A segurança da informação da sua empresa começa no firewall… ou na recepção?

Quando falamos em segurança da informação, é comum pensar primeiro em firewall, antivírus, criptografia, controle de acessos e sistemas de monitoramento. Esses recursos são importantes.

Mas existe uma camada de proteção que muitas vezes recebe menos atenção: o ambiente físico onde as informações entram, circulam e são descartadas. E, em muitas empresas, esse ambiente começa na recepção.

É ali que visitantes são identificados, documentos são entregues, chamadas são recebidas, encomendas chegam e informações são compartilhadas diariamente.

A recepção pode parecer apenas um espaço administrativo e de atendimento. Mas, do ponto de vista da segurança e da privacidade, ela pode representar um verdadeiro ponto de exposição de informações.

O perímetro da empresa não começa na rede

Uma pessoa que chega à recepção pode ter contato com diferentes tipos de informação antes mesmo de acessar qualquer sistema.

• Pode visualizar uma tela aberta.

• Encontrar um documento sobre uma mesa.

• Ouvir uma conversa.

• Observar crachás, nomes de clientes ou fornecedores.

• Entregar um documento contendo dados pessoais.

• Perguntar sobre determinado colaborador.

Em outras palavras, existem situações em que não é necessário invadir um sistema para obter uma informação que deveria estar protegida. Esse é um dos motivos pelos quais segurança física e segurança da informação precisam ser tratadas de maneira integrada.

A proteção não termina na porta do servidor.

Ela também precisa considerar o que acontece antes que um dado chegue ao sistema — e depois que ele deixa de ser necessário.

Controle de acesso começa antes da catraca

O controle de acesso não deve ser entendido apenas como uma questão de crachá ou biometria. A primeira camada pode estar justamente na recepção.

Algumas perguntas ajudam a avaliar esse processo:

• Visitantes são identificados?

• Existe registro quando necessário?

• A pessoa sabe quem irá atendê-la?

• Há acompanhamento durante a permanência em áreas restritas?

• Visitantes conseguem circular livremente pelas instalações?

• Prestadores de serviço possuem acesso compatível com a atividade realizada?

O objetivo não é transformar a recepção em uma barreira hostil.

Pelo contrário.

Um bom controle de acesso precisa equilibrar segurança e experiência.

É possível receber clientes, fornecedores e visitantes de maneira cordial sem abrir mão dos controles necessários para proteger pessoas, ambientes e informações.

Uma tela exposta também pode ser uma exposição de dados

Imagine uma pessoa aguardando atendimento e, a poucos metros dela, um computador permanece desbloqueado.

Na tela, aparecem:

• nomes de clientes;

• números de telefone;

• endereços;

• e-mails;

• informações financeiras;

• documentos;

• registros de atendimento.

Nenhum sistema foi invadido.

Nenhuma senha foi descoberta.

Nenhum malware foi instalado.

Ainda assim, informações podem ter sido visualizadas por alguém que não deveria ter acesso a elas.

Por isso, práticas aparentemente simples continuam sendo importantes:

bloquear a tela ao se afastar;

evitar deixar documentos expostos;

organizar o espaço de trabalho;

posicionar monitores de maneira adequada;

restringir o acesso a informações que não precisam estar visíveis.

A chamada política de mesa limpa e tela limpa não é apenas uma recomendação estética.

Ela é uma medida de redução de exposição.

Engenharia social também acontece no balcão

Nem toda tentativa de obtenção indevida de informação chega por e-mail.

Alguém pode aparecer pessoalmente e fazer perguntas aparentemente inocentes:

“O responsável pelo financeiro está?”

“Ele trabalha hoje?”

“Qual é o ramal dele?”

“Você pode confirmar o telefone desse cliente?”

“Preciso deixar este documento com alguém do setor.”

O problema não está necessariamente na pergunta. Está na possibilidade de a informação fornecida ser utilizada posteriormente para construir uma fraude mais sofisticada.

