Onde fica o mínimo de segurança de uma organização? Seis prioridades deduzidas dos incidentes reais do Japão em 2026

Dispositivos VPN, gateways de área de trabalho remota, painéis de administração de firewall: liste todo dispositivo acessível diretamente pela internet, com modelo, versão e responsável pela atualização. Nas estatísticas da Agência Nacional de Polícia do Japão, 61 de 92 respostas válidas sobre a via de infecção por ransomware foram dispositivos VPN.

Primeiro passo: para cada dispositivo da lista, defina um número — quantos dias você permite antes de fechar uma vulnerabilidade confirmada como explorada (KEV). Corrigir «por turnos» é o mesmo formato do caso da Agência Digital.

Toda organização tem contas de pessoas que não são funcionárias: empresas de manutenção, terceirizados, gente que já saiu. Elas costumam receber permissões amplas por conveniência, e não fica claro quem é o dono.

Primeiro passo: liste todas as contas de não funcionários e atribua a cada uma um responsável interno e uma data de expiração. Depois, em ordem: habilitar só quando em uso, restringir a origem de conexão e exigir autenticação de dois fatores resistente a phishing. Coloque o desligamento da conta no mesmo formulário da admissão.

No caso da Aflac, o ataque parecia igual ao uso normal. Se cada consulta é válida isoladamente, verificá-las uma a uma não o detém. O que resta é quantos registros saíram por hora e a atividade à noite e nos fins de semana.

Primeiro passo: na função que mais devolve dados de clientes, adicione um limite por conta e por hora e um alerta que chegue a uma pessoa específica aos 80% desse limite. Em servidores de arquivos e armazenamento em nuvem, alerte para downloads em massa várias vezes acima do normal.

No caso da Sakura Internet, o acesso não autorizado começou cerca de três anos antes de ser detectado. Sem logs desse período, não dá para dizer nem o que aconteceu nem o que não aconteceu.

Primeiro passo: mantenha por pelo menos 12 meses três tipos: autenticação (sucessos e falhas), consultas e exportações de dados e ações administrativas, usando como referência o padrão de cartões de pagamento PCI DSS. Se faltar espaço, proteja esses três antes dos logs de acesso web.

No caso da Gyazo, os metadados vazados eram sobretudo informações ligadas a imagens enviadas anos antes. O tamanho de um vazamento é definido por quantos dados você tinha naquele momento. Dados que você não tem não podem vazar.

Primeiro passo: para cada tipo de dado de clientes, escreva uma linha: para que serve e até quando é guardado. O que você não conseguir justificar nessa linha é candidato a exclusão ou anonimização. Verifique também se não restam dados de usuários que cancelaram (no caso da Sakura Internet, os dados de associado eram mantidos após o cancelamento, a menos que a saída fosse solicitada à parte).

Na Adobe Commerce, o aviso da correção dizia «prioridade 2, sem exploração conhecida», e 44 dias depois a CISA confirmou a exploração. No núcleo do WordPress, foram três dias.

Primeiro passo: prepare uma forma de ser avisado quando um produto que você usa entrar no KEV, e torne regra reordenar a fila de correções quando isso acontecer. O procedimento está em Qual CVE corrigir primeiro: CVSS, EPSS e KEV.