Uma aplicação muda de servidor, um fornecedor encerra o contrato e uma liberação emergencial continua ativa depois do projeto. A operação segue funcionando, mas as decisões que sustentam sua proteção podem ter ficado para trás. Para quem lidera TI e Telecom, reconhecer esse descompasso ajuda a enxergar exposições que os chamados do dia a dia nem sempre revelam.
O checklist “10 Sinais de que sua Segurança está Reativa, não Viva”, escrito por Thiago Lima, Diretor Geral da TDSIS, e Ricardo Nunes, Engenheiro de Cibersegurança da empresa, reúne situações discutidas em conversas semanais sobre ambientes reais acompanhados pelos autores há mais de uma década. Os dez sinais e o bônus ajudam a avaliar como a segurança é conduzida na prática. Essa é a proposta de Segurança Viva: manter a proteção sob acompanhamento à medida que o ambiente e as necessidades do negócio mudam.
1. Políticas de firewall que não acompanham o ambiente
Depois de uma migração, as regras usadas pela aplicação antiga ainda fazem sentido? Um firewall pode continuar permitindo comunicações com servidores desativados ou fornecedores que já saíram do ambiente. A revisão das políticas começa pela comparação entre o que está autorizado e o que a empresa usa hoje.
Conferir a justificativa das regras e os fluxos que dependem delas evita tanto permissões esquecidas quanto remoções que causem indisponibilidade. Quando essa revisão integra a rotina de segurança, mudanças no negócio passam a ter consequências também sobre as configurações que o protegem.
2. Atualizações de firmware adiadas indefinidamente
O medo de interromper um equipamento crítico pode fazer a atualização de firmware ficar meses fora da agenda. A preocupação é legítima: uma nova versão pode alterar compatibilidade ou desempenho. Ainda assim, manter a versão atual também exige uma decisão sobre risco, especialmente quando há correções relevantes para aquele ambiente.
A gestão do ciclo de vida da tecnologia inclui consultar as orientações do fabricante, avaliar a urgência da correção e preparar a mudança. Testes compatíveis com a criticidade do equipamento, cópias de configuração e um plano de recuperação, com reversão quando suportada, dão mais segurança à execução. Após atualizar, é necessário confirmar a versão instalada e verificar se os serviços e controles continuam funcionando. O adiamento deixa de ser automático quando a equipe consegue justificar o prazo escolhido e acompanhar as exposições que permanecem até lá.
3. Permissões mais amplas do que a operação precisa
Uma aplicação que depende de uma porta específica não demanda, por esse motivo, uma liberação para qualquer serviço. O princípio do menor privilégio orienta o alcance da regra: quais origens, destinos e comunicações são necessários para aquela atividade? Essa definição exige conhecer os fluxos da aplicação e validar as restrições antes de colocá-las em produção. Uma autorização ampla pode funcionar tecnicamente e, ao mesmo tempo, abrir caminhos desnecessários. Documentar a necessidade atendida permite revisar esse alcance depois, inclusive quando a demanda foi resolvida por outra equipe.
4. Antivírus tratado como toda a proteção dos endpoints
Ter antivírus instalado não responde a uma pergunta importante: se houver uma atividade suspeita, a equipe conseguirá entender o que aconteceu e conter o problema? Soluções atuais podem combinar assinaturas e análise de comportamento. Já a capacidade de detecção e resposta nos endpoints, conhecida como EDR, amplia a visibilidade para investigar eventos em computadores e servidores, apoiando as medidas de contenção.
Esse recurso precisa chegar à rotina de quem opera o ambiente. Um alerta deve ter um responsável pela análise, e a equipe precisa saber quem pode autorizar o isolamento de uma máquina e como avaliar o impacto sobre o serviço. Sem essas definições, a empresa pode acumular informações sobre uma ameaça sem conseguir responder a tempo. A discussão sobre proteção dos endpoints envolve a ferramenta e a capacidade de usá-la quando necessário.
5. MFA ausente ou com lacunas de cobertura
O e-mail exige autenticação multifator (MFA), mas um acesso administrativo continua protegido apenas por senha. Esse tipo de diferença mostra por que ativar MFA em uma aplicação não encerra a avaliação. A gestão de identidade digital deve mapear os caminhos de acesso aos recursos sensíveis, incluindo acesso remoto e exceções concedidas ao longo do tempo.
Também importa avaliar qual método é utilizado. MFA resistente a phishing, como o que utiliza chaves de segurança compatíveis com FIDO2/WebAuthn, vincula a autenticação ao serviço legítimo e ajuda a impedir seu uso em páginas falsas. A cobertura e a força da autenticação devem ser consideradas juntas. Começar pelas contas privilegiadas e pelos acessos de maior impacto permite tratar as lacunas com uma prioridade clara.
6. Acessos que continuam ativos depois de perderem a finalidade
O desligamento de um colaborador ou o encerramento de um contrato deve acionar a revisão dos acessos associados àquela pessoa. Quando isso depende de um aviso informal, permissões podem sobreviver por meses à necessidade que as justificava. Além das contas, vale verificar sessões e outras credenciais que possam continuar válidas.
Contas de serviço e credenciais usadas por automações exigem outro cuidado. A saída de quem criou uma integração não significa que ela deixou de ser necessária. É preciso identificar o processo atendido, verificar suas dependências e definir quem assume a responsabilidade. Credenciais de integrações encerradas devem ser revogadas; as que continuam em uso precisam de privilégios compatíveis com sua função e de revisão periódica. Esse acompanhamento evita que pessoas e sistemas mantenham acessos apenas porque ninguém sabe mais quem deveria cuidar deles.
