O mapa de
separação de rede.
Na maioria das empresas a rede é uma só. O PC do caixa, o servidor do financeiro, o wi-fi da visita e a câmera do corredor estão todos no mesmo lugar, e ninguém decidiu isso: é assim que a rede nasce quando ninguém diz o contrário. Este mapa tem as quatro redes que quase nunca precisam se ver, o que cada uma precisa alcançar, e a ordem pra separar sem parar a operação.
Comece por aqui
O teste de dois minutos,
sem mexer em nada.
Senta em qualquer computador da ponta, o do caixa, o do balcão, o da recepção. Abre o Explorador de Arquivos e tenta chegar na pasta do financeiro ou no servidor de arquivos pelo nome ou pelo endereço da rede. Se abrir, ou se pedir só uma senha, está tudo na mesma rede.
Numa rede separada, esse caminho não existe: a máquina não enxerga o outro lado pra pedir senha nenhuma. A diferença não é ter senha melhor, é o caminho não estar lá.
Vale repetir a partir do wi-fi de visita, com o celular. Esse é o que costuma surpreender mais.
As quatro redes
O caixa e o PDV
É a rede da ponta, e quase sempre a mais frágil: máquina antiga, sistema que não pode reiniciar no meio do movimento, e por isso anos sem atualização. Ela precisa alcançar o sistema de venda e mais nada. Não precisa do servidor de arquivos, não precisa da pasta do financeiro, não precisa da impressora do escritório. Separar esta primeira é o que dá o maior resultado pelo menor trabalho.
O financeiro e o ERP
É onde mora o que dói perder: banco de dados, fiscal, folha, contratos. Ela precisa alcançar o banco de dados e o que o sistema de gestão exige, e ser alcançada só por quem trabalha nela. A regra prática é inverter a pergunta: em vez de listar quem não pode entrar, listar quem precisa, que é uma lista curta e que você consegue escrever de cabeça.
O wi-fi de visita
Cliente, fornecedor, candidato, o técnico da máquina de café. Ela precisa alcançar a internet e absolutamente mais nada da sua empresa. É a separação mais fácil de fazer, porque quase todo roteador de empresa já traz uma rede de convidado pronta, e é também a que mais gente esquece de ligar. Se o celular do visitante enxerga o servidor, a porta está aberta pra quem senta na sua recepção.
As câmeras, catracas e dispositivos
Câmera, catraca, controle de acesso, ar condicionado com placa de rede, relógio de ponto. São equipamentos que ninguém atualiza, muitos com senha de fábrica, e que ficam ligados a vida inteira. Cada um precisa alcançar só o próprio gravador ou a própria central. É o grupo que mais cresce sem ninguém notar, porque cada aparelho novo entra na rede no dia em que é instalado.
E a quinta, se você hospeda o próprio produto
Software house e SaaS têm uma rede a mais, a de produção, que é onde o produto do cliente roda. Ela não conversa com a rede do escritório. O notebook do desenvolvedor não precisa alcançar o banco de produção pra trabalhar, e no dia em que esse notebook for comprometido a diferença entre as duas coisas é a empresa inteira.
A ordem
Separar sem parar a operação.
Primeiro o wi-fi de visita. Não afeta ninguém que trabalha, o roteador já tem a função pronta, e resolve a porta mais exposta. Dá pra fazer numa tarde e ninguém percebe.
Depois as câmeras e os dispositivos. Também não afeta o trabalho de ninguém, e é o grupo com mais equipamento sem atualização.
Depois o caixa e a ponta. Aqui já pede atenção: antes de separar, liste o que essas máquinas realmente abrem no dia a dia, incluindo a impressora e a pasta que alguém usa uma vez por mês. É essa lista, e não o equipamento, que dá trabalho.
Por último o financeiro. É o que tem mais integração e mais exceção, então é o que mais quebra se for feito com pressa. Quando os três primeiros já estão separados, o estrago possível já caiu bastante, e esse último pode esperar a janela certa.
Nada disso precisa de equipamento novo, desde que o switch seja gerenciável. O que custa é o levantamento do que fala com o quê, e é justamente o que este mapa começa.
O que separar não resolve
Isso decide o tamanho do estrago,
não impede que algo entre.
Separar a rede não é firewall e não substitui cópia de segurança. O que ela faz é limitar até onde uma coisa anda depois de entrar, e isso é diferente de impedir a entrada. As duas coisas trabalham juntas.
A cópia de segurança é o caso que mais aparece. Se ela roda certinho todo dia mas mora num compartilhamento que qualquer máquina alcança, ela vai junto no mesmo incidente. Cópia alcançável pela rede que você quer proteger é cópia que já está no mesmo barco. É por isso que ela é uma linha própria neste mapa, e não um detalhe do financeiro.
O atalho honesto
Onde o sistema mora
muda a conta inteira.
As quatro redes acima são o desenho da sua sede, e dá pra fazer com o que você já tem. Mas repare onde a conversa termina: no servidor. É ele que o caixa não devia alcançar, é ele que guarda o que o financeiro abre, e é a cópia dele que precisa morar longe.
Quando o sistema roda dentro do datacenter, essa separação já vem desenhada. A rede do cliente é a rede do cliente, o acesso é por caminho controlado em vez de por vizinhança de cabo, e a cópia mora fora do prédio por construção, não por combinação. A sua sede continua tendo que separar o caixa do wi-fi da visita, mas o que dói perder deixa de estar do outro lado do mesmo switch.
É a diferença entre proteger o servidor de tudo o que existe na sua rede, e não ter o servidor pendurado nela.
1982
infra de TI
2015
DC próprio
SC
Florianópolis
4
operadoras
Quer que a gente olhe
a sua rede junto com você?
A gente olha o seu sistema e o seu contexto, roda as quatro redes contra o que você tem hoje e mostra o que separar primeiro no seu caso.
Você sai com a ordem escrita: o que dá pra fazer com o equipamento que já está instalado, e o que muda de figura dependendo de onde o sistema mora.
Se não fizer sentido mudar nada, a ordem é sua do mesmo jeito.
Infotécnica desde 1982. Datacenters próprios em Florianópolis desde 2015. Suporte humano, em português.