Uma empresa de segurança privada guarda material que vale muito para quem quer entrar onde não deve: plantas de instalações, localização de cofres e salas técnicas, códigos e procedimentos de alarme, horários de rondas, escalas com nomes e telemóveis, chaves de acesso e contactos dos responsáveis de cada cliente. Tudo isso costuma estar espalhado por caixas de correio, folhas de cálculo, grupos de mensagens e computadores portáteis que saem do escritório — e é por isso que a cibersegurança de empresa de segurança privada não é um assunto adiável para quando houver tempo.
O ponto incómodo é este: uma empresa que vende proteção física é julgada com muito mais severidade quando a falha é informática. Um cliente perdoa uma câmara avariada; não perdoa saber que a planta das suas instalações andou a circular num grupo de telemóveis. Isto não é matéria para um departamento informático que não existe: é parte do serviço.
Cibersegurança de empresa de segurança privada: por onde entram na prática
Quase nunca há um ataque sofisticado. Há três portas repetidas.
Contas com palavras-passe fracas ou repetidas. A mesma palavra-passe do escritório usada num serviço qualquer que sofreu uma fuga. Alguém experimenta essa combinação no correio da empresa e entra. A partir daí lê contratos, plantas e faturas sem fazer barulho.
Equipamento instalado com credenciais de fábrica. Gravadores, câmaras, painéis de alarme e routers instalados à pressa e nunca reconfigurados. Muitos ficam acessíveis a partir do exterior porque foi preciso «ver as imagens de casa». É a forma mais direta de entregar a instalação do cliente a quem a procure.
Correio fraudulento dirigido a quem paga. Não é o correio genérico com erros. É uma mensagem que imita um fornecedor conhecido, no momento certo do mês, a comunicar uma alteração de dados bancários. Chega a quem processa pagamentos e é escrita em português correto, muitas vezes depois de alguém ter estado a ler a caixa de correio da empresa durante semanas.
A higiene mínima que faz diferença
Não é preciso um programa de segurança informática de grande empresa. É preciso fazer bem meia dúzia de coisas.
Contas nominais, sempre
Ninguém partilha credenciais. Cada pessoa tem a sua conta, com o seu nome, e os acessos correspondem ao que faz. Uma conta partilhada entre operadores de central significa que, quando algo corre mal, é impossível saber quem consultou o quê. Significa também que ninguém pode ser retirado do sistema quando sai da empresa sem incomodar todos os outros.
Dupla verificação onde dói
A dupla verificação no correio eletrónico e nas ferramentas de gestão é a medida que mais protege por menos esforço. Com ela, uma palavra-passe roubada deixa de chegar para entrar. Deve ser obrigatória para a gerência, para quem trata de pagamentos e para quem administra os sistemas.
Saídas tratadas no mesmo dia
O maior risco silencioso é a conta de quem já saiu. Quando um colaborador deixa a empresa, as contas fecham-se nesse dia, os acessos ao portal do cliente são revistos e as chaves e cartões são devolvidos e registados. Ligar a saída de pessoal à retirada de acessos, e não à boa vontade de alguém se lembrar, é uma decisão de organização, não de tecnologia.
Cópias de segurança que já foram testadas
Uma cópia que nunca foi restaurada não é uma cópia: é uma esperança. Convém ter cópias em mais do que um sítio, uma delas fora do alcance do dia a dia, e experimentar uma reposição de vez em quando. O momento errado para descobrir que a cópia estava vazia é o dia em que se precisa dela.
Equipamento configurado, não apenas instalado
Alterar todas as credenciais de fábrica, atualizar o equipamento, não expor gravadores diretamente à internet e manter uma lista simples de que equipamento está instalado em cada cliente, com quem lhe acede. Essa lista é aborrecida de fazer e vale ouro quando é preciso reagir depressa.
Menos WhatsApp, mais sistema
Uma parte enorme da informação sensível circula por mensagens pessoais porque é cómodo. O problema é que essa informação fica nos telemóveis de toda a gente, incluindo os de quem já saiu, e não deixa rasto verificável. Quando as instruções de posto, as ocorrências e as escalas vivem numa ferramenta com contas nominais e histórico, a informação deixa de andar solta.
Informação operacional concentrada num único sítio, com contas nominais, em vez de dispersa por grupos de mensagens.
Os dados que a empresa tem de terceiros
Além dos dados dos clientes, a empresa guarda dados dos seus vigilantes: morada, documentos, dados bancários, fotografias, por vezes dados de saúde relacionados com ausências. Perder isso é grave e tem consequências próprias.
Duas regras simples reduzem muito o risco. A primeira é não guardar o que não é preciso: cópias de documentos que se pediram «por precaução» e nunca mais foram usadas são passivo puro. A segunda é limitar quem vê o quê — um coordenador de operações não precisa de aceder a dados bancários para montar uma escala.
Nesta matéria, o enquadramento de proteção de dados impõe deveres que variam consoante o tipo de dados e o contexto, e é interpretado de forma diferente conforme o caso. A configuração concreta deve ser validada com a autoridade competente e com assessoria jurídica. Este texto não é assessoria jurídica.
Quando a informação está organizada, protegê-la é mais fácil
Há uma relação direta entre desorganização e exposição. Se as instruções de posto estão em ficheiros dispersos, cada supervisor guarda a sua cópia. Se as ocorrências se escrevem num caderno e depois se fotografam, a fotografia fica no telemóvel de quem a tirou. Se a escala se envia por mensagem, circula sem controlo.
Concentrar a operação numa ferramenta única não é só eficiência: reduz o número de cópias soltas. As ocorrências passam a viver no livro de ocorrências digital, com autor e hora; as escalas de serviço deixam de andar em mensagens; e o cliente consulta o que lhe diz respeito no portal do cliente, em vez de receber relatórios por correio eletrónico que ficam guardados em caixas que ninguém controla.
Cada ocorrência com autor identificado: menos fotografias de cadernos a circular em telemóveis pessoais.
Um plano para quando correr mal
Vale mais uma página bem feita do que um manual que ninguém lê. Essa página responde a quatro perguntas: quem se avisa primeiro, quem fala com os clientes afetados, o que se desliga de imediato e onde estão as cópias de segurança. Deve estar acessível em papel — porque, se o problema for informático, o documento guardado no sistema pode não estar disponível.
Convém ainda combinar antecipadamente com o cliente como se comunica um incidente que possa afetar as instalações dele. Descobrir isso no meio da confusão é a receita para uma má decisão.
Perguntas frequentes
Por onde começar se não há ninguém dedicado a isto? Por três medidas: dupla verificação no correio eletrónico, contas nominais em vez de partilhadas e uma cópia de segurança testada. São as que evitam mais danos com menos esforço.
As câmaras instaladas nos clientes são responsabilidade de quem? Depende do contrato, e é precisamente por isso que deve estar escrito. Se a empresa instalou ou administra o equipamento, é razoável que o cliente espere que as credenciais tenham sido alteradas e que o equipamento seja atualizado.
Vale a pena um seguro? Pode fazer sentido, mas não substitui as medidas básicas. Um seguro cobre parte do prejuízo financeiro; não devolve a confiança de um cliente cuja planta foi divulgada.
Como se reconhece uma tentativa de fraude nos pagamentos? Pela pressa e pela alteração de dados bancários. A regra de ouro é confirmar sempre qualquer mudança de conta por um canal diferente daquele em que o pedido chegou, com um contacto que já se tinha antes.
Se quiser tirar a operação dos grupos de mensagens e concentrá-la num sítio com contas nominais e histórico, mostramos-lhe como fica.