O software de gestão guarda aquilo que faz a sua empresa funcionar: clientes, encomendas, faturas, stock, trabalhadores. Se um dia esses dados desaparecerem, forem cifrados por um ataque ou ficarem à vista de quem não deve, o problema deixa de ser informático: passa a ser de negócio. Este artigo analisa as medidas básicas para proteger esses dados e, sobretudo, como verificar que as cópias de segurança servem mesmo.
O que pode correr mal
Convém saber do que se está a proteger, porque cada risco exige uma medida diferente:
| Risco | Exemplo | Medida principal |
|---|---|---|
| Avaria | Falha o disco do servidor do escritório | Cópias noutro dispositivo e noutro local |
| Erro humano | Alguém apaga um exercício ou substitui uma tarifa | Cópias com várias versões anteriores |
| Ataque de sequestro de dados | Um programa malicioso cifra os ficheiros e exige um resgate | Cópias desligadas ou que não possam ser modificadas |
| Roubo ou perda | Perde-se um portátil ou um telemóvel com acesso ao software | Palavras-passe, cifragem e bloqueio de acessos |
| Acesso indevido | Um antigo colaborador continua a entrar com o seu utilizador | Gestão de utilizadores e permissões |
| Desastre no escritório | Incêndio, inundação | Cópia fora das instalações |
Cópias de segurança que se podem recuperar
Uma cópia que nunca se testou recuperar é uma esperança, não uma cópia. Estas são as perguntas a que deve saber responder:
- O que se copia? A base de dados do software, mas também os documentos anexos, os modelos, a configuração e o necessário para reinstalar.
- Com que frequência? Pense em quanto trabalho pode dar-se ao luxo de perder. Se a resposta for «nada de um dia», a cópia tem de ser, pelo menos, diária.
- Onde? Uma prática muito difundida é ter várias cópias, em suportes diferentes e pelo menos uma fora do escritório. Assim, uma avaria, um roubo ou um incêndio não levam tudo de uma só vez.
- Quantas versões? Se só guardar a cópia da noite anterior e o erro ocorreu há uma semana, a cópia também o contém.
- Está protegida? Um disco ligado permanentemente ao servidor pode ser cifrado no mesmo ataque. Pelo menos uma cópia deve estar desligada ou protegida contra alterações.
- Quem a verifica? Alguém tem de confirmar que foi feita e que não deu erro.
- Já se testou a recuperação? De tempos a tempos, restaure uma cópia num equipamento de testes e confirme que o software arranca e que os dados lá estão.
Se o software estiver na nuvem, não parta do princípio de que as cópias estão incluídas. Pergunte ao fornecedor quais faz, durante quanto tempo as guarda, se pode pedir uma cópia dos seus dados e em quanto tempo as podem restaurar.
Quem entra e o que pode fazer
Muitos problemas não vêm do exterior, mas de acessos mal geridos:
- Um utilizador por pessoa. Nada de utilizadores partilhados como «armazem» ou «escritorio». Se não souber quem fez uma alteração, não pode corrigir a origem.
- Permissões consoante o cargo. Quem faz encomendas não precisa de ver salários; quem fatura não precisa de apagar clientes.
- Palavras-passe robustas e, se o software o permitir, verificação em dois passos, sobretudo para acessos a partir de fora do escritório.
- Entradas e saídas atualizadas. Quando alguém sai da empresa, o seu acesso é encerrado nesse mesmo dia, também no telemóvel.
- Revisão periódica. Reveja a lista de utilizadores de vez em quando. Costumam surgir surpresas.
Atualizações e equipamentos
Os ataques aproveitam com frequência falhas conhecidas que já têm solução. Mantenha atualizados o sistema operativo dos servidores e dos computadores, o próprio software de gestão, os navegadores e os telemóveis que acedem a ele. Um equipamento que já não recebe atualizações de segurança não deveria ter acesso aos dados da empresa. O Instituto Nacional de Ciberseguridad (INCIBE, instituto espanhol de cibersegurança) publica no seu site guias e recursos gratuitos de segurança para empresas que servem como ponto de partida.
O que diz a legislação de proteção de dados
Se o software guarda dados pessoais de clientes, fornecedores ou trabalhadores, o que é o normal, aplica-se o Regulamento Geral de Proteção de Dados (Regulamento (UE) 2016/679), complementado em Espanha pela Ley Orgánica 3/2018 (lei orgânica espanhola de proteção de dados pessoais). Dois artigos têm relação direta com este tema:
- Artigo 32.º, segurança do tratamento. Obriga a aplicar medidas técnicas e organizativas adequadas ao risco, e menciona expressamente a capacidade de restabelecer a disponibilidade e o acesso aos dados de forma rápida em caso de incidente, bem como a verificação periódica da eficácia das medidas. Ou seja, cópias que funcionem e que sejam verificadas.
- Artigo 33.º, notificação de violações de segurança. Se houver uma violação que afete dados pessoais e implique um risco para as pessoas, deve ser notificada à autoridade de controlo (em Espanha, a Agencia Española de Protección de Datos) sem demora injustificada e, sempre que possível, no prazo de 72 horas após ter tido conhecimento da mesma.
A Agencia Española de Protección de Datos tem no seu site guias e ferramentas para pequenas e médias empresas. Se o seu caso for complexo, consulte um especialista.
Se algo falhar: um plano simples
Não é preciso um documento de cem páginas. Basta uma folha que responda a:
- A quem se liga primeiro: o fornecedor do software, o de sistemas, a direção.
- Onde estão as cópias e quem sabe restaurá-las.
- Como se continua a trabalhar entretanto: nem que seja em papel durante algumas horas.
- Quem decide se é necessário notificar uma violação de dados pessoais.
- Como se avisam clientes ou trabalhadores, se forem afetados.
Guarde essa folha também fora do computador, porque se o problema for o computador não a poderá abrir.
Como o fazemos na Infonet
Na Infonet Consultores concebemos, desenvolvemos e mantemos aplicações de gestão e, após a instalação, continuamos a prestar assistência direta com a mesma equipa que as desenvolveu. As nossas aplicações funcionam na nuvem e também nos encarregamos da adaptação e implementação do RGPD e da manutenção informática com resposta imediata. Se está a pensar num software novo, veja como trabalhamos em desenvolvimento de software à medida ou conheça a equipa em empresa de software em Huelva.
