Guia de segurança para empresas

Controles essenciais

Estes controles impedem ou limitam a grande maioria dos ataques de ransomware e de fraude que atingem empresas brasileiras.

• Autenticação multifator em todos os acessos remotos, e-mail, nuvem e contas administrativas
• Inventário atualizado dos sistemas expostos à internet e correção prioritária das falhas em exploração ativa
• Backups diários com pelo menos uma cópia offline ou imutável, e testes periódicos de restauração
• Contas de administrador separadas das contas de uso diário, com o mínimo de privilégios
• Proteção de estações e servidores com detecção e resposta (EDR) e alertas monitorados
• Segmentação da rede, para que um computador invadido não dê acesso a tudo
• Dupla aprovação para pagamentos e para mudança de dados bancários de fornecedores
• Registro (logs) de acessos guardado por tempo suficiente para investigar um incidente
• Treinamento recorrente das equipes com simulações de phishing e de deepfake
• Avaliação de segurança de fornecedores com acesso aos seus sistemas ou dados
• Plano de resposta a incidentes escrito, com contatos, responsáveis e exercícios anuais

Resposta a incidentes: as primeiras horas

1. Contenha

   Isole da rede os equipamentos afetados. Evite desligá-los, se possível, para preservar evidências na memória. Bloqueie contas comprometidas e revogue acessos remotos.

2. Acione os responsáveis

   Equipe de TI, empresa de resposta a incidentes, jurídico, encarregado de dados (DPO), diretoria e, se houver, a seguradora de risco cibernético, que costuma exigir aviso imediato.

3. Preserve evidências

   Guarde logs, notas de resgate, e-mails suspeitos e a linha do tempo dos fatos. Registre ocorrência na Polícia Civil ou na Polícia Federal, conforme o caso.

4. Avalie o impacto

   Quais sistemas e dados foram afetados? Houve dados pessoais? De quantas pessoas? Isso determina as obrigações legais e a comunicação.

5. Comunique com transparência

   Clientes, funcionários e parceiros devem ouvir a versão oficial da empresa antes de serem procurados por golpistas que se aproveitam do incidente.

6. Recupere e aprenda

   Restaure a partir de backups limpos, corrija a porta de entrada e revise os controles antes de voltar à operação normal.

Obrigações legais

• Instituições financeiras e de pagamento seguem as regras de segurança cibernética do Conselho Monetário Nacional e do Banco Central (Resolução CMN nº 4.893/2021 e Resolução BCB nº 85/2021), incluindo comunicação de incidentes relevantes ao Banco Central.
• Órgãos públicos federais devem notificar o CTIR Gov.
• Empresas de capital aberto devem avaliar a necessidade de fato relevante ao mercado.
• Notifique também o CERT.br, que ajuda na coordenação de incidentes envolvendo redes brasileiras.

Esta seção é informativa. Consulte sempre o seu jurídico para o caso concreto.

Pagar o resgate?

Autoridades de vários países recomendam não pagar. O pagamento não garante a recuperação dos dados nem a exclusão das cópias roubadas, financia novos ataques e pode tornar a empresa alvo de novas extorsões. Além disso, pode haver implicações legais caso o grupo esteja sujeito a sanções internacionais. A melhor proteção contra essa decisão é ter backups que funcionem.

Para saber quais falhas exigem correção imediata, acompanhe a página de vulnerabilidades em exploração.