O CERT.br, grupo de resposta a incidentes de segurança mantido pelo NIC.br, dedica um fascículo da sua Cartilha de Segurança para Internet ao trabalho remoto, reunindo recomendações para reduzir os riscos de quem acessa sistemas e dados da empresa fora do escritório. Segundo a cartilha, o aumento do trabalho remoto ampliou o interesse de atacantes pelo ambiente doméstico do usuário, já que uma conta invadida ou um computador infectado em casa pode servir de porta de entrada para ataques contra toda a rede corporativa — prejudicando tanto a empresa quanto o próprio trabalhador.
Entre as recomendações, a cartilha destaca: seguir as políticas de segurança da empresa (e nunca tentar burlar controles para facilitar o trabalho); usar o computador corporativo somente para fins profissionais, sem instalar aplicativos não autorizados nem permitir uso por familiares; manter sistemas e aplicativos sempre atualizados; usar autenticação forte, com senhas únicas e verificação em duas etapas ativada, especialmente em VPN, webmail e serviços em nuvem; guardar senhas em um gerenciador dedicado, nunca salvas no navegador; manter antivírus, firewall pessoal e criptografia de disco ativos; e usar sempre a VPN da empresa ou conexões criptografadas para acessar sistemas corporativos.
O documento também chama atenção para o transporte de dados sensíveis — copiar informações de clientes para trabalhar de casa aumenta o risco de vazamento e pode ter implicações legais pela LGPD —, recomendando usar só os mecanismos de transferência aprovados pela empresa e apagar os dados assim que o uso terminar. Outros pontos incluem desconfiar de links e anexos em e-mails que não tenham relação direta com o trabalho ou tragam ofertas vantajosas demais, proteger a rede doméstica (atualizando o firmware do roteador e trocando senhas padrão) e ficar atento ao ambiente ao redor durante videochamadas e ao digitar credenciais em locais públicos.
Por que isso importa para uma PME brasileira: muitas pequenas e médias empresas brasileiras adotaram o home office ou o modelo híbrido sem atualizar suas políticas de segurança, deixando funcionários acessarem sistemas da empresa por redes domésticas sem os mesmos controles de uma rede corporativa — roteador com senha padrão, Wi-Fi compartilhado com a família, computador pessoal usado também para o trabalho. Isso cria um caminho mais fácil para um atacante comprometer uma única máquina doméstica e, a partir dela, alcançar sistemas, e-mails e dados de clientes da empresa, com o agravante de que um vazamento de dados pessoais nesse cenário pode gerar responsabilidade perante a LGPD.
O que fazer agora: revise (ou crie, se ainda não existir) uma política simples de trabalho remoto para a equipe, cobrindo pelo menos: uso exclusivo do equipamento de trabalho para fins profissionais, VPN obrigatória para acessar sistemas internos, autenticação em duas etapas ativada em e-mail e serviços de nuvem, e um canal claro para reportar suspeitas de phishing ou comportamento estranho no computador. Oriente a equipe a trocar a senha padrão do roteador doméstico e manter o firmware atualizado, e reforce que dados de clientes só devem ser transferidos pelos canais aprovados pela empresa — nunca por e-mail pessoal ou aplicativos de mensagens não corporativos.
Fonte primária: fascículo "Trabalho Remoto" da Cartilha de Segurança para Internet, CERT.br/NIC.br.
