Uma avaliação Fortinet para PME começa raramente pela escolha de uma firewall. Começa, quase sempre, por uma pergunta mais exigente: o que acontece à empresa se o acesso ao ERP, ao email, às aplicações cloud ou aos dados dos clientes falhar durante duas horas? Para uma PME, a resposta traduz-se em faturação interrompida, equipas paradas, perda de confiança e uma pressão imediata sobre uma equipa de IT que, muitas vezes, já trabalha no limite.

É por isso que não recomendo avaliar Fortinet apenas por portas, débito ou preço de aquisição. A decisão deve considerar a superfície de ataque, os serviços críticos, a capacidade de operação interna e o custo total de propriedade ao longo de três a cinco anos. Uma firewall bem dimensionada e mal operada continua a ser um risco. Uma solução aparentemente mais económica, mas sem licenciamento adequado, suporte ou monitorização, pode sair cara no primeiro incidente.

O que deve medir numa avaliação Fortinet para PME

Fortinet é uma plataforma de cibersegurança ampla, mas uma PME não precisa de adquirir todos os componentes disponíveis para ficar protegida. Precisa de definir uma arquitetura proporcional ao risco e que possa ser operada de forma consistente. O ponto de partida é saber onde estão os ativos relevantes e como circula a informação entre utilizadores, escritórios, cloud, fornecedores e clientes.

Uma avaliação séria deve identificar os serviços expostos à internet, as ligações entre filiais, os acessos remotos, a utilização de Microsoft 365 ou outras aplicações SaaS, os equipamentos sem gestão centralizada e a existência de redes Wi-Fi, IoT ou OT. Também deve analisar a dependência de uma única ligação de internet e a separação entre rede de utilizadores, servidores, convidados e sistemas de produção.

Este levantamento permite distinguir um cenário simples de acesso à internet de uma infraestrutura onde uma falha num equipamento periférico pode abrir caminho para ransomware nos servidores. A diferença não é académica: determina o modelo de FortiGate, as subscrições de segurança, a necessidade de redundância e o esforço operacional necessário.

Desempenho real, não apenas débito anunciado

O débito de firewall indicado pelo fabricante não deve ser confundido com o desempenho disponível quando estão ativas funções de proteção. Inspeção SSL, prevenção de intrusões, antivírus, filtragem web, controlo de aplicações e análise de tráfego consomem recursos. Num ambiente empresarial, são precisamente estas funções que justificam o investimento.

A questão correta não é "qual é a velocidade da firewall?". É: qual é o desempenho esperado com os perfis de segurança ativos, durante picos de utilização, com VPN para colaboradores e filiais, e com margem para crescimento? Dimensionar apenas para a utilização atual cria um problema previsível quando a empresa adota mais aplicações cloud, aumenta a largura de banda ou exige inspeção de tráfego encriptado.

Convém ainda validar o número de sessões concorrentes, a capacidade de VPN IPSec e SSL-VPN, as portas físicas necessárias e as opções de alta disponibilidade. Uma PME com operações contínuas, armazéns, atendimento ao público ou equipas remotas pode não tolerar que a firewall seja um único ponto de falha. Nestes casos, um par em alta disponibilidade e duas ligações WAN podem ter mais valor do que uma solução isolada de gama superior.

A arquitetura deve responder ao risco operacional

Uma FortiGate pode concentrar funções que, noutras arquiteturas, exigiriam vários produtos: firewall de nova geração, VPN, segmentação de rede, SD-WAN e controlo de tráfego. Esta consolidação reduz complexidade, mas não elimina a necessidade de desenho técnico. Pelo contrário, torna as decisões de arquitetura mais relevantes.

Para uma PME com uma sede e alguns trabalhadores remotos, a prioridade pode ser proteger a saída para internet, controlar aplicações, aplicar MFA no acesso remoto e obter visibilidade sobre eventos relevantes. Para uma empresa com filiais, o foco pode passar por SD-WAN, túneis entre localizações, políticas centralizadas e continuidade de acesso caso um operador falhe. Num ambiente com servidores locais e workloads em cloud, importa definir onde se aplica a inspeção, como se segmenta o tráfego e quem mantém as regras atualizadas.

