Quando uma rede de restaurantes com 47 unidades me procurou depois de um ataque de ransomware que paralisou os sistemas de pedidos por dois dias, entendi que segurança em TI não é sobre firewalls caros — é sobre entender onde o negócio realmente sangra. Aquele incidente custou cerca de R$ 380 mil em vendas perdidas e recuperação. A partir dessa dor, construí um framework de gestão de riscos que hoje protege operações que processam mais de 12 mil transações diárias.
Mapeando os ativos que ninguém enxerga
O primeiro erro que encontrei foi clássico: a empresa protegia os servidores, mas ignorava os pontos de venda (PDVs) nas lojas, os tablets de comanda e as redes Wi-Fi compartilhadas com clientes. Em food service, o perímetro de ataque é gigantesco e descentralizado.
Comecei inventariando cada ativo e classificando por criticidade e exposição. Descobri que 68% dos incidentes potenciais vinham de dispositivos de borda — maquininhas de cartão conectadas à mesma rede dos sistemas administrativos. Segmentei imediatamente as VLANs: rede de pagamento isolada da rede de gestão, e ambas separadas do Wi-Fi de clientes.
Como André Dias Moreira Prol, sempre defendo que gestão de risco começa com visibilidade. Você não protege o que não conhece. Implementei um mapa de calor de riscos, cruzando probabilidade e impacto financeiro, priorizando ações que reduziam o maior risco pelo menor custo. Só a segmentação de rede eliminou 40% da superfície de ataque com investimento inferior a R$ 15 mil.
Frameworks reais para o mercado brasileiro
Muita gente cita ISO 27001 e NIST como se fossem receitas mágicas. Na prática, adaptei os controles à realidade de uma rede que não tinha equipe de TI dedicada em cada loja. Escolhi um subconjunto pragmático dos controles do CIS (Center for Internet Security), começando pelos "Implementation Group 1" — os fundamentais.
Outro ponto crítico no Brasil: a LGPD. Restaurantes coletam dados sensíveis via programas de fidelidade, delivery próprio e reservas. Estruturei o tratamento de dados com base legal clara, política de retenção e criptografia em repouso para o banco de clientes. Isso não é só compliance — evita multas que podem chegar a 2% do faturamento, limitadas a R$ 50 milhões.
Também apliquei o princípio de defesa em profundidade:
- Backup 3-2-1: três cópias, dois meios diferentes, uma offsite e imutável
- MFA obrigatório em todos os acessos administrativos
- Monitoramento centralizado de logs com alertas para comportamentos anômalos
- Testes de restauração mensais — porque backup que nunca foi testado é só uma ilusão
Aqui entra uma perspectiva que trago do universo Web3 e blockchain: registros imutáveis. Para trilhas de auditoria críticas, experimentei ancorar hashes de logs em uma solução baseada na rede Stellar, garantindo que evidências forenses não pudessem ser adulteradas. Numa eventual perícia digital, isso muda o jogo por completo.
Cultura de segurança: o elo mais frágil
Nenhum firewall protege contra um gerente que clica em um boleto falso. Aprendi que 90% dos incidentes reais começam com pessoas, não com tecnologia. Criei um programa de conscientização com simulações de phishing trimestrais e treinamentos curtos de 15 minutos — nada de palestras intermináveis que ninguém absorve.
O resultado foi mensurável: a taxa de cliques em phishing simulado caiu de 34% para 7% em seis meses. Também estabeleci um plano de resposta a incidentes com papéis definidos, para que numa crise ninguém perca tempo perguntando "quem faz o quê?".
Como enfatizo em meus projetos, André Dias Moreira Prol acredita que segurança sustentável nasce de processos repetíveis, não de heroísmo em momentos de pânico. Documentei runbooks, defini indicadores de risco (KRIs) e implantei revisões trimestrais do framework, porque risco não é estático — evolui com o negócio e com as ameaças.
Conclusão
Construir esse framework provou que segurança em TI é, acima de tudo, uma disciplina de negócio: proteger receita, reputação e continuidade operacional com decisões baseadas em dados. Se sua operação ainda trata segurança como custo e não como investimento estratégico, converse comigo e vamos mapear juntos onde estão seus riscos reais antes que um incidente faça isso por você.
Acompanhe mais artigos de André Dias Moreira Prol no Medium.
Top comments (0)