Dizer que o parque está protegido sem um teste recente é descrever uma sensação, não um fato. Proteção real tem quatro componentes verificáveis: sistemas atualizados, antivírus ativo e atualizado em cada máquina, usuários sem permissão de administrador e um teste periódico que prove que o conjunto funciona.
“Estamos protegidos” é a certeza mais confortável de todas, porque ela vem com um ícone. Verde, no canto da tela. O antivírus está lá, o firewall está lá, alguém instalou alguma coisa em algum momento. A sensação é de segurança, e sensação é o que o gestor leva para a reunião.
O problema é que proteção não é um estado. É um teste.
O ícone verde não responde a pergunta
Quando eu pergunto “protegido contra o quê?”, a conversa muda de tom. Protegido contra vírus clássico, provavelmente. Contra um e-mail bem escrito pedindo para trocar a senha? Contra um servidor que não recebe atualização desde o ano passado? Contra um funcionário que roda tudo como administrador porque “assim não dá erro”?
O antivírus não responde por nenhuma dessas três. E as três são, de longe, as portas de entrada mais comuns que eu vejo em empresa de médio porte.
Os quatro componentes de uma proteção que existe
Proteção que se sustenta numa reunião tem quatro partes, e todas podem ser mostradas em tela:
- Atualizações em dia, por máquina, com a idade da pendência mais antiga.
- Antivírus ativo, atualizado e reportando em cada equipamento, não só instalado.
- Usuários sem permissão de administrador, com exceções justificadas por escrito.
- Um teste periódico que prove que o conjunto funciona: varredura externa, simulação de phishing, auditoria de permissão.
Se falta qualquer um dos quatro, o ícone continua verde e a empresa continua exposta.
O teste do gerador
Ninguém olha para um extintor e diz “estamos protegidos contra incêndio”. O extintor tem data de validade, lacre e vistoria anual, e alguém assina embaixo. A proteção do parque de máquinas precisa do mesmo tratamento: validade, verificação e assinatura. Não porque o fornecedor seja ruim, mas porque o ambiente muda toda semana e a proteção de ontem não vale amanhã.
O que pedir na próxima reunião
Não peça “um relatório de segurança”. Peça quatro números: quantas máquinas estão com atualização pendente há mais de 30 dias, quantas têm antivírus reportando nas últimas 24 horas, quantas pessoas são administradoras locais e quando foi o último teste com resultado. Quem está protegido de verdade responde em minutos. Quem está protegido por sensação pede um prazo.
Protegido contra o quê, exatamente, e quem testou?
Faça essa pergunta na próxima reunião. A resposta vem com data e número, ou vem com adjetivo.
O que pedir na próxima reunião
Quatro evidências. Não é desconfiança: é o mesmo critério que você já aplica ao gerador de energia.
- Relatório de atualizações pendentes por máquina, com idade da pendência mais antiga
- Cobertura do antivírus: quantas máquinas têm, quantas estão atualizadas, quantas reportaram nas últimas 24 horas
- Lista de usuários com permissão de administrador local e a justificativa de cada um
- Resultado da última simulação de phishing ou varredura de vulnerabilidades, com data e o que foi corrigido
“Proteção não é um estado. É um teste que você refaz toda semana.”
Perguntas frequentes
Ter antivírus instalado significa que a empresa está protegida?
Não. Antivírus é uma das camadas e só funciona se estiver ativo, atualizado e reportando. A maior parte dos incidentes em PMEs entra por credencial, por sistema desatualizado ou por usuário com permissão demais, caminhos que o antivírus sozinho não fecha.
O que significa 'usuário sem permissão de administrador' e por que importa?
Significa que a pessoa usa o computador com uma conta que não pode instalar programas nem alterar o sistema. Quando o usuário é administrador, qualquer coisa que ele abrir por engano roda com poder total sobre a máquina. Tirar esse privilégio corta a maior parte dos ataques pela raiz, sem custo.
Como testar se a proteção funciona de verdade?
Com três verificações periódicas: uma varredura de vulnerabilidades no que está exposto, uma simulação de phishing com a equipe e uma auditoria de permissões. O resultado deve vir com data e com a lista do que foi corrigido. Teste sem correção é só diagnóstico.
Para ir mais fundo
Quer essa conversa na sua empresa ou no seu evento?
As sete falsas certezas viram uma palestra de 20 minutos para diretoria, associação ou evento de tecnologia.
Ver temas de palestra →