A cibersegurança decide-se na administração

"Todos os anos, quando outubro chega, a Europa dedica um mês inteiro à cibersegurança. Durante muito tempo olhei para esta data com algum ceticismo, entre cartazes com cadeados e conselhos sobre palavras-passe que toda a gente já ouviu. Este ano o tema merece outra conversa, porque o terreno mudou e muitas empresas ainda não deram por isso.

Há mais de vinte anos que acompanho PME portuguesas. Vi chegar o email, a cloud, o teletrabalho. Nenhuma dessas mudanças alterou tão depressa a natureza do risco como a inteligência artificial o está a fazer agora.

Durante anos ensinámos as pessoas a desconfiar de mensagens mal escritas e de pedidos urgentes num português aos tropeções. Esses sinais deixaram de funcionar. Um atacante escreve hoje um email impecável, no tom exato de um fornecedor habitual, com referências a faturas reais. Imita uma voz ao telefone e prepara em minutos uma fraude que antes exigia semanas.

A firewall, o antivírus e as cópias de segurança continuam indispensáveis, mas o ataque mais perigoso já não força a porta. Bate, apresenta-se com boas maneiras e pede para entrar. E quem abre é quase sempre alguém bem-intencionado, com pressa de despachar trabalho.

Por isso, quando um empresário me diz que tem alguém da informática que trata disso, fico preocupado. Nenhum técnico protege sozinho uma empresa onde basta um email convincente para que alguém autorize uma transferência.

A cibersegurança também depende de quem dirige a empresa. A equipa técnica protege os sistemas, mas cabe à gestão definir como se confirma um pedido de pagamento ou uma alteração de IBAN e o que fazer se os sistemas ficarem indisponíveis. A tecnologia ajuda, mas precisa de regras claras que toda a equipa conheça.

A própria legislação europeia já o reconheceu. A diretiva NIS2 coloca a responsabilidade nos órgãos de gestão, e muitas empresas que se julgavam fora do seu alcance vão descobrir que fazem parte da cadeia de fornecimento de quem está abrangido. Mesmo para as que não estão, a lógica é a mesma. Um ataque pode interromper a atividade da empresa, abalar a confiança dos clientes e comprometer anos de trabalho.

O que proponho para este outubro é simples. Que cada gestor reserve uma hora com quem trata da tecnologia da empresa e faça três perguntas. Se amanhã perdêssemos o acesso a tudo, em quanto tempo voltávamos a trabalhar? Quem na empresa poderia ser enganado por um email perfeito? E o que acontece quando alguém pede uma transferência fora do habitual? As respostas, ou a falta delas, dirão mais do que qualquer relatório.

Depois, que se fale disso com toda a equipa, sem alarmismo e sem culpabilizar ninguém, mas com a franqueza de quem sabe que a próxima tentativa de fraude vai chegar com bom aspeto e no momento menos oportuno.

A próxima fraude não vai pedir licença à informática. Vai bater à porta de quem decide."