Segurança básica para o site e os sistemas da sua empresa

A maior parte das empresas só descobre o que significa "segurança" no dia em que algo dá errado: a conta de e-mail começa a mandar mensagens estranhas para os clientes, o site abre com um anúncio de remédio, um boleto falso é pago, ou um arquivo importante simplesmente não abre mais. Nenhum desses casos exige um invasor genial. Quase sempre o que falha é algo básico e evitável.

Em vez de uma lista de mandamentos, este artigo organiza a segurança pelos cenários que mais machucam uma pequena empresa. Para cada um, o que costuma causar o problema e o que você pode fazer, em ordem de importância.

Cenário 1: alguém entra na sua conta de e-mail

O e-mail é a chave-mestra do negócio. Quase todo serviço permite "esqueci minha senha", e o código chega no e-mail: quem controla o e-mail controla o domínio, a hospedagem, as redes sociais, o banco e o sistema. Por isso, ele é a primeira coisa a proteger.

O que causa o problema: senha fraca ou repetida em vários serviços (quando um deles vaza, o atacante testa a mesma senha nos outros), senha entregue num golpe de falsa página de login, e ausência de verificação em duas etapas.

O que fazer:

• Uma senha diferente para cada serviço, e longa. A Cartilha de Segurança para Internet do CERT.br sugere, por exemplo, três palavras aleatórias, que são mais fáceis de lembrar do que uma sequência de símbolos e mais difíceis de adivinhar;
• Um gerenciador de senhas para guardar todas elas, em vez de planilha, bloco de notas ou papel no monitor. Ninguém consegue lembrar de dezenas de senhas longas e únicas, e o gerenciador resolve isso;
• Verificação em duas etapas em e-mail, hospedagem, domínio, redes sociais, banco e qualquer sistema que a ofereça. Mesmo que a senha vaze, o acesso continua protegido. A Cartilha recomenda preferir chave de segurança física ou aplicativo gerador de códigos, e deixar o SMS só para quando não houver outra opção. Guarde também os códigos de backup;
• Troque as senhas que apareceram em vazamentos, e nunca repasse códigos de verificação a ninguém, nem a "alguém do suporte".

A recomendação de trocar senhas de tempos em tempos, sem motivo, perdeu força: o guia de autenticação da OWASP orienta exigir a troca só quando há indício de comprometimento, como um vazamento.

Cenário 2: o site é invadido ou fica desatualizado

Sites feitos com plataformas e plugins recebem correções de segurança com frequência, porque falhas descobertas ficam públicas. Quem não atualiza continua vulnerável a algo que já tem receita conhecida. A própria OWASP, em sua lista dos principais riscos de segurança de aplicações (edição de 2021), tratava o uso de componentes vulneráveis ou desatualizados como um risco à parte, e recomendava manter um inventário das versões em uso e remover o que não é usado.

O que fazer:

• Atualize o sistema do site, os temas e os plugins com regularidade, depois de um backup e preferencialmente testando antes;
• Remova plugins e contas que ninguém usa. Cada peça a mais é um ponto de ataque a mais;
• Use HTTPS, que protege os dados em trânsito. Mas saiba o que o cadeado garante e o que não garante: ele indica que a conexão entre o navegador e o site é protegida contra espionagem e adulteração, não que o site é confiável. O próprio time do Chrome explica que o cadeado não indica confiabilidade, e que praticamente todos os sites de phishing usam HTTPS;
• Um usuário por pessoa, com as permissões mínimas para o trabalho de cada um, e verificação em duas etapas no painel de administração do site;
• Combine quem cuida do site e como: atualizações, backup e resposta a problemas precisam de um responsável, e não só de boa vontade. Se o site foi feito por um fornecedor, isso deve estar na proposta (veja O que levar em conta antes de contratar um site).

Cenário 3: alguém engana você ou sua equipe

Muitos dos golpes mais danosos não envolvem tecnologia: envolvem convencer uma pessoa. A engenharia social usa pressa, ameaça, apelo emocional, pedido de segredo e a aparência de autoridade para levar alguém a pagar, informar uma senha ou abrir um arquivo. Exemplos que atingem empresas: boleto adulterado de um fornecedor real, mensagem "do dono" pedindo uma transferência urgente, e-mail do "banco" ou do "suporte" com um link para uma página falsa.