Por isso, a equipe da recepção precisa saber diferenciar atendimento de autorização para fornecer informações.

Quando houver dúvida, o caminho mais seguro é validar a identidade, confirmar a necessidade da solicitação e consultar o responsável adequado antes de compartilhar informações.

E existe outro cuidado importante: informações pessoais ou corporativas não devem ser discutidas em voz alta sem necessidade.

Uma conversa sobre um cliente, colaborador ou situação interna pode ser ouvida por outras pessoas que estejam aguardando atendimento.

Privacidade também envolve aquilo que é falado.

O documento não deixa de ser sensível quando sai da mesa

Existe uma etapa frequentemente esquecida na proteção da informação: o descarte.

Um documento impresso pode conter dados pessoais, informações financeiras, contratos, relatórios ou informações estratégicas.

Quando deixa de ser necessário, simplesmente colocá-lo no lixo comum pode não ser suficiente.

Dependendo da sensibilidade e das políticas da organização, podem ser necessários procedimentos específicos para descarte, como:

• fragmentação segura de documentos;

• coleta controlada;

• descarte realizado por fornecedor adequado;

• eliminação segura de mídias;

• registro ou rastreabilidade quando aplicável.

  
  

Isso faz parte do ciclo de vida da informação.

Proteger um dado também significa saber como eliminá-lo corretamente quando ele não precisa mais ser mantido.

E onde a LGPD entra nessa história?

Dados pessoais podem existir em diferentes formatos e ambientes: sistemas, e-mails, planilhas, documentos físicos, formulários, registros de atendimento e outros meios.

Por isso, uma organização que busca proteger dados pessoais precisa olhar para o tratamento de forma ampla.

Na recepção, isso pode envolver, por exemplo:

• coleta de nome e documento de visitantes;

• registros de entrada e saída;

• contatos telefônicos;

• correspondências;

• documentos entregues fisicamente;

• imagens captadas por sistemas de monitoramento;

• informações fornecidas durante o atendimento.

  
  

Cada tratamento deve ter uma finalidade adequada e controles compatíveis com os riscos envolvidos.

Uma política de segurança da informação pode ser tecnicamente excelente. Mas, se ela não chegar aos profissionais que trabalham na recepção, uma parte importante do ambiente corporativo continuará sem orientação adequada.

Isso significa incluir essas equipes em ações como:

• treinamentos de segurança e privacidade;

• orientações sobre identificação de visitantes;

• procedimentos para situações suspeitas;

• regras de acesso a informações;

• cuidados com documentos físicos;

• proteção de telas;

• descarte seguro;

• procedimentos para comunicação de incidentes.

E o treinamento precisa considerar situações reais da função. Não basta explicar conceitos abstratos de cibersegurança.

É necessário responder perguntas práticas:

O que faço se alguém pedir informações sobre um colaborador?

Como procedo se um visitante tentar acessar uma área restrita?

O que faço se encontrar um documento confidencial na recepção?

Para quem devo comunicar uma situação suspeita?

Quanto mais claros forem os procedimentos, menor a dependência de decisões improvisadas.

No fim, proteger informação é proteger confiança

Cada nome, telefone, documento ou informação recebida pela empresa representa mais do que um conjunto de caracteres em uma tela ou uma folha de papel.

Existe uma pessoa por trás daquele dado.

E existe uma expectativa de que a organização trate aquela informação com responsabilidade.

Por isso, a segurança da informação não começa necessariamente no firewall.

Ela começa no primeiro contato com a empresa.

Pode começar na recepção.

Pode estar na forma como um visitante é atendido, como uma tela é protegida, como uma informação é respondida ou como um documento é descartado.

Pequenos cuidados no ambiente físico podem evitar exposições que nenhuma ferramenta tecnológica conseguiria impedir depois que acontecessem.

Segurança da informação é proteger o dado durante todo o seu ciclo — inclusive quando ele ainda está sobre o balcão.