Por que manter sistemas atualizados é uma medida de segurança?

A mensagem pedindo para reiniciar o computador e instalar atualizações costuma ser adiada várias vezes. Parece uma tarefa de manutenção, sem relação direta com segurança. Mas boa parte das atualizações existe justamente para corrigir falhas que permitem a um atacante invadir o sistema. Adiar a instalação significa manter aberta uma vulnerabilidade que já é pública.

O que uma atualização de segurança corrige

Todo software tem erros. Alguns são apenas incômodos; outros permitem que alguém execute código no computador, obtenha acesso a dados ou assuma o controle de uma conta. Quando um fabricante descobre ou é informado de uma falha desse tipo, desenvolve uma correção e a distribui em forma de atualização.

O ponto delicado é que, a partir da publicação da correção, a falha deixa de ser segredo. Atacantes analisam as atualizações para entender o que foi corrigido e passam a procurar sistemas que ainda não foram atualizados. O intervalo entre a publicação e a instalação é o período de maior exposição.

O que o Cyber Essentials exige

Esse esquema britânico trata a gestão de atualizações como um de seus cinco controles técnicos e estabelece critérios claros:

Prazo de 14 dias: atualizações classificadas como críticas ou de alto risco devem ser aplicadas em até 14 dias após a publicação. A referência é a pontuação CVSS v3 igual ou superior a 7 ou a classificação do próprio fabricante como crítica ou alta.
Software com suporte: sistemas e aplicativos precisam estar licenciados e com suporte do fabricante.
Software sem suporte: deve ser removido ou isolado, de modo que não fique acessível a partir da internet nem da rede principal.

Esses critérios valem para sistemas operacionais, navegadores, aplicativos de escritório, firmware de roteadores e firewalls, celulares usados para trabalho e qualquer outro software que se conecte à internet.

O problema do software sem suporte

Quando um fabricante encerra o suporte de uma versão, ele deixa de publicar correções. A partir daí, qualquer falha descoberta permanece aberta indefinidamente. É comum encontrar em pequenas empresas computadores com versões antigas do sistema operacional, mantidos porque rodam um programa específico que nunca foi migrado.

Nesses casos, há algumas saídas:

Atualizar para uma versão com suporte, se o sistema permitir.
Substituir o equipamento ou o software.
Isolar o dispositivo, retirando o acesso à internet e separando-o da rede onde estão os demais computadores.

Manter o equipamento como está, conectado normalmente, é a opção que concentra mais risco.

Na prática: o maior ganho costuma vir de ativar as atualizações automáticas sempre que possível. Sistemas operacionais, navegadores e a maioria dos aplicativos modernos oferecem essa opção. O esforço manual fica reservado ao que não se atualiza sozinho, como roteadores, servidores e sistemas específicos.

Como organizar as atualizações em uma PME

Não é preciso uma ferramenta sofisticada para começar. Algumas práticas resolvem a maior parte do problema:

Inventário: saber quais dispositivos e softwares existem é a base. Não se atualiza o que não se conhece.
Atualizações automáticas: ativar em computadores, celulares e navegadores.
Janela de manutenção: definir um momento regular, por exemplo semanal, para reinícios e verificações, reduzindo o impacto no trabalho.
Atenção ao que fica esquecido: roteadores, impressoras em rede, câmeras e servidores costumam ficar anos sem atualização.
Acompanhamento com o fornecedor de TI: se a TI é terceirizada, vale pedir um relatório periódico dos equipamentos com atualizações pendentes.

Em alguns casos, uma atualização pode causar incompatibilidade com um sistema interno. Isso justifica testar antes em um equipamento, mas não justifica adiar indefinidamente. O prazo de 14 dias é uma boa referência de equilíbrio entre cautela e exposição.

Atualização como parte de um conjunto

Manter sistemas atualizados não impede todos os ataques. Golpes baseados em engenharia social, senhas vazadas e configurações inadequadas continuam possíveis. Por isso as atualizações funcionam melhor ao lado dos outros controles, como descrito em os cinco controles básicos de cibersegurança, e de um bom plano de cópias de segurança, tema tratado em backup contra ransomware.

Checklist

Atualizações automáticas ativas em computadores, celulares e navegadores.
Atualizações críticas e de alto risco aplicadas em até 14 dias.
Nenhum software sem suporte em uso normal, ou isolado quando inevitável.
Firmware de roteadores, firewalls e outros equipamentos de rede verificado periodicamente.
Um responsável definido por acompanhar as atualizações pendentes.