Segurança no trabalho remoto: cuidados para acessar os recursos da empresa

O dispositivo também faz parte da proteção

Uma conta corporativa não controla, sozinha, tudo o que acontece no computador usado para acessá-la. Antes de liberar o trabalho remoto, combine quem configura o equipamento, mantém as atualizações e presta suporte. Se o computador for pessoal, a empresa precisa definir o que pode ser acessado e quais condições devem ser atendidas.

Por exemplo: baixar um documento para uma máquina compartilhada com outras pessoas cria uma situação diferente de consultá-lo em um equipamento de uso exclusivo. Considere onde o arquivo ficará, quem poderá abrir a sessão e se existe uma forma autorizada de separar o trabalho do uso pessoal.

Atualizações e uso diário

Mantenha sistema e aplicações atualizados pelo procedimento indicado, bloqueie a sessão ao se afastar e evite instalar ferramentas recebidas por links sem confirmação. Se uma atualização impedir o trabalho ou o dispositivo apresentar comportamento incomum, comunique o suporte em vez de desativar proteções para continuar.

Contas, senhas e MFA precisam acompanhar o acesso

Use contas individuais, senhas fortes e diferentes entre serviços e autenticação multifator (MFA) quando disponível e prevista para aquele acesso. Não compartilhe códigos nem aprove uma solicitação de autenticação que você não iniciou. O CERT.br orienta o uso de autenticação forte no trabalho remoto; ela reduz riscos, mas não elimina os demais cuidados.

Também combine como recuperar o acesso se o segundo fator ficar indisponível. Isso deve passar pelo canal definido pela empresa, sem emprestar a conta de um colega. Quando uma pessoa muda de função ou sai da empresa, é preciso revisar permissões e sessões: veja os cuidados com acessos de funcionários desligados.

A conexão precisa servir ao trabalho sem criar outro caminho

Em casa ou em outro local, identifique a rede utilizada e evite tratar uma conexão desconhecida como equivalente à rede do escritório. Não altere o roteador nem a configuração corporativa por tentativa. Se o acesso falhar, informe ao suporte onde está conectado e qual sistema tentou abrir.

VPN quando o ambiente exigir

Alguns recursos internos podem exigir uma VPN ou outra solução de acesso remoto aprovada. Isso depende da arquitetura e do serviço: nem toda aplicação em nuvem precisa de VPN, e ter uma VPN não torna qualquer dispositivo confiável. Use o perfil e as instruções fornecidos pela empresa, sem criar acesso direto à máquina ou ao servidor por conta própria. O artigo sobre VPN para empresas aprofunda quando esse recurso faz sentido.

Ferramentas de controle remoto também precisam de autorização e de uma finalidade clara. Um pedido inesperado para instalar um programa e entregar o controle do computador deve ser confirmado por um canal conhecido antes de prosseguir.

Dados corporativos devem continuar no ambiente combinado

Usar e-mail pessoal, armazenamento particular ou links abertos para contornar uma dificuldade pode deixar a empresa sem controle sobre cópias e permissões. Prefira o local corporativo definido e compartilhe apenas com as pessoas que precisam participar do trabalho.

Se for necessário baixar arquivos ou trabalhar sem conexão, combine antes como serão guardados e devolvidos ao ambiente da empresa. Uma cópia isolada no notebook não substitui uma política de proteção. Backup e sincronização têm objetivos diferentes; a possibilidade de recuperar dados precisa ser verificada, não presumida porque eles aparecem em mais de um dispositivo.

Uma mensagem suspeita merece confirmação, não pressa

Phishing pode tentar induzir a pessoa a abrir um arquivo, informar credenciais ou autorizar uma ação. Um nome conhecido, uma marca no e-mail ou um tom urgente não confirmam a origem. Diante de um pedido fora do padrão, confira com o remetente por um contato que você já conhece, sem usar apenas o telefone ou link da própria mensagem.

Se você clicou, informou uma senha ou percebeu um acesso que não reconhece, comunique o suporte pelo canal definido. Descreva o horário, o serviço e a ação realizada; preserve a mensagem quando possível e siga as orientações recebidas. Não envie senhas ou códigos na tentativa de explicar o problema. A resposta técnica dependerá do ocorrido e do ambiente.

O que conferir antes de acessar os recursos da empresa

• O equipamento está autorizado e as atualizações estão sendo acompanhadas?
• A conta é individual e o segundo fator está disponível quando exigido?
• Você conhece o endereço e a ferramenta de acesso aprovados?
• Os arquivos serão guardados no local corporativo definido?
• O compartilhamento atende somente às pessoas envolvidas?
• Você sabe a quem comunicar um pedido estranho ou acesso suspeito?

Essas perguntas ajudam a organizar o trabalho, mas não certificam segurança. Regras de acesso, configuração e suporte devem ser compatíveis com os recursos que a empresa realmente utiliza.