Segundo o relatório State of Ransomware 2026, da Sophos — levantamento global com 2.158 responsáveis por TI e segurança em 17 países —, aplicação ou sistema exposto na internet foi o ponto de entrada mais comum em ataques de sequestro de dados, presente em 38% dos casos. O computador de um funcionário respondeu por 30%, e o próprio firewall — o equipamento que filtra o que entra e sai da rede — por 21%. Um equipamento de internet das coisas, como uma câmera, apareceu em 3%.
Esses números descrevem só a porta usada para entrar. Não dizem nada sobre até onde o invasor conseguiu ir depois — e é essa segunda pergunta que decide o tamanho do prejuízo. Numa rede em que o computador do financeiro, a câmera de segurança, a impressora, o Wi-Fi do visitante, a máquina da produção e a TV da recepção compartilham o mesmo espaço, a porta usada para entrar quase não importa: uma vez dentro, o caminho até os dados que valem dinheiro está aberto.
É por isso que a separação interna da rede aparece em quase toda recomendação séria sobre segurança, da CISA, a agência americana de infraestrutura crítica, ao CERT.br: não como um projeto de reforma completa, mas como a diferença entre um incidente pequeno e um que para a empresa inteira.
Uma rede que cresceu sem desenho
Na maioria das empresas, ninguém decidiu que tudo ficaria na mesma rede. Aconteceu por adição: o servidor de arquivos entrou primeiro, depois vieram os computadores, depois a impressora em rede, depois as câmeras de segurança, depois a TV da recepção porque "é só ligar no Wi-Fi", depois a máquina nova da produção com um painel que também precisa de internet. Cada equipamento entrou pelo caminho mais fácil, e ninguém parou para perguntar se ele precisava enxergar os outros.
O técnico da empresa de câmeras pede uma porta liberada no equipamento que filtra o tráfego, para acessar o sistema de longe. Alguém libera, porque é mais rápido que discutir o pedido. A TV da recepção entra no Wi-Fi principal, o mesmo que o notebook do financeiro usa, porque configurar uma rede separada dava mais trabalho naquele dia. Passados alguns meses, ninguém mais lembra quem pediu o quê, e menos ainda por quê.
O resultado é uma rede onde qualquer ponto fraco — o exemplo mais comum é uma senha reaproveitada, mas pode ser um equipamento desatualizado ou uma falha ainda não corrigida — vira um caminho para tudo o resto. O CERT.br descreve o mecanismo em termos diretos, ao recomendar que redes sejam divididas: "dividir a rede em segmentos menores e segregados limita a movimentação lateral e a propagação de programas maliciosos". Movimentação lateral é o nome técnico para exatamente isso: o invasor entra por um ponto e caminha pela rede até achar algo que valha a pena — um servidor de arquivos, um sistema financeiro, um backup.
Dividir a rede em segmentos menores e segregados limita a movimentação lateral e a propagação de programas maliciosos.
Vale notar que a maior parte dos ataques não começa pela câmera ou pela TV — os números da Sophos mostram que sistema exposto, computador de funcionário e firewall respondem juntos por quase 90% dos casos. Mas isso não torna o equipamento periférico inofensivo: ele costuma ser o destino mais fácil depois que o invasor já está dentro, exatamente porque ninguém tratou aquele canto da rede como parte da segurança da empresa.
Por que ligar tudo do mesmo jeito não resiste
O jeito comum de organizar a rede é não organizar: tudo no mesmo cabo, tudo no mesmo Wi-Fi, e a confiança depositada inteira num único equipamento na entrada, o firewall perimetral. Enquanto ele segura, está tudo bem. Quando algo passa por ele — e os números mostram que algo passa, com frequência —, não existe uma segunda barreira para segurar o avanço.
