Módulo 9 · 9.3
A sua verificação de segurança e plano
Módulo 9: Regras e organização · Tempo de leitura: 12 minutos
Objetivo de aprendizagem: Depois desta lição, consegue fazer a sua própria verificação de segurança com uma lista fixa e transformá-la num plano de prioridades.
Conceitos-chave: medidas de base, medição inicial, priorização (probabilidade x impacto, rápido e barato primeiro), proprietário e data, repetição anual
De saber para fazer
Viu muita coisa nesta formação: palavras-passe, phishing, e-mail e domínio, dispositivos, cópias de segurança, direitos de acesso, incidentes e regras. O risco agora é começar um pouco em tudo e não terminar nada. Esta lição transforma tudo isso em duas coisas que você mesmo cria:
- uma medição inicial: um retrato honesto de como a situação está neste momento;
- um plano: o que faz primeiro, quem o faz e quando fica concluído.
A lista abaixo contém as medidas de base: as medidas que impedem a maioria dos ataques oportunistas (lição 1.1) e que também um cliente normalmente exige quando define requisitos para os seus fornecedores (lição 9.1). Não é uma norma completa como a ISO 27001, nem precisa de ser. É a base que faz a diferença numa pequena empresa.
A verificação de segurança: vinte pontos
Responda a cada ponto com sim, em parte ou não. Seja rigoroso: "acho que sim" é "em parte". Atrás de cada ponto encontra a lição onde aprendeu esse tema.
Contas e início de sessão
| N.º | Ponto | Lição |
|---|---|---|
| 1 | Existe uma visão geral de todas as contas, dispositivos, sites, domínios e fornecedores, com um proprietário por cada elemento. O que já não é utilizado foi eliminado. | 1.1, 7.2 |
| 2 | Todos utilizam um gestor de palavras-passe e têm uma palavra-passe única e longa por serviço. Não são partilhadas palavras-passe por e-mail ou chat. | 2.1, 2.2 |
| 3 | A autenticação de dois fatores (2FA) está ativada no e-mail, no banco, na contabilidade, no alojamento (hosting), no registrar e nas redes sociais; para administradores, de preferência uma forma resistente a phishing, como uma passkey ou uma chave de segurança. | 2.3, 2.4 |
| 4 | Os códigos de recuperação e as chaves de reserva estão guardados em segurança e sabe o que fazer se perder um telemóvel. | 2.3, 2.4 |
| 5 | Verificou se os endereços profissionais constam de fugas de dados conhecidas e sabe como revogar sessões e verificar regras de reencaminhamento. | 1.4, 2.5 |
Pessoas e processos
| N.º | Ponto | Lição |
|---|---|---|
| 6 | Existe um procedimento de pagamento: ligar de volta para um número conhecido em caso de alteração do número de conta e uma segunda pessoa a validar pagamentos grandes ou invulgares. | 1.2 |
| 7 | Todos conseguem reconhecer phishing através do domínio real de uma ligação e sabem o que fazer depois de clicar. | 3.1 a 3.5 |
| 8 | Existe um único ponto de contacto para denúncias, com substituto, a denúncia é feita sem culpabilização, e há uma breve relembrança pelo menos algumas vezes por ano. | 9.2 |
E-mail, site e domínio
| N.º | Ponto | Lição |
|---|---|---|
| 9 | O seu domínio tem SPF, DKIM e DMARC, e o DMARC está pelo menos em p=none com um plano para passar a quarantine ou reject. | 4.1 |
| 10 | O seu site funciona em todo o lado através de https com um certificado válido, redireciona o http, e o CMS com os plugins é atualizado. O HSTS e os cabeçalhos de segurança estão ativos ou foram ponderados conscientemente. | 4.2 |
| 11 | Os dados do titular do seu domínio estão corretos, a renovação automática está ativada, o registrar tem 2FA, não existem registos DNS órfãos e o DNSSEC está ativado onde possível. | 4.3 |
Dispositivos e rede
| N.º | Ponto | Lição |
|---|---|---|
| 12 | As atualizações estão ativadas automaticamente para sistemas operativos, aplicações e plugins; o router, o NAS e a impressora também são atualizados; não há nada em funcionamento que já não receba atualizações. | 5.1 |
| 13 | Os portáteis e telemóveis têm bloqueio de ecrã e encriptação de disco, podem ser apagados remotamente, e ninguém trabalha diariamente com uma conta de administrador. | 5.2 |
| 14 | A rede wifi utiliza WPA2 ou WPA3, a palavra-passe padrão do router foi alterada e os visitantes e dispositivos inteligentes estão numa rede de convidados. | 5.3 |
Cópias de segurança
| N.º | Ponto | Lição |
|---|---|---|
| 15 | Existe uma cópia de segurança de tudo o que é importante, incluindo o e-mail e os serviços cloud, de acordo com o esquema 3-2-1. | 6.1 |
| 16 | Pelo menos uma cópia está offline ou é inalterável e tem um início de sessão próprio que não é utilizado nos computadores de trabalho. | 6.2 |
| 17 | No último ano foi feito um teste de restauro, e sabe quanto trabalho pode perder e com que rapidez tem de ser recuperado. | 6.3 |
Acesso, fornecedores e incidentes
| N.º | Ponto | Lição |
|---|---|---|
| 18 | Todos têm uma conta própria apenas com os direitos necessários, as contas de administrador são separadas, e em caso de saída todos os acessos são revogados no mesmo dia. | 7.1 |
| 19 | Os fornecedores e serviços cloud importantes foram avaliados, existem contratos de subcontratação de tratamento de dados sempre que necessário, e os ficheiros são partilhados com ligações com data de validade. | 7.2, 7.3 |
| 20 | Existe um cartão de incidente em papel, existe um registo de fugas de dados, e sabe quando deve notificar a CNPD, a polícia e, se estiver abrangido, o centro nacional de cibersegurança. | 8.1, 8.2, 8.3, 9.1 |
Conte as suas respostas. Muitos "não" não é motivo para se assustar: é o seu ponto de partida. Por isso se chama medição inicial.
