As atualizações têm um problema de perceção: chegam quando não fazem falta, interrompem aquilo que estavas a fazer e, de vez em quando, mexem em coisas que funcionavam bem. Manter o software atualizado parece, visto assim, uma tarefa que se pode empurrar sempre para a frente sem grande custo.
A consequência é que quase toda a gente adia. «Lembra-me mais tarde» é uma resposta razoável à primeira vez; repetida vezes suficientes, deixa de ser um adiamento e passa a ser uma decisão.
O que este artigo procura tornar concreto é outra coisa: uma atualização não é uma novidade, é uma reparação. Na maior parte dos casos fecha uma falha que já é conhecida — também por quem a poderia aproveitar. E é por isso que o atraso com que a instalas pesa mais do que parece.
Há ainda um pormenor que muda a maneira de olhar para o assunto: a partir do momento em que a correção existe, quem não a instalou fica mais exposto do que estava na véspera, não menos.
Nota de variante: este texto está em português europeu. Onde se lê telemóvel, no Brasil diz-se celular; definições são configurações e aplicação é aplicativo.
O que diz esta recomendação
A recomendação R6 estabelece que o software dos dispositivos deve ser mantido na versão mais recente disponível e que, onde existir a opção, se ativem as atualizações automáticas.
A palavra «software», aqui, significa tudo, e não apenas o sistema operativo:
- o sistema operativo do telemóvel, do tablet e do computador;
- as aplicações instaladas, incluindo as que abres duas vezes por ano;
- o browser e as extensões que lhe foram acrescentadas;
- o firmware do router e dos restantes aparelhos ligados à rede;
- os programas menos usados, que são também os mais esquecidos.
O que não é. Não é o pedido para instalares cada novidade no próprio dia, nem diz respeito apenas a funções novas. A parte que conta são as correções de segurança: alterações que fecham falhas já descobertas e já documentadas.
Porquê «automáticas». Não por preguiça, mas porque a variável que decide a proteção é o tempo. Uma atualização instalada três meses depois deixou três meses abertos. O automatismo retira do caminho a decisão repetida — e a decisão repetida é o ponto exato onde o comportamento cede.
Onde se aplica. Em qualquer dispositivo pessoal, familiar ou profissional que se ligue a uma rede. Manter o software atualizado não é um cuidado reservado ao computador de trabalho: o aparelho que ninguém vigia costuma ser precisamente aquele que está ligado há mais tempo sem receber uma única reparação.
Porque é que isto importa
O mecanismo é menos intuitivo do que parece, e vale a pena vê-lo por inteiro.
Quando se descobre num programa uma falha que pode ser aproveitada, quem o produz prepara uma correção e distribui-a. A partir desse instante a correção é pública — e a existência dela revela a falha também a quem não a conhecia.
Daqui decorre uma consequência que costuma surpreender: o período de maior risco não é antes da atualização, é logo a seguir à publicação da correção, para quem ainda não a instalou. A falha é conhecida, a solução existe, e os aparelhos que continuam sem ela são fáceis de identificar à distância, sem que ninguém tenha de os escolher um a um.
O caso em que a falha é aproveitada antes de existir correção tem nome próprio, vulnerabilidade zero-day, e é o caso raro. O caso corrente é o contrário: a correção existe há semanas e o aparelho continua sem ela. O programa que aproveita a falha chama-se exploit e não é escrito de novo para cada pessoa — basta um, e serve para toda a gente que ainda não atualizou. É esse o assunto de ataques a falhas conhecidas; o que fica a descoberto enquanto a reparação não chega está descrito em impacto das falhas de segurança por corrigir.
| Benefício | Porque conta |
|---|---|
| Fecha falhas já conhecidas | Depois de publicada a correção, a falha deixa de ser segredo para seja quem for |
| Reduz a janela de exposição | O tempo entre a correção e a instalação dela é o risco verdadeiro |
| Protege sem pedir atenção | Uma vez automatizado, funciona também nos dias em que não pensas nisso |
| Cobre o elo mais fraco | Muitas vezes não é o sistema operativo, é uma aplicação ou uma extensão esquecida |
| Mantém de pé as outras proteções | Palavras-passe, cifragem e segundo fator contam com um sistema saudável |
Há ainda um ponto que toca todas as recomendações anteriores: um dispositivo com falhas por corrigir enfraquece tudo o resto. Palavras-passe diferentes para cada conta, um gestor de palavras-passe, a autenticação de dois fatores (2FA) e o código de desbloqueio partem todos do princípio de que o aparelho onde correm é de confiança. Quando não é, protegem bastante menos do que parecem proteger.
Um exemplo concreto
O João tem um tablet que usa para ler e para a contabilidade de casa. Deixou de o atualizar há três anos: as atualizações eram lentas, pediam sempre o momento errado, e o tablet funcionava.
