa como se estivesse fisicamente l\u00e1: com acesso a servidores, pastas partilhadas, impressoras e a tudo o que a rede tem. Quem entra com credenciais roubadas entra com o mesmo acesso. Este artigo explica porque \u00e9 que a VPN, sozinha, deixou de ser uma resposta suficiente e o que a substitui ou complementa numa PME.<\/p>\n
A VPN faz uma coisa bem: cifra a liga\u00e7\u00e3o entre o computador remoto e a empresa, para que ningu\u00e9m no caf\u00e9 ou no hotel consiga ler o tr\u00e1fego. O que n\u00e3o faz \u00e9 verificar quem est\u00e1 do outro lado al\u00e9m da password, que estado tem o computador que se liga (atualizado? com antiv\u00edrus? pessoal ou da empresa?) nem limitar o que esse computador pode alcan\u00e7ar depois de ligado. \u00c9 uma porta com uma boa fechadura que d\u00e1 para toda a casa.<\/p>\n
Se a sua VPN aceita s\u00f3 utilizador e password, a medida mais urgente \u00e9 acrescentar um segundo fator \u2014 um c\u00f3digo na aplica\u00e7\u00e3o do telem\u00f3vel ou uma notifica\u00e7\u00e3o para aprovar. Quase todas as firewalls empresariais suportam isto sem custo adicional de licen\u00e7a, ou com uma integra\u00e7\u00e3o ao Microsoft 365. Com MFA, uma password roubada deixa de ser suficiente. Explic\u00e1mos como se implementa no artigo sobre autentica\u00e7\u00e3o multifator na empresa<\/a>.<\/p>\n O acesso remoto deve depender tamb\u00e9m do computador. A regra mais simples: s\u00f3 equipamentos da empresa, geridos e com prote\u00e7\u00e3o ativa, acedem \u00e0 rede interna. Equipamentos pessoais acedem ao e-mail e aos ficheiros no Microsoft 365 atrav\u00e9s do browser, com acesso condicional, sem entrar na rede. Isto separa dois mundos que a VPN cl\u00e1ssica mistura: trabalhar com os dados da empresa e estar dentro da infraestrutura da empresa.<\/p>\n A maior parte das pessoas em teletrabalho precisa de tr\u00eas ou quatro coisas: e-mail, ficheiros, o software de gest\u00e3o e talvez um ambiente de trabalho remoto. Nenhuma delas exige estar “na rede”. O e-mail e os ficheiros j\u00e1 est\u00e3o no Microsoft 365. O software de gest\u00e3o pode ser publicado atrav\u00e9s de um portal ou de um ambiente de trabalho remoto com autentica\u00e7\u00e3o forte. Cada acesso \u00e9 a uma aplica\u00e7\u00e3o espec\u00edfica, registado, e n\u00e3o abre caminho para o resto. A VPN fica reservada para quem precisa mesmo de administrar servidores ou equipamentos \u2014 normalmente a equipa de inform\u00e1tica \u2014 e mesmo essa com MFA e a partir de equipamentos geridos.<\/p>\n Enquanto a VPN existir, o segmento onde os utilizadores remotos aterram n\u00e3o deve ter acesso direto a servidores de c\u00f3pias de seguran\u00e7a, c\u00e2maras, equipamentos industriais ou \u00e0 rede de gest\u00e3o. Isto faz-se com VLANs e regras na firewall \u2014 o mesmo trabalho que descrevemos em VLANs e segmenta\u00e7\u00e3o de rede<\/a> e no artigo sobre Zero Trust para PME<\/a>. Se um port\u00e1til remoto for comprometido, o estrago fica contido.<\/p>\n O fornecedor do software de gest\u00e3o, o t\u00e9cnico do TPA, o instalador das c\u00e2maras: todos pedem “um acesso VPN” e quase nunca o devolvem. Cada um deve ter uma conta pr\u00f3pria, com MFA, com acesso apenas ao servidor ou equipamento que suporta, ativa s\u00f3 durante a interven\u00e7\u00e3o e registada. Nas auditorias que fazemos, os acessos de fornecedores esquecidos s\u00e3o uma das descobertas mais frequentes.<\/p>\n Um cen\u00e1rio t\u00edpico com 40 postos e 10 pessoas em teletrabalho regular: Microsoft 365 com MFA e acesso condicional para e-mail e ficheiros; software de gest\u00e3o publicado num ambiente de trabalho remoto com MFA; VPN mantida apenas para dois administradores, com MFA, a aterrar numa VLAN de gest\u00e3o; acessos de fornecedores criados por interven\u00e7\u00e3o. Custo em licen\u00e7as: pouco ou nada acima do que a empresa j\u00e1 paga. O que muda \u00e9 a arquitetura e quem a gere. Nos contratos IT Unlimited<\/a> este desenho faz parte do servi\u00e7o e a firewall \u00e9 gerida e vigiada por n\u00f3s<\/a>, com os alertas tratados por pessoas.<\/p>\n N\u00e3o de imediato. Primeiro acrescente MFA e limite o que ela alcan\u00e7a. Depois v\u00e1 movendo os acessos para aplica\u00e7\u00f5es publicadas. No fim, a VPN fica para quem administra sistemas \u2014 poucas pessoas, bem identificadas.<\/p>\n \u00c9, se estiver atr\u00e1s de autentica\u00e7\u00e3o forte e n\u00e3o exposto diretamente \u00e0 Internet. Um servidor de ambiente de trabalho remoto com a porta aberta ao mundo e s\u00f3 com password \u00e9 um dos alvos preferidos de ataques automatizados.<\/p>\n Para e-mail e ficheiros no browser, com acesso condicional e sem transfer\u00eancia local, sim. Para entrar na rede interna, n\u00e3o. \u00c9 a separa\u00e7\u00e3o entre trabalhar com os dados e estar dentro da infraestrutura.<\/p>\n Na maioria das PME, n\u00e3o. Exige configurar melhor a firewall e o Microsoft 365 que j\u00e1 existem e, sobretudo, algu\u00e9m que gira os acessos de forma cont\u00ednua.<\/p>\n Analisamos quem entra, com que credenciais e a que chega, e entregamos um plano por escrito para fechar as portas que sobram. Veja as nossas firewalls geridas para empresas<\/strong><\/a> ou ligue 211 459 950.<\/p>\nSegundo passo: verificar o equipamento, n\u00e3o s\u00f3 a pessoa<\/h2>\n
Terceiro passo: acesso por aplica\u00e7\u00e3o em vez de acesso \u00e0 rede<\/h2>\n
Quarto passo: segmentar o que a VPN alcan\u00e7a<\/h2>\n
E os fornecedores externos?<\/h2>\n
Como fica na pr\u00e1tica numa PME<\/h2>\n
Perguntas frequentes<\/h2>\n
Devo desligar a VPN?<\/h3>\n
O acesso remoto ao ambiente de trabalho \u00e9 seguro?<\/h3>\n
Posso permitir equipamentos pessoais?<\/h3>\n
Isto exige comprar uma solu\u00e7\u00e3o nova?<\/h3>\n
Quer rever o acesso remoto da sua empresa?<\/h2>\n