Segurança Essencial para Pequenos Negócios, Sem Rodeios

A maioria das pequenas empresas não precisa de um centro de operações de segurança. Precisa de cinco coisas feitas corretamente e prova de que foram feitas. Esse é todo o fundamento do Cyber Essentials, o esquema de certificação apoiado pelo governo do Reino Unido executado pelo IASME Consortium em nome do NCSC. É barato, é auto-avaliado no nível básico, e mapeia diretamente os ataques que realmente atingem pequenas organizações: phishing, roubo de credenciais, software sem patches, e firewalls mal configurados.

Os cinco controles, sem enchimento

Cyber Essentials verifica exatamente cinco áreas técnicas, e o questionário é construído em torno delas.

• Firewalls e roteadores — dispositivos de fronteira devem ter senhas padrão alteradas e serviços desnecessários fechados.
• Configuração segura — sem contas de administrador padrão ativas, sem software não utilizado nas máquinas, e recursos de execução automática desabilitados onde permitiriam malware executar sem um clique.
• Controle de acesso do usuário — contas devem seguir privilégio mínimo, direitos de administrador são separados de contas do dia a dia, e há um processo para remover acesso quando alguém sai.
• Proteção contra malware — cada dispositivo precisa de software anti-malware, allow-listing de aplicações, ou sandboxing, aplicado consistentemente, não só nas máquinas que alguém lembrou de configurar.
• Gerenciamento de atualizações de segurança — patches para vulnerabilidades altas ou críticas precisam ser aplicados em 14 dias após o lançamento, em sistemas operacionais, navegadores, e qualquer aplicação instalada que a empresa use.

Essa janela de 14 dias para patches é o que mais confunde as pessoas. Não é