Um colaborador conecta um pen drive pessoal em seu posto de trabalho para transferir um arquivo. Trinta minutos depois, um ransomware criptografa o diretório compartilhado do serviço de contabilidade. Esse tipo de cenário, banal e documentado, lembra que a segurança da informação de uma empresa se baseia primeiro em gestos operacionais precisos, não em declarações de intenção.
Mapeamento dos prestadores: o elo que a maioria das empresas ignora
Frequentemente pensamos em firewalls, antivírus, senhas. Mas uma parte crescente dos incidentes de cibersegurança não vem de dentro: ela transita por um fornecedor, um editor de software ou um subcontratado conectado ao sistema de informação.
A ENISA, em seu Threat Landscape 2025 publicado em 1º de outubro de 2025, confirma que os ataques direcionados à cadeia de suprimentos digital continuam a gerar incidentes de grande escala. Um prestador mal protegido que acessa sua rede é uma porta aberta que você não está monitorando.
Concretamente, podemos começar listando os fornecedores que têm acesso remoto aos seus sistemas ou que hospedam seus dados. Em seguida, é necessário verificar seus compromissos de segurança: criptografia, política de atualizações, procedimento de notificação em caso de incidente. Os contratos devem prever cláusulas de reversibilidade e de alerta em curto prazo. Sem esse mapeamento, você enfrenta um risco que nem mesmo mede.
Para estruturar essa abordagem e identificar os pontos de controle adequados ao seu contexto, você pode acessar a página de segurança da Cyber Vista que detalha as etapas de uma auditoria de escopo.
Segurança da informação e IA generativa: regulamentar o uso antes do incidente
Um funcionário copia e cola um trecho de banco de dados de clientes em uma ferramenta de IA generativa para redigir um relatório mais rapidamente. Os dados saem do perímetro da empresa, às vezes para servidores localizados fora da União Europeia, sem qualquer rastreabilidade.
Esse tipo de situação está se multiplicando. A ENISA observa que grupos maliciosos também usam IA para aperfeiçoar a engenharia social e preparar seus ataques. Os e-mails de phishing se tornam mais credíveis, as usurpações de identidade mais difíceis de detectar. A conscientização clássica sobre phishing não é mais suficiente.
Duas medidas concretas mudam o cenário:
- Implementar um procedimento de dupla verificação para qualquer solicitação urgente de transferência, redefinição de senha ou transmissão de informações sensíveis, por um canal distinto (chamada telefônica direta, por exemplo).
- Redigir uma carta de uso das ferramentas de IA que especifique quais dados podem ser submetidos e quais são estritamente proibidos.
- Treinar as equipes com exemplos reais de phishing assistido por IA, e não com slides teóricos de três anos atrás.
Os retornos variam sobre a eficácia das cartas sozinhas, mas, quando combinadas com controles técnicos (bloqueio de certos serviços online na rede profissional), elas reduzem significativamente a exposição.
Plano de resposta a incidentes cibernéticos: testar antes de sofrer
A maioria das empresas que possui um plano de resposta a incidentes nunca o testou em condições reais. No dia em que um ransomware ataca, descobre-se que o número de plantão do prestador mudou, que os backups não cobrem o escopo correto, ou que ninguém sabe quem toma a decisão de isolar a rede.
Um plano de resposta não testado dá uma falsa impressão de segurança. A preparação operacional passa por exercícios de simulação, mesmo que curtos, mesmo que parciais. Simulamos uma criptografia de servidor em uma sexta-feira às 17h e cronometramos o tempo de reação.
O que o plano deve cobrir no mínimo
- A lista de pessoas a serem contatadas imediatamente, com contatos verificados a cada trimestre.
- A procedimento de isolamento de rede: quem tem a autoridade para cortar um segmento e como fazê-lo sem bloquear a atividade crítica.
- A localização e o teste regular dos backups, verificando se a restauração funciona realmente em um ambiente de teste.
- As obrigações de notificação: a transposição da diretiva NIS 2 em direito francês impõe a muitas empresas a notificação de incidentes significativos em prazos curtos.
Conformidade NIS 2: o que as PME devem antecipar agora
A diretiva europeia NIS 2, em processo de transposição na França através da lei Resiliência, amplia consideravelmente o escopo das empresas sujeitas a obrigações de cibersegurança. PME que não estavam sujeitas a nenhuma restrição específica agora se encontram dentro do campo de aplicação.
Aguardar a publicação dos decretos para agir é como preparar uma auditoria na véspera da inspeção. As obrigações referem-se a medidas que toda empresa já deveria ter implementado: gestão de riscos, notificação de incidentes, governança da segurança dos sistemas de informação.
Três ações a serem realizadas sem demora: nomear um responsável pela cibersegurança (mesmo que em meio período), documentar as medidas de proteção existentes e identificar as lacunas em relação às exigências previsíveis. Essa documentação servirá de base no dia em que os textos de aplicação forem publicados.
A conformidade regulatória não é um exercício administrativo desconectado do campo. Ela obriga a formalizar o que muitas vezes existe de maneira informal, e é precisamente essa formalização que protege quando um incidente ocorre. Um responsável identificado, procedimentos escritos, backups testados: esses elementos fazem a diferença entre uma empresa que se recupera em poucos dias e outra que leva semanas para retomar suas atividades.
