Pedro Jorge Viana
Nos últimos anos, o panorama global da cibersegurança tem registado avanços significativos. As organizações têm aumentado os seus investimentos em tecnologias, políticas e programas de formação orientados para reforçar as suas capacidades de defesa face a um ambiente de ameaças cada vez mais dinâmico. A adoção de soluções mais avançadas, o crescimento das diretrizes de boas práticas e um ambiente de colaboração mais próximo entre especialistas e entidades públicas e privadas têm contribuído para um ecossistema digital mais maduro e resiliente.
No entanto, paralelamente a estes progressos encorajadores, tem emergido uma diferença cada vez mais evidente: a disparidade de ciberresiliência entre grandes corporações e pequenas e médias empresas (PME) continua a aumentar.
Segundo um relatório recente do Fórum Económico Mundial, as grandes organizações evidenciam um progresso consistente no reforço das suas defesas, enquanto as empresas de menor dimensão enfrentam maiores dificuldades em acompanhar este ritmo. Enquanto as corporações dispõem de soluções avançadas de segurança e equipas especializadas, muitas PME continuam a operar com recursos técnicos e humanos limitados, aumentando de forma significativa o seu nível de exposição.
Neste contexto, as pequenas empresas devem recorrer a todas as oportunidades disponíveis para reduzir a sua exposição às ciberameaças sem necessidade de realizar investimentos adicionais significativos. Uma das estratégias mais eficazes para o conseguir é o reforço da segurança (security hardening): um conjunto de práticas que, através de uma configuração adequada de sistemas e redes, permite mitigar riscos e fortalecer a proteção com os recursos já existentes.
Em que consiste exatamente? O reforço da segurança baseia-se na aplicação de procedimentos e ajustes técnicos orientados para reduzir a superfície de ataque de uma organização. Na prática, implica tirar o máximo partido do potencial de segurança dos sistemas atuais, sem necessidade de incorporar novas ferramentas ou soluções adicionais.
Implementar autenticação e controlo de acessos robustos
O primeiro passo para proteger os sistemas corporativos é limitar o risco de acessos não autorizados. Para tal, é essencial estabelecer uma política rigorosa de palavras-passe, bem como orientações para o seu armazenamento seguro.
É igualmente fundamental implementar autenticação multifatorial (MFA). Este mecanismo exige que o utilizador verifique a sua identidade através de, pelo menos, dois elementos distintos — por exemplo, uma password combinada com um código temporário, uma aplicação autenticadora ou uma chave física — acrescentando assim uma camada extra de segurança. Mesmo que um atacante obtenha a password, o segundo fator funcionará como uma barreira adicional.
Por outro lado, é recomendável aplicar políticas de controlo de acesso à rede e atribuir permissões seguindo o princípio do menor privilégio: cada colaborador deve ter acesso apenas aos sistemas necessários para desempenhar as suas funções. Em caso de violação de segurança, esta prática limita a capacidade dos atacantes de se movimentarem lateralmente dentro da rede. Auditar periodicamente as contas e respetivas permissões — revogando as que deixem de ser necessárias — reforça ainda mais a segurança interna.
Atualizações periódicas de software e aplicação de patches
A atualização regular de sistemas operativos, aplicações e restantes componentes de software constitui uma das medidas mais eficazes — e frequentemente negligenciadas — para prevenir ciberataques.
O desenvolvimento de software evolui constantemente, o que gera dois desafios principais: por um lado, os sistemas podem tornar-se rapidamente obsoletos ou até incompatíveis; por outro, podem ficar expostos a novas vulnerabilidades.
Para mitigar estes riscos, os programadores incorporam melhorias e correções distribuídas através de atualizações. Estas não só corrigem erros ou melhoram o desempenho, como também incluem patches de segurança.
No entanto, os cibercriminosos continuam a explorar vulnerabilidades conhecidas — algumas há vários anos —, o que demonstra que muitas organizações continuam sem aplicar os patches disponíveis muito tempo após a sua publicação.
Encriptação de dados
A encriptação de dados, tanto em repouso (armazenados em dispositivos) como em trânsito (durante a sua transmissão em redes privadas ou através da internet), é uma medida fundamental para impedir acessos não autorizados ou intercetações.
Entre as tecnologias mais eficazes contam-se a Encriptação de Ficheiros e Pastas (FLE) e a Encriptação de Disco Completo (FDE). A FLE protege informação sensível restringindo o seu acesso, enquanto a FDE garante que, mesmo que um dispositivo seja perdido ou roubado, os dados permanecem inacessíveis a terceiros.
Entre as ferramentas integradas mais comuns incluem-se:
- BitLocker (Windows) ou FileVault (macOS) para FDE.
- Encrypting File System (EFS) (Windows) ou Disk Utility/FileVault (macOS) para FLE.
Com a codificação de dados, as empresas reduzem drasticamente o risco de exposição de informação confidencial.
Cópias de segurança e recuperação
Dispor de cópias de segurança atualizadas é essencial para preservar a integridade dos ativos perante incidentes como ataques de ransomware, falhas de sistema ou perda acidental de informação.
Recomenda-se programar cópias automáticas periódicas e realizar verificações regulares de integridade, bem como testes de restauro em ambientes de teste. É igualmente importante manter as cópias de segurança fora do perímetro da rede corporativa, uma vez que um ataque pode comprometer as que estejam armazenadas internamente. Diversificar os meios e locais de armazenamento — incluindo dispositivos físicos cifrados — acrescenta uma camada adicional de proteção e melhora a capacidade de recuperação.
Formação contínua
Por último, mas não menos importante, é imprescindível que as organizações adotem uma abordagem sistemática e contínua à formação em cibersegurança. A capacitação do pessoal não deve ser entendida como uma atividade pontual, mas como um processo permanente de avaliação, atualização e sensibilização.
É fundamental avaliar periodicamente o nível de literacia digital e de cibersegurança dos colaboradores e implementar programas formativos que permitam colmatar as lacunas identificadas. Estas iniciativas devem abranger os princípios fundamentais da segurança da informação, as melhores práticas de gestão de dados e os métodos e cenários de ataque mais comuns utilizados pelos cibercriminosos, especialmente os baseados em engenharia social.
Tendo em conta que cerca de dois terços dos incidentes de cibersegurança têm origem em erro humano, a formação contínua e a sensibilização para as ameaças atuais são essenciais para reduzir riscos e fortalecer a primeira linha de defesa: as pessoas.
As medidas de reforço de segurança descritas constituem uma estratégia eficaz e exequível para reduzir a superfície de ataque de qualquer organização. Combinadas com sistemas de deteção e prevenção de intrusões, bem como com soluções de proteção de endpoints, permitem minimizar vulnerabilidades e reforçar a postura de defesa corporativa.
Num ambiente digital cada vez mais complexo, adotar uma abordagem proativa em matéria de cibersegurança não só protege os sistemas e dados da empresa, como também reforça a sua reputação, a confiança e a continuidade operacional.
Pedro Jorge Viana é Diretor de Pré-venda da Kaspersky para Portugal e Espanha
