Enquadramento no regulamento da Anatel
O provedor pode estar entre as prestadoras que precisam de política escrita. [CONFIRMAR na norma]
Segurança e DDoS · Provedores
Elaboração de política de segurança cibernética para provedores
Regras de acesso, senhas, backup e incidentes escritas a partir da sua rede real, com os registros que provam que a equipe cumpre.
- Política escrita sobre a rede que existe
- Modelos de registro para cada rotina
- Equipe orientada antes da entrega
Elaboração de política de segurança cibernética é transformar boas práticas em regras do seu provedor: quem acessa cada equipamento, como as senhas são trocadas, onde ficam os backups e o que fazer num incidente. É para o provedor que precisa responder ao regulamento da Anatel, a um contrato corporativo ou simplesmente parar de depender da memória de uma pessoa. O resultado é uma política curta, aprovada pela diretoria, com rotinas e registros que a equipe consegue manter.
O que é política de segurança cibernética
É o documento que diz o que é permitido na rede, quem decide e como se prova que a regra foi seguida. Vem acompanhado de procedimentos curtos que viram rotina.
A política não é um manual técnico. Ela define, por exemplo, que a contenção de ataque DDoS é acionada por quem estiver de sobreaviso, sem pedir autorização, e que o diretor é avisado logo depois. O procedimento diz como; a política diz quem e quando.
Cada regra precisa caber na operação. Se a política manda guardar os dados de NetFlow por seis meses, alguém tem de dimensionar o disco e conferir que a guarda acontece; regra que ninguém consegue cumprir vira multa ou descrédito.
Política copiada da internet cita sistemas que você não tem e ignora os que tem. A política útil nomeia o firewall do POP, a VPN da equipe, o sistema de gestão e o fornecedor que acessa a rede, e diz o que vale para cada um.
Política geral
Documento de poucas páginas, aprovado pela diretoria, com princípios, papéis e responsabilidades. É o que se mostra ao fiscal, ao cliente corporativo e ao auditor.
Procedimentos operacionais
Passo a passo de acesso, senhas, backup, mudança e incidente, escrito na linguagem da equipe técnica. É o que se usa no dia a dia.
Registros de cumprimento
Planilhas ou formulários que mostram que a rotina aconteceu: revisão de acessos, teste de restauração, exercício de incidente. Sem registro, a política não se prova.
Rotina de revisão
Data marcada para rever a política, e gatilhos que pedem revisão antes: mudança de equipe, fornecedor novo ou incidente grave.
Quando você precisa de política de segurança cibernética
Estes seis sinais mostram que a segurança do provedor ainda depende de improviso. Um só já justifica escrever a política.
Cliente corporativo pediu a política
Questionário de fornecedor de empresa e de órgão público pergunta pela política e pelos registros.
Senha compartilhada por toda a equipe
Uma senha para todos os roteadores, trocada só quando alguém sai brigado, mostra que não há regra de acesso.
Saída de técnico sem roteiro
Ninguém sabe quais acessos o técnico tinha nem o que trocar. A política define a lista e a ordem.
Incidente resolvido no improviso
Depois do susto, cada um lembra de um jeito. A política diz quem decide e quem avisa da próxima vez.
Fornecedores com acesso permanente
Empresa de sistema ou de NOC com VPN sempre aberta e sem prazo é risco que a política fecha.
Como funciona a elaboração de política de segurança cibernética
São cinco etapas, e a política nasce da operação como ela é hoje. A diretoria aprova antes de qualquer rotina começar.
Levantamento
Entrevistas com diretoria e equipe técnica, lista de sistemas, acessos, fornecedores e rotinas que já existem.
Prazo: [PREENCHER]
Escrita da política
Documento geral e procedimentos ajustados ao tamanho da equipe, sem regra que ninguém vai conseguir seguir.
Prazo: [PREENCHER]
Revisão com a diretoria
Leitura conjunta, ajustes e aprovação formal, com data e assinatura.
Prazo: depende da sua agenda
Implantação das rotinas
Modelos de registro criados, primeira revisão de acessos feita e responsáveis nomeados.
Prazo: [PREENCHER]
Orientação da equipe
Apresentação curta para a equipe técnica e o atendimento, com o que muda no dia a dia de cada um.
Prazo: [PREENCHER]
O que está incluído na elaboração de política de segurança cibernética
A elaboração cobre o documento, os procedimentos, os registros e a orientação da equipe. A parte técnica de implantar cada controle tem página própria.