Outra versão do mesmo hábito é tratar cada pedido de acesso como um caso isolado, sem se perguntar o que aquele equipamento realmente precisa alcançar. Uma câmera de segurança não precisa conversar com o sistema financeiro. Uma impressora não precisa enxergar o servidor de arquivos da diretoria. Quando ninguém desenhou essas fronteiras, a resposta padrão a qualquer pedido é "libera", e a rede vai ficando cada vez mais parecida com uma sala só, sem paredes internas.
O que precisa existir na prática
Separar a rede internamente não significa refazer a infraestrutura inteira. Significa dividir o que já existe em partes que não se enxergam por padrão, liberando só o necessário.
Um mapa de quem precisa falar com quem. Antes de mexer em qualquer equipamento, vale listar o que cada grupo de dispositivos realmente precisa alcançar — o sistema financeiro não precisa ver a câmera, e a câmera não precisa ver o financeiro.
Divisórias lógicas dentro da mesma rede. Com o mesmo cabeamento e o mesmo equipamento de rede, é possível criar pedaços separados — um para os computadores administrativos, outro para câmeras e equipamentos de segurança, outro para visitante, outro para a produção. É essa divisão que a área técnica chama de segmentação de rede.
Um canal único para pedido de acesso. Em vez de o técnico do fornecedor de câmeras negociar uma porta liberada direto com quem estiver por perto, todo pedido passa por um responsável que registra o que foi liberado, para quem e por quanto tempo.
Controle de acesso entre as partes. Um equipamento decide o que pode atravessar de um pedaço da rede para o outro — sem isso, a divisão existe só no papel.
Revisão periódica de quem tem acesso a quê. Acessos liberados para um projeto pontual, ou para um fornecedor que já não presta serviço, precisam ser removidos — não ficar ativos até alguém notar, meses depois.
Um plano que já sabe isolar um pedaço da rede. Quando algo foge do padrão, a resposta certa é desligar só o segmento afetado, e não a rede inteira nem um único computador escolhido no escuro.
É assim que a Skills IT trabalha: mapeando quem precisa falar com quem, dividindo a rede em partes que não se enxergam, e mantendo pronto um plano para isolar só o pedaço afetado quando algo foge do padrão.
O ganho para quem decide
O ganho de separar a rede aparece justamente no dia em que algo dá errado. Sem separação, um problema num único equipamento vira motivo para desligar a operação inteira até alguém entender o alcance do estrago — a produção para, o financeiro para, o atendimento para, tudo ao mesmo tempo, porque ninguém sabe dizer com segurança o que ficou exposto.
Com a rede dividida, o mesmo problema fica contido no pedaço onde começou. A produção continua rodando enquanto o pedaço afetado é isolado e verificado. O tempo de equipe parada cai, porque não é preciso investigar a rede inteira — só o segmento que teve o incidente. E a decisão de desligar ou manter algo no ar deixa de ser um chute sob pressão, porque o mapa de quem se conecta com quem já existia antes do problema acontecer.
Esse tipo de ganho não aparece na conta de TI do mês. Aparece no dia em que a empresa não perde uma semana de faturamento por causa de uma câmera ou de uma impressora que ninguém lembrava que existia na rede.
Perguntas para levar à próxima reunião
- Existe um mapa de quem precisa falar com quem na rede? Se a resposta é "não sei", a rede provavelmente cresceu por adição, não por desenho.
- A câmera de segurança e o computador do financeiro estão na mesma rede? Se estão, um problema num deles pode alcançar o outro sem barreira nenhuma no meio.
- Quem aprova um pedido de porta liberada para um fornecedor? Se a resposta é "quem estiver por perto", não existe controle — existe sorte.
- Alguém revisa, de tempos em tempos, os acessos liberados para fornecedores antigos? Sem essa revisão, cada projeto encerrado deixa uma porta aberta para trás.
- Se um equipamento qualquer fosse invadido hoje, dá para isolar só ele, sem desligar tudo? Se a resposta é não, o próximo incidente pequeno vai custar como se fosse grande.
