Há uma pergunta que separa os colaboradores que descansam em agosto dos que passam o verão agarrados ao telemóvel: se durante duas semanas ninguém na empresa atender uma chamada, a empresa continua protegida?
Para a maioria das PME portuguesas, a resposta honesta é não. A segurança da informação depende de duas ou três pessoas concretas e, quando essas pessoas vão à praia, a empresa fica com a porta encostada. Os atacantes sabem-no melhor do que ninguém.
Não é coincidência que as campanhas de ransomware e as fraudes por e-mail se concentrem nos meses de verão. É uma estratégia deliberada. As equipas estão reduzidas, as decisões demoram mais e um pedido urgente de transferência em nome do administrador que está fora levanta muito menos suspeitas do que em qualquer outra altura do ano.
O problema raramente é técnico
A reação instintiva de muitos gestores a este cenário é reforçar a tecnologia. Mais um antivírus, mais uma firewall, mais uma subscrição. Mas a esmagadora maioria dos incidentes de segurança em PME não começa numa falha técnica. Começa numa falha de organização.
Um colaborador que vai de férias e partilha a password com o colega para facilitar. Um portátil da empresa ligado ao Wi-Fi do hotel. Um e-mail de um fornecedor a pedir a alteração do IBAN, aprovado à pressa porque quem costuma validar está incontactável. Nenhuma firewall resolve este tipo de vulnerabilidade, pois ela não está na máquina. Está na ausência de regras claras sobre quem decide, quem substitui e como se valida o que é urgente.
“Não é coincidência que as campanhas de ransomware e as fraudes por email se concentrem nos meses de verão.”
O que a ISO 27001 muda na prática
A ISO 27001 é frequentemente apresentada como um selo técnico reservado a empresas tecnológicas, o que é uma leitura errada. No essencial, a norma obriga a organização a responder a três perguntas antes de se transformarem em urgências.
A primeira é a das substituições. Quem assume as decisões de segurança quando o responsável habitual está ausente? A norma exige responsabilidades definidas e documentadas, o que significa que as férias deixam de criar um vazio de decisão.
A segunda é a da resposta a incidentes. O colaborador que recebe o e-mail suspeito ou deteta o ficheiro cifrado sabe exatamente o que fazer, sem depender de conseguir contactar quem está fora.
A terceira é a dos acessos. Sessões abertas, passwords partilhadas e contas de ex-colaboradores ativas são precisamente o tipo de descuido que um sistema de gestão elimina por rotina e não apenas quando há tempo livre.
Já subscreveu a nossa newsletter?
Receba regularmente, no seu e-mail, todas as ofertas e novidades da Vexillum!
O custo real de não decidir
Uma PME que fatura cinco milhões de euros e fica bloqueada por três dias devido a um ransomware não perde apenas três dias de faturação. Perde prazos de entrega, perde confiança de clientes e perde contratos. Os grandes clientes já exigem evidências de segurança da informação aos seus fornecedores nos questionários de qualificação e uma empresa sem sistema responde a esses questionários com boas intenções em vez de provas.
Na Vexillum defendemos há muito que a capacidade de um gestor desligar duas semanas é um indicador de gestão tão sério como a margem de lucro ou a tesouraria. Uma empresa que não aguenta as férias da administração não tem um problema de agosto: tem um problema de organização que agosto apenas torna visível.
É esse o trabalho que fazemos pelos nossos clientes: transformar a vigilância heróica de meia dúzia de pessoas num sistema que funciona com ou sem elas.