7. Contratos que deixam pouco espaço para prevenção
O valor cobrado por uma emergência, isoladamente, não revela a qualidade de um fornecedor. Urgência e complexidade podem justificar um atendimento mais caro. A avaliação deve alcançar o que a empresa contratou para os períodos entre incidentes. O escopo prevê revisão de configurações? Define como recomendações serão registradas e quem acompanhará sua execução?
Essas decisões de contratação influenciam o trabalho técnico disponível ao longo do mês. Se o contrato cobre apenas chamados, a expectativa de acompanhamento preventivo precisa ser discutida e traduzida em entregas claras. Também cabe definir o que depende do provedor e o que exige decisão ou execução da equipe interna. Isso permite avaliar a parceria por atividades acordadas e pelo andamento das melhorias.
8. Bloqueios que se acumulam sem revisão das permissões
Em uma política com bloqueio implícito, o tráfego sem uma permissão aplicável é negado, conforme a lógica da plataforma. Bloqueios explícitos também têm usos legítimos, como restringir um destino dentro de um conjunto de comunicações permitido. Sua existência, por si só, não comprova uma falha.
O sinal de atenção aparece quando novas restrições se acumulam para compensar uma liberação ampla que ninguém revisita. Cada exceção aumenta o esforço para entender o resultado da política. Nesse caso, convém investigar a permissão de origem, a precedência das regras e as dependências envolvidas antes de acrescentar outro bloqueio. A correção deve recuperar a clareza sobre quais comunicações a empresa quer autorizar.
9. Regras provisórias que permanecem por anos
Uma regra criada para um teste continua ativa quatro anos depois. Quem a solicitou já mudou de área e o chamado não informa quando ela deveria ser encerrada. Esse é o tipo de situação que torna arriscado mexer em algo aparentemente simples. Uma exceção temporária deve nascer com justificativa, responsável e data de revisão.
Ao chegar esse prazo, a equipe verifica se a necessidade terminou ou se a autorização precisa ser renovada, com motivo registrado. O questionamento das decisões antigas evita que a ausência de informação seja a única razão para manter uma permissão.
10. Uma rede que cresce sem segmentação efetiva
Novos servidores e dispositivos de terceiros entram na rede, mas continuam podendo se comunicar livremente com ativos que não precisam acessar. O comprometimento de um equipamento pode, então, abrir caminhos para outros. O tamanho da sub-rede, seja /24 ou maior, não basta para avaliar essa exposição. É necessário observar quais comunicações a arquitetura permite.
A segmentação da rede deve separar contextos e controlar os fluxos entre eles. Criar VLANs sem aplicar restrições de comunicação deixa parte do problema em aberto. Verificar, por exemplo, se um dispositivo de visitante consegue alcançar um servidor interno ajuda a confrontar o desenho planejado com o acesso real. As barreiras precisam funcionar onde o negócio exige contenção.
O bônus é avaliar a relação com o provedor
Quando foi a última conversa que sua empresa teve com o MSP, o provedor de serviços gerenciados, sobre uma mudança prevista no negócio? Se o contato só acontece quando a equipe já não consegue resolver um problema, informações importantes podem chegar tarde a quem acompanha a infraestrutura.
A presença técnica e humana se manifesta nessas trocas. A empresa compartilha projetos e dificuldades; o parceiro explica os riscos que identificou e ajuda a avaliar alternativas. Uma recomendação pendente merece ser retomada para entender se faltou orçamento, informação ou acordo sobre a solução. A frequência das reuniões, sozinha, diz pouco. O que dá valor à relação é o entendimento construído e sua continuidade nas decisões da operação.
O que os dez sinais mostram sobre Segurança Viva
Os sinais se relacionam. Um acesso não revogado pode conservar permissões excessivas. Se a rede também permite comunicações amplas, o alcance de um uso indevido pode aumentar. Observar essas relações ajuda a escolher por onde começar. A referência de quatro ou mais sinais presente no checklist é um convite para aprofundar a avaliação, não uma pontuação de segurança. Um único problema, conforme sua exposição e seu impacto, pode exigir atenção imediata.
Na TDSIS, Segurança Viva significa acompanhar essas decisões ao longo do tempo. Uma configuração adequada hoje pode precisar de ajustes após uma migração ou uma nova necessidade do cliente. A avaliação do ambiente permite reconhecer esse movimento e escolher melhorias que a equipe consiga sustentar. É assim que a Maturidade Evolutiva se torna prática: cada mudança parte do contexto conhecido e tem seu resultado verificado.
O checklist pode servir de pauta para uma revisão com quem conhece a operação. Para cada sinal reconhecido, vale registrar a evidência encontrada e definir o próximo encaminhamento, com responsável e prazo. Na conversa seguinte, a equipe verifica o que foi resolvido e o que ainda depende de uma decisão. Esse acompanhamento dá continuidade à prevenção mesmo quando os chamados urgentes voltam a ocupar a agenda.
Baixe o checklist completo na página da campanha e use a versão resumida dos dez sinais e do bônus na próxima revisão com sua equipe. O material ajuda a organizar essa conversa e identificar quais pontos do ambiente merecem uma análise mais próxima.