Como criar um plano de cibersegurança para os primeiros 90 dias

A maioria das pequenas e médias empresas sabe que precisa melhorar a segurança, mas trava na hora de começar. A lista de recomendações parece infinita, os fornecedores oferecem produtos de todo tipo e o dia a dia sempre tem algo mais urgente. Um plano de 90 dias ajuda a sair da intenção para a prática: divide o trabalho em etapas curtas, prioriza o que reduz mais risco e cria uma rotina que continua depois do terceiro mês.

Antes de começar: dono, escopo e referência

Três definições evitam que o plano se perca no caminho:

• Um responsável: alguém da gestão que acompanhe o plano, mesmo que a execução técnica fique com um fornecedor. Sem dono, as tarefas se diluem.
• Um escopo claro: quais escritórios, computadores, serviços em nuvem e sistemas fazem parte dele. Notebooks de home office e celulares que acessam o e-mail corporativo também contam.
• Uma referência: seguir um modelo reconhecido evita reinventar a roda. O Cyber Essentials, do NCSC britânico, é uma boa base para PMEs porque se concentra em cinco controles técnicos essenciais. O artigo sobre Cyber Essentials para PMEs apresenta o esquema.

Dias 1 a 30: conhecer e fechar as brechas mais óbvias

O primeiro mês é de levantamento e de correções rápidas, que exigem pouco investimento e reduzem bastante a exposição.

Inventário

Liste os equipamentos (computadores, servidores, roteadores, celulares corporativos), os sistemas e serviços em nuvem, e quem tem acesso a cada um. Uma planilha simples resolve. Não dá para proteger o que a empresa nem sabe que tem.

Ações imediatas

• ativar a autenticação em dois fatores no e-mail corporativo e nos serviços em nuvem principais;
• desativar contas de ex-funcionários e contas genéricas que ninguém usa;
• trocar senhas padrão de roteadores, impressoras e outros equipamentos;
• verificar se o backup está rodando e se inclui os dados críticos;
• conferir se todos os computadores têm proteção contra malware ativa.

Ao fim do mês, a empresa deve ter um retrato razoável do seu ambiente e uma lista de pendências priorizadas.

Dias 31 a 60: estruturar os controles básicos

Com o inventário em mãos, o segundo mês é dedicado aos controles que exigem um pouco mais de trabalho.

Atualizações

Ative as atualizações automáticas onde for possível e defina uma rotina para o que não atualiza sozinho, como firmware de roteadores e sistemas de gestão. Equipamentos e softwares sem suporte do fabricante precisam de um plano de substituição. O artigo sobre atualizações de segurança detalha esse controle.

Contas e privilégios

Revise quem é administrador. No dia a dia, os usuários devem trabalhar com contas comuns, e os acessos administrativos devem ficar restritos a quem realmente precisa, em contas separadas.

Firewall e configuração

Confira as regras do roteador ou firewall, feche serviços expostos na internet que não são necessários e revise o acesso remoto. Remova programas e contas que vêm instalados por padrão e não têm uso.

Backup com separação

Garanta que pelo menos uma cópia fique offline ou em armazenamento imutável e faça o primeiro teste de restauração.

Dias 61 a 90: pessoas, resposta e rotina

O terceiro mês consolida o que foi feito e prepara a empresa para lidar com problemas.

• Treinamento: uma conversa curta com a equipe sobre e-mails fraudulentos, golpes de troca de dados bancários e uso de senhas. Exemplos reais do setor funcionam melhor do que teoria.
• Roteiro de incidente: uma página com os contatos de emergência e as primeiras ações. O artigo sobre os primeiros 30 minutos de um incidente pode servir de base.
• Dados pessoais: identifique onde estão os dados de clientes e funcionários e quem responde por eles, pensando também nas obrigações da LGPD.
• Políticas mínimas: regras curtas sobre senhas, uso de dispositivos pessoais e concessão de acessos.
• Calendário de revisões: defina quando cada controle será revisado.

Depois dos 90 dias

O plano não termina no dia 90. Ele cria uma base que precisa ser mantida. Algumas rotinas que funcionam bem em PMEs:

1. Mensal: conferir relatórios de backup, alertas do antivírus e atualizações pendentes.
2. Trimestral: revisar contas e acessos, testar uma restauração e atualizar o inventário.
3. Anual: reavaliar todos os controles, repetir o treinamento e revisar o roteiro de incidentes.

Nenhum plano torna a empresa imune a ataques. O que ele faz é reduzir a exposição aos riscos mais comuns e melhorar a capacidade de reação, e isso já representa uma mudança significativa na segurança da informação para PMEs.

Checklist dos 90 dias

• Responsável e escopo definidos.
• Inventário de equipamentos, sistemas e acessos concluído.
• Autenticação em dois fatores ativa no e-mail e na nuvem.
• Contas antigas desativadas e senhas padrão trocadas.
• Atualizações automáticas ativas e plano para itens sem suporte.
• Privilégios de administrador revisados.
• Firewall revisado e serviços desnecessários fechados.
• Backup com cópia offline ou imutável e restauração testada.
• Equipe treinada e roteiro de incidente distribuído.
• Calendário de revisões definido.