O que fazer:

• Crie uma regra de confirmação para pagamentos e mudanças de dados bancários: qualquer pedido de pagamento fora do usual, ou de alteração de conta de um fornecedor, é confirmado por outro canal, usando o contato que você já tem, e não o que veio na mensagem;
• Confira o valor e os dados do recebedor (nome e CNPJ) antes de pagar um boleto ou Pix. O CERT.br recomenda, para boletos, preferir os eletrônicos registrados e, na dúvida, contatar o fornecedor por canais oficiais;
• Confira o endereço antes de clicar ou digitar uma senha. Em dúvida, entre no site digitando o endereço, em vez de seguir um link;
• Desconfie da urgência. "Faça agora ou perderá o acesso" é a assinatura de quase todo golpe;
• Treine a equipe com exemplos reais, e deixe claro que perguntar "isso é verdade?" é um comportamento esperado, e não uma perda de tempo.

Cenário 4: os dados desaparecem

Dados somem por vários motivos: um sequestro de arquivos por ransomware, um disco que falha, uma exclusão por engano, um servidor que sofre um incidente. O CERT.br é direto sobre o ransomware: a única garantia de recuperar os arquivos é ter backups atualizados, e pagar o resgate não garante que o acesso volte.

O que fazer:

• Faça backups automáticos do que não pode ser perdido: banco de dados do site, arquivos, planilhas, e-mails;
• Siga a regra 3-2-1, divulgada pelo US-CERT: três cópias dos dados (a original e dois backups), em dois tipos diferentes de mídia, com uma delas fora do local principal. A Cartilha do CERT.br pede, no mínimo, duas cópias em locais diferentes;
• Mantenha uma cópia desconectada ou sem sincronização em tempo real. Um backup que se atualiza automaticamente também replica o arquivo sequestrado;
• Teste a restauração. Um backup que nunca foi restaurado é uma esperança, e não uma garantia. Marque no calendário uma restauração de teste a cada alguns meses, e confirme que o que volta é o que você precisa;
• Atualize os sistemas. O CERT.br lembra que o ransomware explora falhas conhecidas, e que alguns tipos tentam apagar os backups que encontram.

Cenário 5: pessoas entram, mudam de função e saem

Segurança também é uma questão de gestão de pessoas. Contas compartilhadas ("login da empresa"), acessos que ninguém revisa e senhas que ficam com quem saiu são, juntos, uma das causas mais comuns de problemas, e muitas vezes acidentais.

O que fazer:

• Um login para cada pessoa, em qualquer sistema. Sem isso, não existe como saber quem fez o quê;
• Menor privilégio: cada um acessa só o que precisa para trabalhar;
• Desative os acessos no mesmo dia em que alguém sai da empresa, incluindo e-mail, sistemas, redes sociais e o painel do site, e troque as senhas de contas compartilhadas que ainda existam;
• Revise os acessos a cada seis meses ou um ano: quem tem acesso a quê, e se ainda faz sentido;
• Aparelhos: celulares e notebooks com bloqueio de tela, atualizações em dia e, se possível, criptografia do disco.

Cenário 6: algo deu errado, e agora?

O pior momento para decidir o que fazer é durante o incidente. Um plano de uma página já ajuda: quem chamar (e o telefone dele), como tirar o site do ar se for preciso, onde estão os backups e como restaurá-los, quem avisa os clientes e como. Se houver dados pessoais envolvidos, a LGPD prevê comunicação à ANPD e aos titulares em casos de risco ou dano relevante, com prazos curtos. LGPD no site da empresa explica esse ponto. Registre também tudo o que acontece: o que, quando, quem percebeu e o que foi feito.

Por onde começar: um plano para o primeiro mês

Nem tudo precisa ser feito de uma vez. Pela relação entre o esforço e o ganho, esta é uma boa ordem:

Semana	O que fazer
1	Verificação em duas etapas no e-mail e nas contas mais importantes (domínio, hospedagem, banco). Instalar um gerenciador de senhas
2	Trocar senhas repetidas ou antigas das contas críticas. Listar quem tem acesso a quê e remover o que não deve existir
3	Conferir os backups: o que é copiado, onde fica e uma restauração de teste. Atualizar o site e remover plugins sem uso
4	Combinar a regra de confirmação para pagamentos e mudanças bancárias. Escrever o plano de uma página para incidentes

Depois do primeiro mês, a segurança vira rotina: atualizar, revisar acessos, testar backups, treinar a equipe. O melhor indicador de que você está no caminho certo é que nada de dramático acontece, e que, se acontecer, alguém sabe o que fazer.

Se a sua empresa tem um site ou um sistema que ninguém sabe dizer quando foi atualizado pela última vez, ou onde está o backup, vale uma conversa. A Stringari desenvolve sites e sistemas e segue por perto depois da entrega; o ponto de partida é o formulário de briefing.