A maioria dos incidentes de seguran\u00e7a em PME n\u00e3o come\u00e7a com um ataque sofisticado. Come\u00e7a com algu\u00e9m que fez o que achou normal: reutilizou a password do e-mail no site da transportadora, abriu a “fatura” em anexo, ligou a pen que trouxe de casa, deu a password ao colega novo “s\u00f3 para hoje”. Nenhuma dessas pessoas fez nada de errado segundo as regras da empresa \u2014 porque a empresa n\u00e3o tinha regras escritas. Uma pol\u00edtica de seguran\u00e7a n\u00e3o \u00e9 um documento jur\u00eddico de trinta p\u00e1ginas; \u00e9 uma folha que diz o que se faz e o que n\u00e3o se faz, e que todos leram. Estas s\u00e3o as sete que consideramos m\u00ednimas.<\/p>\n
O essencial: passwords longas (frases de 14 ou mais caracteres em vez de combina\u00e7\u00f5es curtas com s\u00edmbolos), diferentes para cada servi\u00e7o, guardadas num gestor de passwords da empresa e nunca partilhadas por e-mail ou mensagem. Autentica\u00e7\u00e3o multifator obrigat\u00f3ria no e-mail, nos ficheiros e em qualquer acesso remoto \u2014 sem exce\u00e7\u00f5es para a dire\u00e7\u00e3o, que \u00e9 o alvo preferido. Passwords de contas partilhadas mudam sempre que algu\u00e9m sai. Explic\u00e1mos o porqu\u00ea e o como no artigo sobre gestores de passwords na empresa<\/a>.<\/p>\n Que equipamentos podem aceder aos dados da empresa e em que condi\u00e7\u00f5es. Regra simples: equipamentos da empresa t\u00eam prote\u00e7\u00e3o instalada, atualiza\u00e7\u00f5es autom\u00e1ticas e disco cifrado; equipamentos pessoais acedem ao e-mail e aos ficheiros pelo browser, sem transferir para o disco. Port\u00e1teis n\u00e3o ficam no carro; perdas e roubos comunicam-se no pr\u00f3prio dia para bloquear o acesso remotamente. Ningu\u00e9m instala software fora da lista aprovada \u2014 e a lista existe.<\/p>\n Como se reconhece um e-mail suspeito e o que se faz com ele (reencaminhar para a inform\u00e1tica, n\u00e3o responder, n\u00e3o clicar). Pedidos de altera\u00e7\u00e3o de dados banc\u00e1rios de fornecedores confirmam-se sempre por telefone, para um n\u00famero j\u00e1 conhecido \u2014 nunca para o que vem no e-mail. \u00c9 a defesa mais eficaz contra a fraude da fatura alterada, que descrevemos no guia sobre fraude por e-mail nas empresas<\/a>. Dados de clientes n\u00e3o se enviam por e-mail pessoal nem por aplica\u00e7\u00f5es de mensagens.<\/p>\n Cada pessoa acede s\u00f3 ao que precisa para a sua fun\u00e7\u00e3o. As permiss\u00f5es das pastas partilhadas e do SharePoint s\u00e3o revistas duas vezes por ano. Direitos de administrador nos computadores s\u00f3 para a equipa de inform\u00e1tica. Acessos de fornecedores externos s\u00e3o individuais, tempor\u00e1rios e registados. Quando algu\u00e9m muda de fun\u00e7\u00e3o, os acessos antigos s\u00e3o retirados, n\u00e3o s\u00f3 acrescentados os novos. \u00c9 a tradu\u00e7\u00e3o pr\u00e1tica do princ\u00edpio do acesso m\u00ednimo do Zero Trust para PME<\/a>.<\/p>\n O que \u00e9 copiado, com que frequ\u00eancia, para onde e por quanto tempo fica guardado. Pelo menos uma c\u00f3pia fora do edif\u00edcio e imut\u00e1vel, para resistir a ransomware. Testes de restauro com data marcada e resultado registado. Quem recebe os alertas de falha e em quanto tempo os trata. Se a sua empresa tem esta pol\u00edtica escrita e cumprida, est\u00e1 \u00e0 frente da maioria \u2014 veja como funciona o backup gerido<\/a> e o que muda com um plano de disaster recovery<\/a>.<\/p>\n Uma p\u00e1gina com a resposta \u00e0 pergunta “e se acontecer?”