Uma parte pode ser verificada automaticamente
Alguns pontos podem ser medidos a partir do exterior, porque dizem respeito a dados públicos do seu domínio: ponto 9 (SPF, DKIM, DMARC), ponto 10 (https, certificado, HSTS, cabeçalhos) e ponto 11 (DNSSEC, nameservers, data de validade). No exercício A9.3 faz isso de uma vez só para o seu próprio domínio, com as mesmas verificações dos exercícios do módulo 4. Testes independentes como https://internet.nl e as verificações públicas em https://www.weboke.nl/pt/saude-do-dominio e https://www.weboke.nl/pt/verificar-email analisam pontos semelhantes.
Atenção: um resultado verde nesses pontos nada diz sobre os outros dezassete. O seu domínio pode estar perfeitamente configurado enquanto a sua caixa de correio tem uma palavra-passe proveniente de uma fuga de dados. A verificação automática é apenas uma parte da medição inicial, não um substituto.
Da verificação ao plano: priorizar
Agora pode ter oito ou dez pontos em "não" ou "em parte". Nem tudo pode ser feito ao mesmo tempo. Escolhe a ordem com duas perguntas.
1. Qual é a dimensão do risco? Use probabilidade x impacto (lição 1.1). Um ponto visado por um ataque oportunista, como palavras-passe reutilizadas sem 2FA ou um site sem atualizações, tem uma probabilidade elevada. Um ponto que, se correr mal, paralisa toda a empresa, como uma cópia de segurança que não funciona, tem um impacto elevado.
2. Quanto esforço exige? Algumas medidas custam uma hora e nada mais, como ativar a autenticação de dois fatores ou combinar um procedimento de pagamento. Outras exigem semanas, como substituir todos os portáteis.
Coloque os pontos num esquema simples:
| Pouco esforço | Muito esforço | |
|---|---|---|
| Risco elevado | Fazer agora (esta semana) | Planear (este trimestre) |
| Risco baixo | Incluir quando for oportuno | Mais tarde ou aceitar conscientemente |
A regra é: rápido e barato primeiro, desde que o risco seja elevado. Na maioria das pequenas empresas, caem na coluna "fazer agora": a autenticação de dois fatores no e-mail e no banco (3), o procedimento de pagamento (6), ativar atualizações automáticas (12) e verificar se existe uma cópia da cópia de segurança fora de alcance (16).
Aceitar conscientemente
Um risco também pode ser aceite: decide não o resolver, porque o risco é pequeno ou os custos são demasiado elevados. É uma escolha válida, desde que a tome de forma consciente e a registe por escrito. "Esquecer" não é aceitação.
Um proprietário e uma data por ponto
Um plano sem nomes fica parado. Atribua a cada ponto:
- um proprietário: uma pessoa que garante que acontece. Não tem de ser quem executa a tarefa; a empresa de IT pode fazer o trabalho, mas alguém da sua própria empresa verifica se ficou concluído;
- uma data: quando tem de estar concluído;
- uma definição de concluído: como sabe que está feito? Não "ativar 2FA", mas sim "a 2FA está ativada nas cinco contas da lista, os códigos de recuperação estão no cofre".