Incluído
- Levantamento de sistemas, acessos, fornecedores e rotinas
- Política geral em linguagem simples, aprovada pela diretoria
- Procedimentos de acesso, senhas, backup, mudança e incidente
- Regras para fornecedores e para entrada e saída de pessoas
- Modelos de registro para provar o cumprimento
- Conferência com o regulamento da Anatel, quando aplicável [CONFIRMAR na norma]
- Apresentação à equipe e à diretoria
- Calendário de revisão anual
Não incluído
- Compra de sistema ou equipamento (a Táquion Tech não vende equipamento)
- O roteiro detalhado de incidentes, que é o plano de resposta a incidentes
- Enquadramento e evidências para a Anatel, feitos na adequação ao R-Ciber
- Programa de proteção de dados pessoais, feito na adequação à LGPD
- Montar a cópia automática das configurações, que é o backup de configurações de rede
Quanto custa a elaboração de política de segurança cibernética
O preço depende do tamanho da operação e de quantos procedimentos entram. O valor exato sai por escrito, depois do levantamento.
| Fator | Como influencia | Exemplo |
|---|---|---|
| Tamanho da equipe | Mais áreas e pessoas pedem mais entrevistas e papéis definidos | Equipe de três técnicos ou NOC com turnos |
| Número de sistemas | Cada sistema com acesso próprio vira regra e registro | Sistema de gestão, RADIUS, monitoramento e VPN |
| Procedimentos incluídos | Cada procedimento é um documento com passo a passo | Só acesso e backup, ou os cinco principais |
| Exigência externa | Conferir com a Anatel ou com um cliente soma checagem item a item | Questionário de banco ou de prefeitura |
| Rotinas já existentes | Aproveitar o que funciona reduz a escrita | Backup automático e usuários individuais já montados |
Faixa de preço para um provedor regional com até [PREENCHER] pessoas na equipe técnica: [PREENCHER faixa aprovada pela Táquion Tech]. A revisão anual pode entrar no contrato ou ser pedida à parte.
O que conferir antes de contratar política de segurança cibernética
Antes de assinar, confira os erros que deixam a política na gaveta, os capítulos que ela não pode esquecer e as referências que deve seguir. Use os pontos abaixo com qualquer empresa de elaboração de política de segurança cibernética.
Erros comuns ao contratar
Quatro falhas que deixam a política bonita e inútil. Pergunte ao fornecedor como ele evita cada uma.
Modelo pronto com o nome trocado
Se a proposta chega antes de alguém perguntar quais sistemas você usa, o documento já está escrito. Peça para ver como o levantamento é feito.
Regra que a equipe não cumpre
Exigir troca de senha toda semana numa equipe de três pessoas garante que a regra será ignorada. A regra certa é a que cabe na rotina.
Política sem registro
Sem a planilha de revisão de acessos ou o relatório de teste de restauração, não há como mostrar que a regra existe na prática.
Documento só para a diretoria
Se a equipe técnica não participa nem é orientada, a política fica na pasta. Pergunte como a equipe entra no processo.
Capítulos que não podem faltar
Uma política de provedor regional precisa cobrir pelo menos estes pontos. Use a lista para conferir a proposta.
Acesso aos equipamentos
Usuários individuais
Cada pessoa com o próprio login, autenticação central e segundo fator na entrada da rede de gerência.
Revisão periódica
Lista de quem acessa o quê conferida a cada trimestre e na saída de qualquer pessoa.
Backup e mudança
Cópia das configurações
Frequência, local fora do POP e teste de restauração com data registrada.
Janela de mudança
Quem aprova, quando a mudança pode acontecer e como desfazer se der errado.
Incidentes e abuse
Quem decide
Responsável por acionar contenção, avisar a diretoria e falar com clientes e órgãos.
Canal de abuse
Prazo para responder reclamações externas; a gestão de abuse detalha o tratamento.
Normas e boas práticas
Referências públicas que a política deve citar ou seguir. Peça ao fornecedor que diga quais usou.
R-Ciber da Anatel
O Regulamento de Segurança Cibernética aplicado às telecomunicações pede política, gestão de riscos e de incidentes para as prestadoras alcançadas [CONFIRMAR na norma].
LGPD
A lei pede medidas de segurança para os dados pessoais dos assinantes e incentiva regras de boas práticas e governança [CONFIRMAR na norma].
ISO/IEC 27001 e 27002
Normas de gestão de segurança da informação; servem de mapa de controles mesmo sem buscar certificação [CONFIRMAR na norma].
NIST CSF e CIS Controls
Estruturas públicas que organizam a segurança em funções e controles por prioridade, úteis para provedor pequeno começar [CONFIRMAR na norma].
Por que escolher a Táquion Tech para escrever a sua política
Porque a política é escrita por quem conhece a rede de provedor e sabe o que a equipe consegue cumprir. Seis compromissos que valem para toda elaboração.
Especialista em rede, não só em papel
Quem escreve sabe o que é uma OLT, uma sessão BGP e um concentrador, e não cria regra impossível de aplicar.
[PREENCHER: anos de experiência em segurança de provedores]
Levantamento antes da escrita
Nenhuma linha é escrita antes de conhecer sistemas, acessos e fornecedores do provedor.
Levantamento faz parte de toda proposta
Registros prontos para usar
Cada rotina sai com o modelo de registro que prova que ela aconteceu.
Modelos entregues junto da política
Não vendemos sistema
A política não exige produto de marca nenhuma. Quando pede ferramenta, há opção de código aberto.
Nenhuma marca indicada por comissão
Equipe orientada
A apresentação explica o que muda para técnicos e atendimento, com exemplos do dia a dia deles.
