“Nós temos firewall.” É a frase que ouvimos em quase todas as primeiras reuniões, e é quase sempre verdade: há uma caixa no bastidor com o nome de um fabricante de segurança. O que se segue a essa frase é que decide se a empresa está protegida ou não: quem a configurou, quando foi atualizada pela última vez, quem lê os alertas e o que acontece quando um deles é grave. Este artigo compara as duas formas de ter uma firewall — comprada e instalada, ou gerida como serviço — em custo, risco e trabalho, sem assumir que uma é sempre a certa.
O que uma firewall faz — e o que precisa para o fazer
Uma firewall empresarial moderna filtra o tráfego entre a Internet e a rede, inspeciona ligações à procura de ameaças, bloqueia sites e categorias de risco, termina as ligações VPN e separa segmentos da rede entre si. Para fazer isto bem precisa de quatro coisas que não vêm na caixa: configuração adequada à empresa (as regras por defeito são genéricas), atualizações regulares do sistema e das assinaturas de ameaças, subscrições de segurança ativas (expiram e ninguém repara) e alguém que leia os registos e reaja aos alertas. Sem estas quatro, a firewall é um router caro.
Modelo 1: firewall comprada
A empresa compra o equipamento e as subscrições, alguém a configura na instalação e a partir daí é da empresa. Vantagens: custo inicial conhecido, propriedade do equipamento, sem mensalidade além das subscrições. Problemas que vemos com frequência: configuração nunca revista desde a instalação, firmware com dois ou três anos, subscrições de segurança expiradas há meses (a firewall continua a passar tráfego, só deixa de inspecionar), regras acrescentadas “para resolver um problema” e nunca removidas, e alertas a chegar a uma caixa de e-mail que ninguém abre. Nada disto é culpa do equipamento; é a ausência de gestão.
Modelo 2: firewall gerida
A firewall — comprada pela empresa ou incluída no serviço — é configurada, atualizada, monitorizada e operada por uma equipa externa, com um valor mensal. Vantagens: atualizações e subscrições tratadas, alertas lidos por pessoas e não só por relatórios, revisão periódica das regras, resposta a incidentes com tempos definidos, e conhecimento que não sai da empresa quando o técnico interno sai. Desvantagens: custo mensal, e a dependência de um fornecedor — que tem de ser gerida por contrato, com SLA e com a garantia de que as credenciais e a configuração são da empresa.
Comparação ponto a ponto
- Custo: comprada tem custo inicial mais alto e mensal baixo (subscrições); gerida tem mensal mais alto e inicial mais baixo. Ao fim de três anos os totais aproximam-se — a diferença está no que se recebe por eles.
- Actualizaciones: comprada depende de alguém se lembrar; gerida faz parte do serviço, com janelas agendadas.
- Alertas: comprada gera-os; gerida trata-os. Um alerta de tentativa de acesso à VPN às 3h da manhã só serve se alguém o vir às 3h05.
- Configuración: comprada tende a ficar como foi instalada; gerida é revista quando a empresa muda (novo escritório, teletrabalho, novo software).
- Respuesta a incidentes: comprada depende de encontrar quem saiba mexer nela naquele dia; gerida tem tempos de resposta por escrito.
- Conhecimento: comprada concentra-se numa pessoa; gerida está documentada e numa equipa.
Quando a firewall comprada faz sentido
Quando a empresa tem uma equipa de informática interna com competência em segurança e tempo para a exercer — normalmente acima dos 150-200 postos —, ou quando a firewall protege um ambiente simples e estável, sem teletrabalho, sem VPN e sem serviços expostos. Fora destes casos, o equipamento comprado sem gestão dá uma sensação de segurança que os registos não confirmam.
Quando a firewall gerida faz sentido
Quando não há ninguém dedicado à segurança dentro da empresa; quando há teletrabalho, VPN ou serviços publicados; quando a empresa está abrangida pela NIS2 ou tem seguro de cibersegurança com requisitos de gestão contínua; ou quando um incidente já mostrou que os alertas não estavam a ser lidos. Para a maioria das PME portuguesas entre 10 e 150 postos, é este o cenário.
O que exigir a uma firewall gerida
Que o equipamento e a configuração sejam da empresa, com credenciais de administração entregues em envelope fechado ou cofre digital. Relatório mensal do que foi bloqueado, atualizado e alterado. Tempos de resposta a incidentes por escrito, com prioridade máxima para eventos de segurança. Revisão das regras pelo menos duas vezes por ano. E uma cláusula clara sobre o que acontece se o contrato terminar: a firewall continua a funcionar e a empresa fica com tudo. É assim que trabalhamos nas firewalls geridas para empresas: a firewall é instalada, configurada e vigiada por nós, com alertas tratados por pessoas.
Um exemplo publicado
Na FreshDesign implementámos uma firewall de nova geração com VPN SSL para teletrabalho, balanceamento e fail-over de duas ligações de Internet, monitorização e alarmística em tempo real, e ficámos com a manutenção e o suporte contínuo da infraestrutura de segurança — veja o caso. Na Ventask, com mais de 350 postos, a gestão das firewalls, switches e pontos de acesso está integrada no contrato IT Unlimited — veja o caso.
Preguntas frecuentes
Já tenho uma firewall comprada. Posso passá-la a gerida?
Sim, na maioria dos casos. Avaliamos o equipamento, o firmware e as subscrições; se estiver dentro do ciclo de vida do fabricante, assumimos a gestão. Se estiver em fim de vida, propomos a substituição faseada.
O router do operador não serve de firewall?
Faz a função básica de separar a rede da Internet, mas não inspeciona tráfego, não filtra categorias, não gere VPN com MFA nem segmenta a rede. Numa empresa, é a primeira coisa a substituir.
Quanto custa uma firewall gerida?
Depende do débito de Internet, do número de utilizadores e dos serviços (VPN, filtragem, inspeção). Em contratos IT Unlimited a gestão da firewall está incluída no valor mensal por posto; como serviço isolado, orçamentamos após uma visita.
Uma firewall gerida chega para a NIS2?
É uma das medidas, não a única. A NIS2 exige também gestão de acessos, backups, resposta a incidentes e formação. Veja a nossa página sobre a NIS2 em Portugal para o quadro completo.
Quer saber em que estado está a sua firewall?
Verificamos firmware, subscrições, regras e alertas, e dizemos-lhe por escrito o que está exposto. Veja as nossas firewalls geridas para empresas ou ligue 211 459 950.
