Quando perguntamos a uma empresa como está a segurança do ambiente, a resposta mais comum é o nome de um fabricante. "Temos firewall da marca X." E quase sempre é verdade: o equipamento está lá, ligado, com a luz verde acesa.
O que aparece depois, quando abrimos as regras, costuma contar outra história.
A caixa é o começo, não o fim
Um firewall não protege por existir. Ele protege pelo conjunto de decisões que alguém tomou e mantém atualizado dentro dele: o que pode entrar, o que pode sair, de onde, para onde, sob quais condições.
Essas decisões envelhecem. O time muda, os sistemas mudam, os fornecedores mudam. E as regras, na maioria dos ambientes, só crescem — nunca são revisadas.
O que encontramos com frequência
Regras amplas demais. Alguém precisou resolver um problema urgente, liberou um acesso largo "só para testar", o sistema voltou a funcionar e ninguém mais tocou no assunto. Meses depois, aquela liberação continua lá, cobrindo muito mais do que precisaria.
Regras que ninguém sabe explicar. Entradas antigas, sem descrição, referentes a sistemas que não existem mais. Como ninguém tem certeza do que quebra ao removê-las, elas permanecem.
Firmware desatualizado. Equipamentos de borda são alvo preferencial justamente por ficarem expostos. Falhas conhecidas em versões antigas são exploradas de forma automatizada, sem escolher vítima.
VPN sem segundo fator. Um túnel criptografado protege os dados em trânsito, não a identidade de quem entrou. Se o acesso remoto depende só de usuário e senha, ele vale exatamente o que valem aquelas credenciais — que podem já estar circulando por aí.
Log que ninguém lê. O equipamento registra tudo, o disco enche, os registros rotacionam. Se ninguém olha nem recebe alerta, aquilo é arquivo morto: serve para investigar depois do incidente, não para evitá-lo.
O perímetro mudou de lugar
Há alguns anos, desenhar segurança de borda era razoavelmente simples: dentro era confiável, fora não era, e o firewall ficava na fronteira.
Esse desenho não descreve mais a realidade da maioria das empresas. As pessoas trabalham de casa e de aeroporto. Os dados estão em serviços que rodam fora da sua rede. Os sistemas conversam entre si por integrações que atravessam a internet o tempo todo.
Quando o trabalho acontece em toda parte, a fronteira deixa de ser um lugar. É por isso que a ideia de confiança zero ganhou espaço: em vez de confiar em quem já está dentro, verifica-se cada acesso, sempre, considerando quem é o usuário, de qual dispositivo, para qual recurso.
Não é um produto que se compra. É um princípio que se aplica aos poucos, começando pelos acessos mais críticos.
O que fazer, na prática
Revise as regras com data marcada. Não quando sobrar tempo. Uma revisão periódica, com alguém responsável, comparando o que está liberado com o que ainda faz sentido.
Documente a razão de cada liberação. Uma linha explicando por que existe e quem pediu já resolve o problema de ninguém ter coragem de remover depois.
Coloque prazo nas exceções. Acesso temporário precisa nascer com data de validade. Sem isso, todo temporário vira permanente.
Exija segundo fator no acesso remoto. É a medida de maior efeito imediato em relação ao esforço de implantar.
Mantenha o firmware em dia. Com janela de manutenção combinada, para que a atualização não fique sempre para o mês seguinte.
Transforme log em alerta. Escolha os eventos que realmente importam e faça com que cheguem a alguém. Registro que ninguém lê não é monitoramento.
A pergunta que vale fazer
Em vez de perguntar se a empresa tem firewall, tente estas: quando foi a última vez que alguém revisou as regras? Existe alguma liberação ampla que ninguém sabe explicar? O acesso remoto pede segundo fator? Quem recebe os alertas do equipamento?
As respostas dizem muito mais sobre o nível de proteção do que a marca escrita na frente do aparelho.