Segurança da Informação e Firewall: atendimento em Canoas - RS

O tráfego entre unidades não é navegação

O primeiro ajuste é conceitual e tem consequência técnica direta. Quando um sistema roda num endereço e é usado em outro, o tráfego entre eles é interno — mesmo que fisicamente atravesse a internet.

Tratado como navegação comum, ele compete em igualdade com download, atualização, backup e streaming. Tratado como interno, ele é classificado, priorizado e medido, e passa a ter caminho garantido nos momentos de disputa.

A diferença aparece exatamente nos horários que mais importam: fechamento de expedição, virada de turno, fim de mês. São os picos previsíveis em que, sem regra, o tráfego crítico perde para o que poderia esperar.

Latência e perda importam mais que banda

Para aplicação que faz muitas requisições pequenas — e ERP e sistema de gestão são assim —, o que determina a sensação de velocidade é o tempo de ida e volta, não a largura do canal. Contratar mais banda não melhora esse número.

O que melhora é reduzir perda e variação: perda obriga retransmissão, e cada retransmissão custa uma viagem completa. Uma taxa pequena de perda, que passa despercebida em navegação, degrada visivelmente uma aplicação conversacional.

Por isso o SD-WAN mede latência, perda e variação continuamente, e escolhe o caminho por esses critérios em vez de por velocidade nominal. Com dois enlaces, a troca acontece quando um degrada — não apenas quando cai.

O segundo caminho, dimensionado pelo essencial

A objeção usual é o custo de um enlace equivalente ao principal. Ele não é necessário: o caminho secundário existe para sustentar o que não pode parar — ERP, expedição, emissão fiscal, telefonia —, não para replicar a banda total.

Nessa lógica, tecnologia diferente da principal vale mais que banda maior da mesma tecnologia, porque falha por outro motivo. Dois enlaces sobre a mesma infraestrutura física tendem a cair juntos, e isso anula o propósito.

Segmentar entre unidades, não só dentro delas

Aqui está o ponto que operação multi-unidade mais deixa passar. Depois de interligar os endereços, o resultado comum é uma rede única e plana: qualquer dispositivo da planta alcança qualquer coisa da matriz, e vice-versa.

Não é o desejado. A expedição precisa do ERP, não do compartilhamento do financeiro. Um terminal de coleta precisa falar com o sistema, não com a estação da diretoria. A regra correta permite entre unidades apenas o tráfego que a operação exige, e nega o resto por padrão.

Isso limita alcance de incidente, e é a medida mais eficaz num arranjo distribuído: uma estação comprometida numa unidade passa a enxergar aquela unidade e os sistemas que ela usa, em vez de enxergar a empresa inteira.

Borda padronizada em todos os endereços

Quando cada unidade tem o equipamento de borda que a operadora deixou, a política de segurança é diferente em cada lugar — e ninguém sabe exatamente qual é em nenhum deles.

Padronizar a borda, com o mesmo equipamento e a mesma política administrada de um ponto único, tem três efeitos: a regra vale igual em todos os endereços, uma alteração é aplicada uma vez, e a unidade menor deixa de ser o caminho fácil para o resto da rede.

Acesso remoto e de fornecedor

Operação industrial tem fornecedor entrando para dar manutenção em sistema e em equipamento, e tem gente acessando de fora. Resolvido às pressas, isso deixa encaminhamento de porta aberto — e o levantamento inicial em ambiente nunca revisado encontra sempre alguns ainda ativos, criados numa urgência antiga.

O tratamento é acesso autenticado com credencial individual, segundo fator, permissão limitada ao destino necessário e prazo de validade quando temporário. Individual importa: acesso compartilhado não permite saber quem fez o quê nem revogar sem afetar todos.

Setores que mais demandam em Canoas

Indústria, logística, serviços e varejo formam o perfil da cidade. A indústria concentra a integração entre sistemas e o acesso de fornecedor. A logística depende do enlace para expedição e rastreamento, com custo por hora definido. Serviços e varejo pesam em meio de pagamento e emissão fiscal, onde a indisponibilidade interrompe a venda.

Como conduzimos a implantação

Começa por mapear o que existe em cada endereço: enlaces contratados, equipamento de borda, regras herdadas, acessos remotos ativos e o tráfego real entre unidades. Firewall implantado sem esse levantamento bloqueia o que a operação usa e mantém liberado o que ninguém mapeou.

Depois vem o desenho — segmentação dentro de cada unidade e entre elas, política por segmento, classificação e prioridade do tráfego crítico e estrutura de acesso remoto autenticado.

A ativação é feita em janela combinada com a operação, prática que mantemos registrada para esta cidade, porque intervenção em borda derruba a conexão por alguns minutos. Depois da subida, as regras são ajustadas pelo tráfego observado e o comportamento dos enlaces passa a ser acompanhado — sem isso ninguém percebe quando o caminho secundário para de funcionar, e ele só será cobrado no dia em que o principal cair.