Entretanto, o fabricante deixou de distribuir correções para aquele modelo. Não é uma avaria nem um defeito de fabrico: é o fim do suporte, e acontece a todos os dispositivos, mais cedo ou mais tarde.
O tablet continua a funcionar perfeitamente. Mas todas as falhas descobertas a partir daquela data ficam abertas, e a lista aumenta de mês para mês, sem que nada no ecrã dê sinal disso.
É o cenário mais traiçoeiro de todos, porque não há aviso nenhum: o aparelho não fica lento, não avisa, não muda de comportamento. Simplesmente deixou de ser reparado. Os indícios que ainda assim se conseguem notar estão reunidos em sinais de um dispositivo sem atualizações.
Quando aplicá-la
- Na configuração de um dispositivo novo. É o momento em que ativar os automatismos não custa nada, porque já estás nas definições.
- Quando aparece a notificação. Adiar uma vez é razoável; adiar por hábito é a decisão que abre a janela.
- No browser, antes de tudo o resto. É o programa mais exposto: conversa todos os dias com sítios que não controlas.
- No router e nos aparelhos ligados à rede. São os que ninguém olha e estão ligados vinte e quatro horas por dia.
- Quando um dispositivo sai do suporte. Tem de se decidir o que fazer com ele: limitar-lhe o uso, isolá-lo da rede principal ou substituí-lo.
- Antes de uma viagem. Mais vale atualizar em casa do que numa rede de que não sabes nada.
- Depois da notícia de um problema de segurança com muita divulgação. É quando a corrida entre a correção e o aproveitamento da falha fica mais rápida.
Como manter o software atualizado, passo a passo
- Ativa as atualizações automáticas do sistema operativo no telemóvel, no tablet e no computador. É a intervenção com o efeito mais amplo de todas.
- Ativa as atualizações automáticas das aplicações, a partir da loja oficial do teu sistema. Quase todas têm a opção, mas nem sempre vem ligada de origem.
- Deixa o browser e as extensões atualizarem-se sozinhos. É o programa mais exposto que tens, e as extensões envelhecem depressa.
- Marca a instalação para uma hora cómoda — de madrugada, ou quando o aparelho está a carregar. Tira do meio o argumento da interrupção.
- Vê o router pelo menos uma vez por ano. A atualização do firmware faz-se no painel de administração do aparelho; alguns modelos recentes tratam disso sozinhos, mas convém confirmar.
- Dá a volta aos aparelhos esquecidos: tablets antigos, televisores ligados à rede, câmaras, impressoras, relógios. Estão tão ligados como os outros e recebem muito menos atenção.
- Confirma o estado do suporte. Se um dispositivo já não recebe atualizações, a decisão tem de ser tomada: substituí-lo, ou limitar-lhe o uso àquilo que não conta.
- Faz uma cópia de segurança antes das atualizações importantes. Raramente alguma coisa corre mal, mas quando corre é a cópia que transforma um problema num aborrecimento.
O percurso completo, por ordem de prioridade, está em gerir as atualizações. E se quiseres perceber o que se passa mesmo dentro do aparelho quando instalas uma correção, está explicado em como funcionam as atualizações de segurança.
As objeções mais frequentes
«As atualizações estragam mais do que reparam.»
Acontece, mas com pouca frequência, e os sistemas de hoje trazem maneiras de voltar atrás. A comparação honesta é entre um risco raro e reversível — uma atualização problemática — e um risco frequente e sem retorno: uma falha conhecida deixada aberta durante meses. Uma cópia de segurança feita antes fecha também o primeiro.
«O meu aparelho é antigo, mas funciona muito bem.»
Funcionar e receber reparações são duas coisas diferentes. Um dispositivo fora do suporte funciona exatamente como funcionava na véspera do fim do suporte: muda apenas que, a partir dali, as falhas descobertas ficam abertas para sempre.
«Não tenho nada de importante naquele aparelho.»
A questão não é o que ele contém, é que está na tua rede. Um dispositivo desatualizado pode ser a porta de entrada para os outros, que contêm alguma coisa. O que costuma seguir-se a essa porta aberta está contado em consequências de software desatualizado.
«Atualizo quando tiver tempo.»
É a intenção mais razoável e a menos eficaz, porque o momento certo não chega nunca. O automatismo existe precisamente para isto: passa a instalação para uma altura em que não estás a fazer nada. Manter o software atualizado deixa assim de depender da tua disponibilidade, que é a variável menos fiável de todas.
Erros comuns a evitar
- «Lembra-me mais tarde», sempre. Um adiamento isolado é razoável; é o hábito que se transforma numa falha.
