Um Wi-Fi lento é incómodo. Um Wi-Fi empresarial mal configurado pode ser uma porta aberta para ficheiros, equipamentos de faturação, câmaras, servidores e credenciais da empresa. Este guia de segurança Wi-Fi empresarial foi pensado para PME que precisam de mobilidade sem transformar a rede num risco invisível.
A pergunta não é apenas se a palavra-passe do Wi-Fi é forte. A pergunta é esta: se um visitante, um equipamento infetado ou um antigo colaborador se ligar à rede, até onde consegue chegar? Se a resposta for não sabemos, há trabalho a fazer.
O Wi-Fi não deve ser uma extensão descontrolada da rede
Em muitas empresas, o router fornecido pelo operador trata de tudo: acesso à Internet, Wi-Fi, rede dos computadores, impressoras, terminais de pagamento e, por vezes, câmaras de vigilância. É cómodo na instalação inicial, mas cria dependências e limita o controlo. Uma falha, uma configuração errada ou uma credencial comprometida pode afetar toda a operação.
O primeiro princípio de segurança é simples: quem se liga por Wi-Fi não deve receber automaticamente acesso a todos os recursos internos. Um colaborador pode precisar de imprimir ou aceder ao software de gestão. Um visitante precisa, na maioria dos casos, apenas de Internet. Uma câmara IP ou um equipamento de armazém pode necessitar de comunicar apenas com serviços específicos.
Esta separação reduz o impacto de um incidente. Não impede todos os ataques, mas evita que um problema num dispositivo periférico se transforme numa paragem generalizada.
Separar redes é a base deste guia de segurança Wi-Fi empresarial
Uma rede sem fios empresarial bem desenhada costuma recorrer a SSID distintos e a VLAN para separar tipos de utilização. O nome técnico pode parecer complexo, mas o resultado prático é claro: cada grupo de equipamentos fica numa zona própria, com regras definidas para comunicar ou não com as restantes.
Uma PME pode começar por criar quatro zonas:
- Uma rede interna para computadores e telemóveis de colaboradores autorizados.
- Uma rede de convidados, isolada dos sistemas e com acesso apenas à Internet.
- Uma rede para equipamentos como impressoras, terminais, sensores ou câmaras.
- Uma rede de gestão, reservada aos equipamentos de rede e à administração técnica.
Não basta criar nomes diferentes para o Wi-Fi. Se todas essas redes terminarem no mesmo segmento interno, a separação é apenas aparente. É necessário configurar VLAN, regras na firewall e pontos de acesso compatíveis com esse desenho.
A rede de convidados merece atenção particular. Deve estar isolada da rede empresarial, ter uma palavra-passe diferente e, quando fizer sentido, limites de velocidade. Não é razoável permitir que o Wi-Fi usado por clientes ou fornecedores concorra com videoconferências, cópias de segurança na cloud ou aplicações críticas.
Escolher a autenticação certa sem complicar a equipa
O mínimo aceitável é WPA2-AES com uma palavra-passe longa, única e que não seja partilhada fora da empresa. WPA3 oferece melhorias relevantes e deve ser usado quando os equipamentos o suportam, mas não justifica substituir de imediato todo o parque informático se houver dispositivos incompatíveis. Nestes casos, importa avaliar o risco e preparar uma transição faseada.
Numa empresa pequena, uma palavra-passe forte por rede pode ser suficiente no início, desde que seja alterada sempre que um colaborador com acesso saia. O problema surge quando essa palavra-passe circula por mensagens, papéis junto à receção ou equipamentos pessoais sem controlo.
Para organizações com mais utilizadores, rotação de pessoal ou informação sensível, a autenticação individual através de WPA-Enterprise e RADIUS é uma opção mais adequada. Cada pessoa usa as suas credenciais, podendo perder o acesso sem obrigar toda a empresa a mudar a chave do Wi-Fi. Exige mais configuração e acompanhamento técnico, mas oferece rastreabilidade e reduz a partilha de segredos.
Também convém definir uma política simples: não usar palavras-passe pessoais no Wi-Fi da empresa, não guardar a chave da rede de convidados nos equipamentos de trabalho e não permitir que antigos dispositivos continuem ligados sem necessidade.
A firewall decide o que cada rede pode fazer
A separação por VLAN só funciona bem quando a firewall aplica regras entre redes. É aqui que uma firewall empresarial, incluindo soluções baseadas em pfSense, ganha relevância. O objetivo não é bloquear tudo por princípio. É permitir apenas o tráfego necessário para o negócio funcionar.
