Os básicos que falham primeiro (e a pergunta que quase nenhum líder faz)

A pergunta antes das ferramentas

Há algo curioso nas conversas sobre cibersegurança: fala-se de firewalls, antivírus, backups, acessos, auditorias… mas raramente se fala disto: "o que é que realmente estou a tentar proteger?"

Muitas empresas investem em tecnologia sem responder a esta pergunta básica. É como comprar fechaduras caras sem saber o que está dentro de casa. E quando finalmente param para pensar, descobrem que o risco não está onde imaginavam: não está apenas nos servidores, nem apenas nos emails. Está nas dependências invisíveis, nos processos improvisados e nas certezas que nunca foram testadas.

O teste de um minuto

Há uma segunda pergunta que quase ninguém faz: "se amanhã algo avariar… conseguimos continuar a trabalhar?" É aqui que muita gente conhece a sua empresa pela primeira vez:

• O servidor afinal está numa sala que ninguém abre;
• A pessoa que "sabia tudo" já não está na empresa;
• Os acessos não estão documentados;
• As passwords estão num papel algures;
• O backup existe… mas ninguém sabe repô-lo.

Não é tecnologia complicada. É o básico que falha. E quando falha, não é um problema técnico: é operação parada, faturação parada, clientes à espera.

A regra dos 3 P's da password

Quase todos os ataques começam no sítio mais banal: uma password fraca, repetida ou partilhada "só desta vez". A regra dos 3 P's resume o essencial:

• Poderosa — longa e difícil de adivinhar; frases completas funcionam melhor do que combinações óbvias;
• Privada — a password é individual; não se partilha com colegas nem fornecedores "para agilizar";
• Periódica — serviços diferentes exigem passwords diferentes, para que um comprometido não arraste os restantes.

As melhores defesas falham se a porta da frente estiver aberta. E a porta chama-se password.

E a porta do vizinho?

Um detalhe final que apanha empresas bem protegidas: o ataque pode nem ser à sua empresa. Um fornecedor é atacado, ou um cliente com quem fala todas as semanas — e dias depois começam a circular emails "perfeitos", com nomes reais, projetos verdadeiros e linguagem interna. Parecem legítimos porque vêm de alguém em quem já confia. Hoje a exposição é partilhada: se um parceiro cai, todos ficam mais vulneráveis. A segurança não termina na fronteira da empresa.

A maturidade em cibersegurança não começa na tecnologia. Começa na coragem de olhar para dentro — sem desculpas, sem suposições, sem "isso está controlado". Se amanhã algo falhasse, sabe exatamente o que está em risco?