. Quem avisa quem, por que ordem. O que se desliga primeiro (o posto afetado da rede, n\u00e3o o servidor todo). Quem fala com clientes e fornecedores e quem n\u00e3o fala. Em que casos h\u00e1 obriga\u00e7\u00e3o de notificar a CNPD (72 horas, no caso de dados pessoais) ou, para entidades abrangidas pela NIS2, o Centro Nacional de Ciberseguran\u00e7a. Os contactos do fornecedor de inform\u00e1tica e do seguro, impressos, porque no dia do incidente o e-mail pode estar em baixo. As quatro fases de um ciberataque<\/a> ajudam a perceber onde cada a\u00e7\u00e3o encaixa.<\/p>\n Entrada: conta criada com as permiss\u00f5es da fun\u00e7\u00e3o, MFA configurado no primeiro dia, equipamento entregue com registo, sess\u00e3o de 30 minutos sobre estas pol\u00edticas. Sa\u00edda: conta desativada no \u00faltimo dia (n\u00e3o na semana seguinte), reencaminhamento do e-mail definido, equipamento devolvido e verificado, passwords partilhadas alteradas, acessos de fornecedores em nome dessa pessoa revogados. As contas de ex-colaboradores ativas s\u00e3o uma das falhas mais comuns que encontramos em auditorias.<\/p>\n Cada pol\u00edtica cabe em meia p\u00e1gina. Escreva o que a empresa faz hoje de bem, acrescente o que falta e evite proibi\u00e7\u00f5es que ningu\u00e9m vai cumprir \u2014 uma regra ignorada por todos enfraquece as outras. Aprove-as com a ger\u00eancia, apresente-as numa sess\u00e3o curta e pe\u00e7a assinatura. Reveja uma vez por ano. Nos nossos contratos de ciberseguran\u00e7a gerida<\/a> fornecemos modelos destas sete pol\u00edticas adaptados \u00e0 empresa e verificamos no relat\u00f3rio mensal o que est\u00e1 a ser cumprido tecnicamente: MFA ativo, contas desativadas, c\u00f3pias testadas.<\/p>\n Precisa das mesmas sete, mais curtas. A dimens\u00e3o n\u00e3o muda os riscos \u2014 muda o n\u00famero de pessoas que t\u00eam de as ler. E numa empresa pequena a sa\u00edda de uma pessoa sem desativar a conta tem mais impacto, n\u00e3o menos.<\/p>\n S\u00e3o parte das “medidas t\u00e9cnicas e organizativas” que ambos exigem. N\u00e3o substituem o registo de tratamentos do RGPD nem a an\u00e1lise de risco da NIS2, mas s\u00e3o a base sobre a qual esses documentos se apoiam.<\/p>\n Todos os colaboradores com acesso a sistemas, incluindo estagi\u00e1rios, tempor\u00e1rios e a ger\u00eancia. A assinatura n\u00e3o \u00e9 burocracia: \u00e9 o que permite exigir o cumprimento.<\/p>\n Uma vez por ano e sempre que h\u00e1 uma mudan\u00e7a relevante: novo software de gest\u00e3o, teletrabalho generalizado, incidente de seguran\u00e7a, altera\u00e7\u00e3o legal.<\/p>\n Entregamos os modelos, ajustamo-los \u00e0 sua realidade e configuramos a parte t\u00e9cnica \u2014 MFA, acessos, c\u00f3pias \u2014 para que o papel corresponda \u00e0 pr\u00e1tica. Veja a nossa ciberseguran\u00e7a gerida para empresas<\/strong><\/a> ou ligue 211 459 950.<\/p>\n2. Pol\u00edtica de equipamentos<\/h2>\n
3. Pol\u00edtica de e-mail e comunica\u00e7\u00f5es<\/h2>\n
4. Pol\u00edtica de acessos<\/h2>\n
5. Pol\u00edtica de c\u00f3pias de seguran\u00e7a<\/h2>\n
6. Pol\u00edtica de resposta a incidentes<\/h2>\n
7. Pol\u00edtica de entrada e sa\u00edda de colaboradores<\/h2>\n
Como escrever e p\u00f4r em pr\u00e1tica<\/h2>\n
Perguntas frequentes<\/h2>\n
Uma PME com 12 pessoas precisa de pol\u00edticas escritas?<\/h3>\n
Estas pol\u00edticas servem para o RGPD e para a NIS2?<\/h3>\n
Quem deve assinar as pol\u00edticas?<\/h3>\n
Com que frequ\u00eancia se rev\u00eaem?<\/h3>\n
Quer as sete pol\u00edticas adaptadas \u00e0 sua empresa?<\/h2>\n