Por exemplo, os computadores administrativos podem precisar de aceder ao servidor de ficheiros e à impressora. A rede de convidados não deve conseguir localizar nenhum dos dois. As câmaras podem comunicar com o gravador de vídeo, mas não precisam de navegar livremente pela Internet nem de aceder aos postos de trabalho.
Estas regras devem seguir o princípio do menor privilégio: dar a cada dispositivo o acesso mínimo necessário. É uma abordagem que exige algum diagnóstico. Uma impressora antiga, por exemplo, pode depender de protocolos menos seguros; isolá-la pode ser mais sensato do que mantê-la numa rede onde alcança sistemas financeiros ou dados de clientes.
Evite também abrir portas da rede interna para a Internet apenas para facilitar acesso remoto. Se a equipa precisa de trabalhar fora do escritório, uma VPN devidamente configurada é normalmente a solução mais segura. O acesso deve ser autenticado, registado e limitado aos recursos necessários.
Atualizações e equipamentos esquecidos são riscos reais
Um ponto de acesso instalado há vários anos, com firmware desatualizado e palavra-passe de administração de origem, é um risco mesmo que o Wi-Fi pareça funcionar bem. O mesmo se aplica ao router do operador, repetidores comprados sem critério, impressoras com Wi-Fi ativo ou equipamentos de Internet das Coisas ligados à rede principal.
Faça um inventário. Identifique os pontos de acesso, switches, routers, impressoras, câmaras e outros dispositivos conectados. Registe onde estão, quem os administra, qual a versão de firmware e se ainda recebem atualizações do fabricante. Um equipamento que deixou de ter suporte não tem obrigatoriamente de sair de serviço amanhã, mas deve ser isolado e incluído num plano de substituição.
A administração dos equipamentos de rede deve usar credenciais próprias, palavras-passe únicas e, quando disponível, autenticação multifator. A interface de gestão não deve estar exposta diretamente à Internet. Também é prudente desativar funções que não são utilizadas, como WPS, uma funcionalidade criada para simplificar ligações mas com um historial de fragilidades.
Monitorizar permite detetar problemas antes da paragem
Uma rede Wi-Fi empresarial não fica segura por ter sido bem instalada num determinado dia. São necessárias verificações regulares: atualizações, análise de dispositivos ligados, revisão de acessos e consulta dos registos da firewall e dos pontos de acesso.
Um aumento súbito de tráfego, vários pedidos falhados de autenticação ou um equipamento desconhecido numa VLAN interna podem indicar uma configuração errada ou uma tentativa de acesso indevido. Nem todos os alertas representam um ataque, mas ignorá-los por falta de tempo cria um ponto cego perigoso.
Vale a pena definir quem recebe estes avisos e o que acontece quando há suspeita. Se um computador estiver infetado, a equipa sabe como o desligar da rede sem destruir evidências? Se um telemóvel for perdido, é possível retirar-lhe o acesso? Se o ponto de acesso principal falhar, existe cobertura alternativa para manter a operação mínima?
A continuidade também conta. Uma segunda ligação à Internet pode manter serviços críticos disponíveis, mas não substitui uma rede bem segmentada. Do mesmo modo, as cópias de segurança protegem dados, mas não impedem que uma falha de Wi-Fi pare a comunicação num armazém ou numa loja.
O que validar na próxima revisão da rede
Antes de investir em novos equipamentos, faça uma verificação objetiva. Confirme se existe uma rede de convidados isolada, se todos os equipamentos de rede têm firmware atualizado, se as credenciais de administração são únicas e se há regras explícitas entre as VLAN.
Verifique também se antigos colaboradores mantêm acessos, se o WPS está desligado, se a VPN substitui portas abertas para a Internet e se alguém consegue identificar rapidamente todos os dispositivos ligados. Se não for possível responder a estas questões, a prioridade não é comprar mais tecnologia. É desenhar a rede com critérios e documentar o que já existe.
Na IMPULSYS, este trabalho começa por perceber como a empresa opera: que aplicações são críticas, quem trabalha remotamente, que equipamentos não podem parar e que riscos fazem realmente sentido mitigar. Segurança Wi-Fi não é ter mais uma caixa ligada ao router. É garantir que a ligação sem fios ajuda a empresa a trabalhar, sem dar acesso indevido ao que a mantém a funcionar.
Uma rede bem protegida raramente chama a atenção no dia a dia. Mas, quando um dispositivo comprometido tenta entrar, um colaborador sai ou a Internet falha, é essa preparação discreta que evita que um problema técnico se transforme num problema de negócio.
No responses yet