A segmentação merece atenção particular. Muitas redes empresariais continuam a permitir comunicação excessiva entre postos de trabalho, servidores, impressoras, Wi-Fi de convidados e equipamentos industriais. Quando um posto é comprometido, essa ausência de separação facilita a movimentação lateral do atacante. Com políticas bem desenhadas, a firewall limita as comunicações ao estritamente necessário e reduz o impacto de uma credencial roubada ou de um ficheiro malicioso.

Não se trata de bloquear tudo indiscriminadamente. Trata-se de conhecer dependências de negócio e aplicar controlo sem interromper aplicações críticas. É aqui que a experiência de implementação faz diferença: uma regra demasiado permissiva cria exposição; uma regra mal testada pode parar uma integração de faturação, uma ligação VPN ou um processo logístico.

Licenciamento e suporte: onde surgem os custos esquecidos

O equipamento é apenas uma parte da decisão. Os serviços FortiGuard dão acesso a capacidades como IPS, antivírus, filtragem web, controlo de aplicações, inteligência de ameaças e proteção avançada contra malware. Uma avaliação deve esclarecer quais os serviços incluídos, por quanto tempo e quais são indispensáveis à política de segurança definida.

Também é necessário separar garantia de fabricante, substituição de hardware, suporte técnico e operação diária. Ter direito a abrir um pedido ao fabricante não equivale a ter alguém a analisar alertas, a rever políticas, a atualizar firmware de forma controlada ou a intervir num incidente dentro de um SLA contratual.

Esta distinção é essencial para equipas de IT reduzidas. Se a organização não dispõe de recursos para acompanhar registos, validar eventos e manter regras de firewall, a aquisição sem serviços geridos pode transformar-se numa falsa autonomia. A empresa mantém o equipamento, mas não mantém a proteção em condições operacionais.

A ITPOINT trabalha esta avaliação como responsabilidade de infraestrutura, não como simples fornecimento de uma caixa. Isso inclui relacionar a segurança de perímetro com backup, identidade, rede, postos de trabalho e continuidade de negócio. Um atacante não distingue categorias de produto. Explora a falha mais acessível.

Fortinet, NIS2 e evidência de controlo

Nem todas as PME estarão diretamente abrangidas pela NIS2, mas muitas serão afetadas por exigências de clientes, cadeias de fornecimento, auditorias ou seguros de cibersegurança. A questão prática é demonstrar que existem medidas proporcionais de gestão de risco e que essas medidas são verificáveis.

Uma plataforma Fortinet pode apoiar este objetivo através de políticas centralizadas, registos, relatórios, controlo de acesso remoto, segmentação e deteção de ameaças. No entanto, a ferramenta por si só não cria governança ativa. É preciso definir quem aprova alterações, quem revê acessos, quanto tempo se retêm os registos, como se tratam vulnerabilidades e qual é o processo de resposta a incidentes.

A documentação também conta. Uma arquitetura sem diagrama atualizado, regras sem proprietário e exceções sem justificação torna-se difícil de operar e quase impossível de auditar. Para a direção, este ponto deve ser visto como controlo de risco e não apenas como formalidade técnica.

Um processo de decisão em quatro fases

A forma mais segura de avançar passa por diagnóstico, arquitetura, implementação e operação contínua. No diagnóstico, inventariam-se ativos, ligações, requisitos de disponibilidade, riscos e limitações da infraestrutura existente. Na arquitetura, define-se o dimensionamento, as licenças, a segmentação, a redundância e o modelo de gestão.

A implementação deve incluir configuração por políticas, migração faseada de regras, testes de VPN, validação de aplicações críticas, ativação de registos e documentação de entrega. A mudança de firewall não deve ser tratada como uma intervenção de última hora ao fim do dia. Exige janela de manutenção, plano de reversão, responsáveis identificados e critérios claros de aceitação.

Por fim, a operação contínua transforma a solução instalada num controlo de segurança vivo. Inclui monitorização, atualização de firmware segundo uma política definida, revisão de regras, acompanhamento de alertas e reporte regular. O conteúdo do serviço depende do risco e do SLA pretendido, mas a responsabilidade não pode ficar ambígua.

Uma avaliação bem feita não termina com uma proposta comercial. Termina quando a empresa sabe o que está a proteger, quanto tempo pode parar, quem responde quando algo falha e como manterá esse controlo nos próximos anos. É essa clareza que permite escolher Fortinet com critério - e operar a infraestrutura sem improvisos.