- Atualizar só o sistema operativo. As aplicações, o browser e as extensões são muitas vezes a via de entrada mais usada.
- Esquecer o router. Está sempre ligado, vê todo o tráfego de casa, e quase ninguém se lembra dele.
- Confundir «funciona» com «está seguro». Um aparelho fora do suporte funciona muito bem: apenas já não é reparado.
- Adiar com medo de perder alguma coisa. O risco existe, mas é pequeno, e a cópia de segurança feita antes cobre-o.
- Descarregar atualizações de origens não oficiais. As atualizações vêm do sistema ou da loja oficial — nunca de uma ligação recebida numa mensagem.
- Confiar em janelas que anunciam atualizações enquanto navegas. Uma atualização verdadeira não se propõe a partir de uma página web. Não instales nada que tenha aparecido dessa maneira.
- Guardar aplicações que já não usas. Cada programa instalado é mais uma superfície para manter: se não serve para nada, desinstala-se.
Ligação ao Framework Cyber Welfare
A R6 é uma das recomendações com a melhor relação entre o esforço pedido e o resultado obtido: configura-se uma vez e passa a proteger sozinha, todos os dias, sem voltar a pedir nada.
| Pilar | Contributo deste conteúdo |
|---|---|
| Competências | Saber configurar os automatismos e verificar o estado do suporte de um dispositivo |
| Consciência | Perceber que uma atualização é uma reparação e que o atraso é que constitui o risco |
| Comportamento Seguro | Não adiar por hábito e incluir na volta também os aparelhos de que ninguém se lembra |
Níveis de maturidade digital.
- FL1 – Básico. Vais adiando as atualizações; há aparelhos teus que não recebem nenhuma há muito tempo.
- FL2 – Inicial. Tens as atualizações automáticas ativas no telemóvel e no computador.
- FL3 – Autónomo. Tens-nas ativas também nas aplicações, no browser e nas extensões, e verificas o router com regularidade.
- FL4 – Hábil. Conheces o estado do suporte dos teus dispositivos e decides em função disso; fazes uma cópia de segurança antes das atualizações importantes.
- FL5 – Especialista-Guia. Ajudas outras pessoas a pôr os aparelhos em ordem, incluindo aqueles para os quais ninguém olha.
O nível de referência deste conteúdo é o FL1 – Básico.
Como verificar se a estás mesmo a aplicar
Três perguntas, para responder sem arredondar a favor.
- Quando é que instalei a última atualização no telemóvel e no computador?
- O meu router ainda recebe atualizações, e quando foi a última que lhe chegou?
- Tenho aparelhos ligados à rede que não atualizo há mais de um ano?
Lista breve
- ☐ Atualizações automáticas ativas no sistema operativo de todos os dispositivos
- ☐ Atualizações automáticas ativas nas aplicações
- ☐ O browser e as extensões atualizam-se sozinhos
- ☐ O router foi verificado nos últimos doze meses
- ☐ Sei quais dos meus dispositivos ainda têm suporte
- ☐ Desinstalei as aplicações que não uso
- ☐ Só aceito atualizações vindas do sistema ou das lojas oficiais
Se alguma caixa ficar por assinalar, tens ali o próximo passo. Para uma medida mais completa do nível em que estás, podes fazer a Autoavaliação de Resiliência Digital.
Em síntese
Uma atualização não acrescenta funções: na parte que interessa, fecha uma falha já conhecida. E a partir do momento em que a correção existe, quem não a instalou está mais exposto do que estava antes, não menos.
Ativar os automatismos é a resposta mais eficaz porque elimina a decisão repetida — o ponto em que a intenção cede à pressa. O resto é uma volta periódica pelos aparelhos que ninguém olha: router, tablets antigos, câmaras, impressoras. Manter o software atualizado é, no fim de contas, menos uma tarefa do que uma configuração bem feita uma vez só.
Pergunta para pensar. Quantos aparelhos tens em casa ligados à rede — e de quantos deles saberias dizer quando foi a última atualização?
Aprofundar esta recomendação
Esta recomendação é o núcleo de uma unidade de conteúdos. Cada artigo aprofunda um aspeto diferente do mesmo problema.
- impacto das falhas de segurança por corrigir — o que fica exposto quando uma correção não é instalada
- consequências de software desatualizado — os efeitos concretos, do trabalho ao dinheiro
- gerir as atualizações — a configuração completa, por ordem de prioridade
- sinais de um dispositivo sem atualizações — como dar conta de que as reparações acabaram
- como funcionam as atualizações de segurança — o que acontece mesmo quando instalas uma correção
- ataques a falhas conhecidas — porque é que o atraso é a janela
Dá o primeiro passo: o Programa «Protege a Tua Privacidade Digital» acompanha-te gratuitamente, uma recomendação de cada vez.
