Quando um gestor pensa em segurança da informação, normalmente as primeiras imagens que vêm à cabeça são ataques hackers, vírus, golpes por e-mail ou tentativas de invasão.
Essas ameaças existem e merecem atenção. Firewalls, antivírus, autenticação e outras ferramentas continuam sendo importantes para proteger a empresa.
Mas existe uma pergunta que costuma passar despercebida: depois que um colaborador faz login, ele consegue acessar apenas o que realmente precisa para trabalhar?
É justamente nesse ponto que muitas empresas descobrem que o maior risco não está do lado de fora da rede.
Está dentro dela.
Segurança também significa controlar quem acessa cada informação
Toda empresa possui informações que não deveriam estar disponíveis para todos os colaboradores.
Contratos, documentos financeiros, propostas comerciais, dados de clientes, arquivos estratégicos e informações da diretoria fazem parte da rotina de praticamente qualquer negócio.
Mesmo assim, não é raro encontrar empresas onde diferentes departamentos acessam as mesmas pastas compartilhadas, usuários mantêm permissões antigas por anos ou colaboradores mudam de função sem que seus acessos sejam revisados.
No começo, esse modelo parece prático.
Com o crescimento da empresa, ele se transforma em um problema difícil de controlar.
Quanto mais pessoas entram na operação, mais difícil fica responder perguntas simples:
Quem pode acessar os dados financeiros?
Quem ainda possui acesso à pasta da diretoria?
Existem contas de ex-colaboradores que continuam ativas?
Quem consegue instalar programas ou alterar configurações dos computadores?
Quando ninguém consegue responder essas perguntas com segurança, o problema já deixou de ser tecnológico. Passou a ser de gestão.
O risco nem sempre vem de um ataque
Muitas empresas investem na proteção da rede contra ameaças externas e acreditam que isso basta para proteger suas informações.
Mas nem todo incidente acontece porque alguém invadiu a empresa.
Uma permissão concedida por urgência e nunca revisada, uma conta que permaneceu ativa após o desligamento de um colaborador ou um usuário com acesso além do necessário podem expor informações importantes sem que exista qualquer ataque sofisticado.
Outro exemplo comum são as senhas compartilhadas.
Quando várias pessoas utilizam o mesmo usuário para acessar um sistema ou equipamento, a empresa perde a capacidade de identificar quem realizou determinada ação. Se um arquivo for alterado, excluído ou copiado, dificilmente será possível reconstruir o que aconteceu.
Pequenos descuidos como esses costumam parecer inofensivos no dia a dia, mas aumentam a exposição da empresa e dificultam a administração da segurança.
Segurança da informação precisa acompanhar a operação
A estrutura de acessos de uma empresa não permanece igual por muito tempo.
Novos colaboradores são contratados, departamentos crescem, pessoas mudam de função, sistemas são implantados e o trabalho remoto passa a fazer parte da rotina.
Se as permissões continuam exatamente as mesmas durante todo esse processo, é natural que comecem a surgir acessos que já não fazem sentido.
Por isso, controlar quem acessa cada informação não é uma configuração feita apenas uma vez.
É um processo contínuo.
Na prática, isso significa revisar permissões periodicamente, separar acessos por área, criar grupos de usuários, remover contas que não são mais utilizadas e garantir que cada colaborador tenha acesso apenas aos recursos necessários para exercer sua função.
Depois, é preciso administrar “com mão de ferro” as políticas definidas, para garantir que serão respeitadas! Além disso, é erro comum em empresas pequenas ou iniciantes que o controle de acesso seja feito pelo próprio gestor: além de consumir um tempo valioso e caro que deveria ser canalizado para aquilo que realmente é a sua função (a gestão da empresa), o gestor precisa admitir que funções críticas como a configuração e definição de políticas de acesso devem ser executadas por pessoal especializado e tecnicamente preparado!
Quanto mais organizada essa administração, menor a chance de erros, vazamentos ou acessos indevidos.
Segurança da informação também é organização
Quando a segurança é tratada apenas como instalação de ferramentas, a empresa corre o risco de investir em tecnologia sem resolver problemas básicos de organização.
A proteção começa muito antes de um ataque.
Ela começa quando a empresa sabe exatamente quem acessa seus arquivos, quais permissões estão ativas e quais informações precisam de maior proteção.
Esse controle reduz riscos, facilita auditorias, melhora a administração da infraestrutura e dá mais tranquilidade para o crescimento da operação.
No fim das contas, segurança da informação não significa desconfiar das pessoas.
Significa organizar os acessos de forma compatível com a realidade da empresa.
Nossa visão de segurança da informação
A CTECH ajuda pequenas e médias empresas a organizar a gestão da segurança da informação por meio da administração de servidores, diretórios, permissões e infraestrutura de rede. Soluções como o i-SERVER auxiliam no controle de acessos aos arquivos corporativos, enquanto o i-NET protege a comunicação entre a rede interna e a internet. O resultado é uma estrutura mais organizada, onde a segurança deixa de depender apenas de login e senha e passa a fazer parte da rotina da empresa. Se hoje você não consegue responder com segurança quem tem acesso às informações mais importantes da sua empresa, talvez seja o momento de revisar a forma como esses acessos são administrados.