Pense nas chaves da sua empresa. Você sabe quantas cópias existem, quem está com cada uma e quais já deveriam ter sido devolvidas? Agora imagine que uma dessas chaves estava com alguém de quem ninguém se lembrava mais, e que em menos de um dia alguém usou essa chave para entrar e esvaziar o escritório.

Foi mais ou menos isso que aconteceu com uma empresa que usava a nuvem da Microsoft. E o mais incômodo é que o problema começou por uma falha de organização, e não por um ataque de cinema.

No começo de junho, um grupo de criminosos digitais, que a Microsoft acompanha de perto, passou cerca de 18 horas dentro do ambiente de nuvem dessa empresa apagando sistemas, um atrás do outro. Pense na nuvem como um galpão alugado onde ficam os computadores, os arquivos e os programas que mantêm o negócio funcionando. Os invasores não arrombaram a porta do galpão: entraram com chaves legítimas.

E quem era o dono dessas chaves? Não era uma pessoa, eram os chamados "funcionários robôs". Toda empresa que usa sistemas na nuvem acaba criando contas automáticas, que funcionam como um robô contratado para fazer tarefas sozinho: gerar relatórios de madrugada, ligar um sistema ao outro, mover arquivos. Para trabalhar, esses robôs ganham crachá e chave de acesso. O problema é que muitas vezes eles recebem chave de todas as salas, mesmo precisando entrar só em uma. Depois ficam anos esquecidos, sem ninguém conferir o que podem fazer.

Os criminosos conseguiram pegar as credenciais de alguns desses robôs. Como as contas tinham permissão demais, deu para apagar recursos importantes sem chamar atenção logo de cara. Para o sistema, quem estava apagando tudo era só mais um robô fazendo o trabalho dele.

O que isso significa para sua empresa

O recado é de gestão, e não só técnico. Toda empresa que cresce vai acumulando acessos: o fornecedor que instalou o sistema e nunca teve o acesso retirado, o ex-funcionário que ainda tem senha de algum lugar, a integração criada às pressas três anos atrás e que ninguém sabe mais para que serve. Cada um desses acessos esquecidos é uma chave solta por aí.

Quando uma dessas chaves cai na mão errada, a conta chega rápido. Sistemas apagados significam vendas paradas, equipe de braços cruzados, clientes sem atendimento e dias, às vezes semanas, para colocar tudo de pé de novo. Isso sem falar no desgaste de explicar aos clientes por que a empresa sumiu do mapa.

A boa notícia é que boa parte da prevenção depende de decisões que você, como gestor, pode tomar sem entender nada de programação:

- Pedir um inventário de acessos: quem e o que tem acesso aos sistemas da empresa, incluindo esses robôs.

- Adotar a regra do "só o necessário": cada pessoa ou robô só entra onde precisa para fazer o seu trabalho.

- Revisar os acessos de tempos em tempos, do mesmo jeito que você revisa contratos e despesas.

- Ter um processo de saída: quando um funcionário ou fornecedor sai, os acessos dele saem junto, no mesmo dia.

- Definir quem é responsável por acompanhar isso. Se ninguém é dono do assunto, ele fica esquecido.

Não é preciso virar especialista. Basta tratar o acesso aos sistemas com o mesmo cuidado que você tem com a chave do cofre.

Vamos colocar ordem nas chaves da sua empresa?

Se você não sabe dizer com certeza quem tem acesso a quê na sua estrutura de TI, está na hora de olhar isso com calma. A equipe da ipHosting pode avaliar a infraestrutura da sua empresa, levantar os acessos que existem hoje e ajudar a montar uma rotina simples de controle, para que nenhuma chave esquecida vire um prejuízo. Fale com a gente e marque uma avaliação.