Senhas, verificação em duas etapas e bloqueio de tela

O essencial sobre senhas, em quatro pontos

A senha é a fechadura da porta. Se ela for fraca ou se for a mesma de outras dez portas, basta uma cópia da chave cair na mão errada para tudo abrir. A maioria dos vazamentos que viram dor de cabeça começa assim: uma senha simples, ou uma senha reaproveitada de um site qualquer que sofreu um ataque, e que por azar era a mesma do e-mail do trabalho.

O que torna uma senha forte não é encher de símbolos estranhos que ninguém consegue digitar. É o comprimento. Uma frase com quatro ou cinco palavras que só fazem sentido para você vence em segurança uma palavrinha de oito caracteres com arroba e cifrão. Pense em algo como cavalo verde almoça telhado: estranho, longo, fácil de lembrar e muito difícil de adivinhar.

O gerenciador resolve o que a sua memória não dá conta

Aí vem a objeção honesta: como lembrar de uma senha longa e diferente para cada serviço? A resposta curta é que você não precisa. Para isso existe o gerenciador de senhas. Você memoriza apenas a senha mestra, aquela que abre o cofre, e o programa guarda e preenche todas as outras, gerando senhas grandes e únicas para cada site sem nenhum esforço seu.

Muitas empresas já adotam um gerenciador oficial e pagam por ele. Se a sua tem um, use o que a empresa indica, e não uma ferramenta pessoal qualquer para as contas de trabalho. Se você não sabe se existe um padrão definido, vale uma conversa rápida com o time de TI antes de instalar qualquer coisa por conta própria.

Verificação em duas etapas: o seu seguro contra vazamento

Senha forte é metade da história. A outra metade é a verificação em duas etapas, também chamada de 2FA. A ideia é simples: além da senha, o sistema pede uma segunda prova de que é você mesmo, normalmente um código de seis dígitos que muda a cada trinta segundos num aplicativo do seu celular. Sem esse código, a senha sozinha não abre nada.

Repare no que isso muda. Mesmo que um atacante descubra a sua senha, por um vazamento ou por um golpe, ele esbarra na segunda etapa. Ele teria que estar com o seu celular na mão no mesmo momento, o que é muito mais difícil. Por isso a verificação em duas etapas é, de longe, a proteção que mais rende para o pouco esforço que exige.

1. Ative a verificação em duas etapas no e-mail de trabalho primeiro, porque ele costuma destravar o acesso a tudo.
2. Prefira um aplicativo autenticador ao código por SMS, que é mais frágil. Se só houver SMS, ainda assim use.
3. Guarde os códigos de recuperação que o serviço oferece num lugar seguro, longe da senha.
4. Repita o processo nos sistemas internos e nas contas que tratam dado da empresa.

Bloqueio de tela e a regra de cada um com o seu login

Existe um detalhe que parece bobo e que, na prática, evita boa parte dos incidentes internos: travar a tela quando você sai da mesa. Toda vez que você se levanta para um café, uma reunião ou o banheiro, o computador desbloqueado fica aberto para qualquer pessoa que passar. Não é só sobre desconfiar de colega; é sobre não deixar uma porta aberta por descuido.

A outra regra de ouro é nunca compartilhar login. O seu usuário e a sua senha são a sua identidade dentro dos sistemas. Quando você empresta o login para um colega resolver algo rápido, tudo o que ele fizer ali aparece como se fosse você. Se der problema, a trilha aponta para o seu nome. Cada pessoa precisa do próprio acesso, e pedir um acesso novo para quem precisa é tarefa do time de TI, não um favor entre colegas.

A Cartilha de Segurança para Internet, do CERT.br, recomenda senhas longas, diferentes para cada serviço e o uso da verificação em duas etapas como camada extra de proteção. (CERT.br - Cartilha de Segurança)