Orientação incluída na entrega
Remoto para todo o Brasil
Entrevistas e revisão por videochamada, sem deslocamento para pagar.
[PREENCHER: estados atendidos]
Onde a Táquion Tech escreve políticas de segurança
A elaboração é remota e atende provedores de todo o Brasil. A visita presencial fica para o litoral de Santa Catarina, quando a diretoria prefere a reunião de aprovação no escritório.
Remoto para todo o Brasil
Levantamento por entrevista e acesso de leitura, escrita compartilhada e aprovação por videochamada, de qualquer estado.
Presencial no litoral de Santa Catarina
Para entrevistas com a equipe, visita ao POP e a apresentação final no escritório do provedor. [CONFIRMAR área de atendimento]
- Balneário Camboriú
- Camboriú
- Itajaí
- Itapema
- Navegantes
Perguntas frequentes sobre política de segurança cibernética
As perguntas que os donos de provedor mais trazem antes de encomendar a política. Se a sua não estiver aqui, pergunte no WhatsApp.
Provedor pequeno precisa de política de segurança cibernética?
Depende do enquadramento no regulamento da Anatel [CONFIRMAR na norma]. Mesmo sem obrigação, a política reduz o risco de invasão e de a segurança depender de uma pessoa só.
O que deve ter uma política de segurança cibernética?
Regras de acesso, senhas, backup, mudança, incidentes, fornecedores e entrada e saída de pessoas, cada uma com o registro que prova o cumprimento. Tudo ajustado ao tamanho da equipe.
Quanto custa a elaboração de política de segurança cibernética?
O preço da elaboração de política de segurança cibernética muda com o tamanho da equipe, os sistemas e os procedimentos incluídos. A faixa é [PREENCHER], e o valor exato sai depois do levantamento.
Quanto tempo leva para ter a política pronta?
Depende da agenda de entrevistas e da aprovação da diretoria. O prazo típico é [PREENCHER], e o do seu caso vai escrito na proposta.
Posso usar um modelo pronto da internet?
Pode servir de ponto de partida, mas a política precisa citar os seus sistemas e rotinas. Modelo genérico não passa numa conferência séria e ninguém na equipe segue.
A política ajuda contra ataque DDoS?
Ajuda a reagir mais rápido, porque deixa definido quem aciona a contenção e quem avisa os clientes. A parte técnica fica na implantação de mitigação de DDoS.
Qual a diferença entre política e plano de resposta a incidentes?
A política define as regras gerais, inclusive que existe um roteiro de incidente. O plano de resposta a incidentes é esse roteiro, com passos e contatos por cenário.
A política cobre a LGPD?
Cobre a parte de segurança dos dados dos assinantes, como acesso e backup [CONFIRMAR na norma]. O programa completo de proteção de dados é feito na adequação à LGPD.
De quanto em quanto tempo revisar a política?
Uma vez por ano, no mínimo, e sempre que mudar a equipe, entrar um fornecedor com acesso ou acontecer um incidente grave. A data da revisão fica escrita na própria política.
O que preciso separar para começar?
Lista de sistemas e fornecedores, quem tem acesso a quê e as rotinas que já existem, mesmo informais. Uma hora com a diretoria e uma com a equipe técnica abrem o levantamento.
Serviços relacionados à política de segurança cibernética
Três serviços que costumam vir junto com a política. Cada um transforma uma parte dela em prática.
-
Adequação ao R-Ciber
Enquadramento do provedor no regulamento de segurança da Anatel e evidências para a fiscalização.
Ver a adequação ao R-Ciber -
Plano de resposta a incidentes
Roteiro por cenário de incidente, com papéis, contatos e exercício com a equipe.
Ver o plano de resposta a incidentes -
Adequação da infraestrutura de rede à LGPD
Programa de proteção dos dados pessoais dos assinantes, do mapeamento ao encarregado.
Ver a adequação à LGPD para provedores
Leia antes de contratar
Três guias que mostram as regras da política funcionando na prática.
- Implantação de TACACS: guia prático para provedores
Como dar a cada pessoa o próprio login nos equipamentos, com registro do que fez.
- Técnico de rede saiu do provedor: causas, diagnóstico e quando chamar um Especialista
O roteiro de acessos para trocar quando alguém sai da equipe.
- Calendário regulatório para provedores: prazos da Anatel e o que fazer em cada um
Os prazos e obrigações regulatórias que o provedor acompanha ao longo do ano.
Quem responde por esta página
Responsável técnico da Táquion Tech · Registro profissional [PREENCHER]
A Táquion Tech é uma empresa de engenharia de redes de Balneário Camboriú (SC) que projeta, opera e dá suporte a redes de provedores de internet e de empresas.
Orçamento
Peça a proposta de política de segurança cibernética
Diga o que motivou a política e o tamanho da equipe. Um Especialista devolve escopo, prazo e valor por escrito.
- Poucos campos, menos de um minuto
- Prefere falar? Mande um áudio no WhatsApp
- Seus dados ficam só com a Táquion Tech
