O que é Cyber Essentials e por que ele interessa às PMEs?

Boa parte dos ataques que atingem pequenas e médias empresas não depende de técnicas sofisticadas. Eles exploram senhas fracas, sistemas desatualizados, contas esquecidas e serviços expostos sem necessidade. O Cyber Essentials, esquema criado pelo governo do Reino Unido, parte justamente dessa constatação: existe um conjunto mínimo de cuidados técnicos que reduz de forma significativa a exposição da empresa aos ataques mais comuns. Mesmo para quem está no Brasil e nunca pretende buscar a certificação, ele serve como um roteiro claro e objetivo.

De onde vem o Cyber Essentials

O Cyber Essentials foi lançado em 2014 pelo governo britânico e hoje é mantido pelo NCSC (National Cyber Security Centre), o centro nacional de cibersegurança do Reino Unido. Desde 2020, o IASME Consortium atua como parceiro responsável pela operação do esquema, o que inclui credenciar os organismos certificadores e manter o conjunto de perguntas usado nas avaliações.

A proposta nunca foi cobrir todos os aspectos da segurança da informação. O objetivo é definir uma base: poucos controles, bem escolhidos, que qualquer organização consiga implementar sem precisar de uma equipe de segurança dedicada. Por isso o esquema ganhou tanta aderência entre pequenas empresas, fornecedores do setor público britânico e cadeias de suprimento de grandes companhias.

Os cinco controles técnicos

Todo o esquema gira em torno de cinco controles. Cada um responde a uma forma comum de ataque:

• Firewall: controla o que entra e sai da rede e dos dispositivos, fechando portas e serviços que não precisam estar acessíveis pela internet.
• Configuração segura: elimina configurações de fábrica perigosas, como senhas padrão, contas desnecessárias e execução automática de arquivos.
• Gestão de atualizações: garante que sistemas e aplicativos recebam correções de segurança dentro de prazos definidos.
• Controle de acesso: assegura que cada pessoa tenha apenas os acessos de que precisa, com autenticação adequada.
• Proteção contra malware: impede ou limita a execução de programas maliciosos nos dispositivos da empresa.

O artigo sobre os cinco controles básicos de cibersegurança detalha cada um deles em linguagem prática.

Cyber Essentials e Cyber Essentials Plus

O esquema tem dois níveis. No Cyber Essentials, a empresa responde a um questionário de autoavaliação, que é revisado por um avaliador de um organismo certificador. As respostas precisam ser assinadas por um responsável da organização, o que dá peso formal ao que foi declarado.

No Cyber Essentials Plus, os mesmos controles são verificados por meio de uma auditoria técnica presencial ou remota. O avaliador testa uma amostra de dispositivos, verifica se as atualizações estão em dia, simula a chegada de arquivos maliciosos e confere se a autenticação multifator está ativa onde deveria. Em ambos os casos, a certificação tem validade anual e precisa ser renovada.

Por que isso interessa a uma PME brasileira

O Cyber Essentials é um esquema britânico, sem valor regulatório no Brasil. Ainda assim, há bons motivos para um gestor de PME conhecê-lo:

• É um recorte objetivo. Normas amplas de segurança da informação são valiosas, mas podem parecer inalcançáveis para uma empresa de vinte pessoas. O Cyber Essentials diz com clareza o que fazer primeiro.
• Tem critérios verificáveis. Prazos para aplicar atualizações, exigência de autenticação multifator em serviços em nuvem, remoção de contas que não são mais usadas. São requisitos que se consegue conferir, e não apenas intenções.
• Conversa com a LGPD. A lei exige medidas de segurança técnicas e administrativas aptas a proteger dados pessoais. Uma base técnica bem implementada ajuda a demonstrar diligência, tema explorado em cibersegurança e LGPD.
• Facilita a conversa com o fornecedor de TI. Muitas PMEs terceirizam a TI. Ter uma lista clara de controles ajuda a perguntar o que está sendo feito e cobrar evidências.

O que o esquema não cobre

Ter clareza sobre os limites é tão importante quanto conhecer os controles. Ele não trata, por exemplo, de backup, plano de resposta a incidentes, conscientização de funcionários ou continuidade de negócios. Esses temas continuam necessários e precisam ser tratados à parte.

Também não se trata de uma garantia. Os controles reduzem a probabilidade de sucesso dos ataques mais comuns, mas não eliminam o risco. Uma empresa que implementa bem os cinco controles está em uma posição muito melhor do que a média, e deve continuar revisando suas práticas.

Por onde começar

Um primeiro passo simples é fazer um inventário: quais computadores, celulares, servidores e serviços em nuvem a empresa usa, quem administra cada um e se ainda recebem suporte do fabricante. A partir daí, fica mais fácil avaliar cada controle e identificar as lacunas mais urgentes.

• Listar todos os dispositivos e serviços em nuvem usados pela empresa.
• Verificar se algum sistema já não recebe atualizações do fabricante.
• Conferir se a autenticação multifator está ativa no e-mail e nos principais serviços em nuvem.
• Identificar quem tem acesso de administrador e se isso ainda é necessário.
• Definir um responsável interno por acompanhar esses pontos ao longo do ano.