Um exemplo de três linhas do plano da Padaria Exemplo:
| Ponto | Ação | Proprietário | Concluído em | Concluído quando |
|---|---|---|---|---|
| 3 | 2FA no e-mail, banco, contabilidade e registrar | Petra | daqui a 1 semana | Ativada nos quatro, códigos de recuperação no gestor de palavras-passe e em papel no cofre |
| 6 | Procedimento de pagamento em A4, discutido com o Joost e a Sanne | Petra | daqui a 2 semanas | A4 afixado junto ao escritório, ambos leram |
| 16 | Cópia semanal num disco que depois é guardado solto no cofre | Joost | daqui a 1 mês | Primeiras três semanas feitas, um ficheiro restaurado como teste |
Repetir
A segurança nunca está terminada. Surgem novos colaboradores, novos serviços, novos dispositivos e novos truques. Combine, por isso:
- todos os anos repetir a verificação completa, num mês fixo, e atualizar o plano;
- entretanto fazer a verificação em caso de grandes mudanças: um novo criador de sites, uma mudança de alojamento (hosting), uma nova contabilidade, um período de forte crescimento;
- depois de um incidente rever os pontos relacionados com o mesmo (lição 8.3).
Guarde o resultado de cada verificação. Assim, ao fim de um ano, verá por escrito o que melhorou, e terá uma resposta se um cliente perguntar como está a sua segurança. O centro nacional de cibersegurança também disponibiliza a sua própria verificação de cibersegurança para trabalhadores independentes e PME, que pode utilizar em complemento a esta lista; essa ferramenta gera uma lista de ações.
Resumo
- Uma medição inicial com vinte pontos fixos dá um retrato honesto; cada ponto remete para a lição onde o aprendeu.
- Uma parte (e-mail, site, domínio) pode ser verificada automaticamente, mas isso nada diz sobre os restantes pontos.
- Priorize com probabilidade x impacto e esforço: risco elevado com pouco esforço primeiro.
- Cada ponto do plano recebe um proprietário, uma data e uma definição de concluído; aceitar é permitido, mas de forma consciente e por escrito.
- Repita a verificação todos os anos e em caso de grandes mudanças, e guarde os resultados.
Questionário
Exercício
Exercício A9.3: A verificação automática do seu domínio. Introduza o seu próprio domínio. O programa verifica de uma vez só o e-mail (SPF, DKIM, DMARC), o site (https, certificado, redirecionamento, HSTS, cabeçalhos) e o domínio (nameservers, DNSSEC, data de validade) e mostra quais os pontos da verificação de segurança que estão verdes, laranjas ou vermelhos.
Exercício D9.3: A sua verificação de segurança e plano. Faça a verificação dos vinte pontos para a sua própria empresa. Depois, escolha pelo menos cinco pontos, coloque-os no esquema de risco e esforço, e crie um plano com um proprietário, uma data e uma definição de concluído para cada ponto. Marque na sua agenda quando vai repetir a verificação.
Exercício D9.3: A sua verificação de segurança e plano
É assim que deve proceder: (1) Percorra os vinte pontos da lição e preencha por ponto: sim, parcialmente ou não. Para os pontos 9, 10 e 11, use o resultado do A9.3 (o botão importa os pontos vermelhos e laranjas). (2) Coloque cada ponto com "parcialmente" ou "não" no esquema de risco (grande/pequeno) e esforço (pouco/muito). (3) Escolha pelo menos cinco pontos. Comece pelas caixas "risco grande, pouco esforço". (4) Atribua a cada ponto escolhido uma ação, um responsável, uma data e uma definição de concluído. (5) Escreva quais os pontos que aceita conscientemente, com a respetiva razão. (6) Marque na sua agenda um mês fixo para a próxima verificação completa, e escreva em que alterações vai voltar a verificar entretanto. (7) Guarde o resultado (o curso guarda a verificação preenchida se assim o desejar; apenas sim/parcialmente/não por ponto e o seu plano, sem outros dados).
As suas marcações e notas ficam apenas neste navegador; não as enviamos para lado nenhum. Se tiver sessão iniciada, guardamos em Os meus cursos apenas que concluiu o exercício.
Para saber mais
Os passos nos artigos da WebOké aplicam-se ao ambiente da WebOké; noutros fornecedores o funcionamento é semelhante.
- Manual do WebOké 5.17: Saúde do domínio e e-mail: verificar e resolver
- WebOké, Domínio / Verificação de saúde do e-mail (verificação pública): https://www.weboke.nl/pt/saude-do-dominio
- WebOké, Verificação de e-mail: https://www.weboke.nl/pt/verificar-email
- Internet.nl, teste o seu site e e-mail: https://internet.nl
- Centro nacional de cibersegurança, verificação de cibersegurança para trabalhadores independentes e PME: https://tools.ncsc.nl/cyberveilig-check/