Guia de cibersegurança e resiliência do DMS do concessionário

1. Modele a superfície de ataque real do concessionário

O DMS raramente funciona isolado. Troca dados de clientes, veículos, preços, reparações, peças e contabilidade com o CRM, os portais do OEM, os fornecedores de financiamento, os websites, os sistemas de chamadas, as ferramentas de diagnóstico e as folhas de cálculo. As redes das sucursais incluem endpoints de escritório, equipamento de oficina, Wi-Fi, impressoras, câmaras e acesso remoto de fornecedores. Cada identidade e interface faz parte do perímetro operacional.

Comece por um inventário de ativos e de fluxos de dados. Registe o proprietário, a finalidade, os utilizadores, o administrador, a exposição à internet, a autenticação, as integrações, a sensibilidade dos dados, o fornecedor e a dependência de recuperação. Inclua interfaces inativas e contas robóticas. As ligações legadas desconhecidas são especialmente perigosas porque podem manter permissões amplas depois de terminar a sua finalidade de negócio.

A ENISA analisou 4875 incidentes para o seu Threat Landscape 2025. No seu subconjunto de cibercrime, o ransomware representou 81,1 %, enquanto as violações associadas a ransomware representaram 15,2 % dos incidentes no total. [1] Estes denominadores são diferentes e não devem ser confundidos. A lição operacional é que os concessionários precisam tanto de prevenção como de capacidade de recuperação.

2. Faça da identidade o plano de controlo de segurança

Exija autenticação multifator resistente a phishing sempre que disponível, sobretudo para administradores, e-mail, acesso remoto e finanças. Centralize o início de sessão sempre que viável e bloqueie contas de utilizador partilhadas. As contas de serviço precisam de proprietários, âmbitos restritos, segredos rotativos e nenhuma utilização interativa. As credenciais de API devem ser guardadas num gestor de segredos, não em scripts ou tickets.

Implemente um processo de entradas, transferências e saídas que reflita a rotatividade do concessionário e as mudanças de função. Desative o acesso rapidamente na saída, remova as permissões da sucursal anterior numa transferência e reveja regularmente os acessos privilegiados. Separe a capacidade de criar um fornecedor, aprovar um pagamento, exportar dados de clientes e alterar definições de segurança.

Monitorize localizações de início de sessão invulgares, deslocações impossíveis, exportações em massa, alterações de privilégios, registos desativados e alterações massivas de registos. Os alertas precisam de responsáveis e de planos de resposta. Preserve os registos de auditoria fora do alcance da conta monitorizada e sincronize a hora entre sistemas para que os investigadores possam reconstruir os acontecimentos.

3. Reduza a exposição técnica e o risco de integração

Aplique primeiro correções às vulnerabilidades expostas à internet e exploradas, com base na criticidade do ativo e na evidência de ameaças. Remova software de controlo remoto sem suporte e feche portas não utilizadas. Segmente os dispositivos de diagnóstico e de oficina dos serviços de finanças e identidade. O acesso dos fornecedores deve ser limitado no tempo, aprovado e monitorizado.

Proteja as integrações como software de produção. Valide o esquema e a autorização, utilize idempotência para evitar eventos financeiros duplicados, limite os dados devolvidos e proteja os endpoints de webhook contra falsificação e reprodução. Aplique credenciais separadas por ambiente e por parceiro. Uma única conta de integração todo-poderosa anula o desenho de papéis.

4. Conceba a recuperação em torno das operações do concessionário

Defina o objetivo de ponto de recuperação, o objetivo de tempo de recuperação e a interrupção máxima tolerável para a captação de leads, o agendamento da oficina, as peças, a faturação, a entrega do veículo e o processamento salarial. As dependências são importantes: restaurar o DMS sem a identidade, o DNS, o armazenamento de documentos ou a ligação ao OEM pode não restaurar um serviço útil.

Mantenha cópias de segurança imutáveis ou isoladas, protegidas por credenciais distintas da administração de produção. Teste a restauração num ambiente limpo e verifique a consistência dos dados, não apenas se os ficheiros existem. Registe o tempo despendido e os passos manuais. Conserve os contactos dos fornecedores e a informação de licenciamento num pacote de resposta offline.

Prepare procedimentos de paragem controlada: como verificar os clientes, registar o trabalho, autorizar a entrega do veículo, registar as peças, proteger os formulários em papel e reconciliar as transações após a recuperação. Pratique com os responsáveis das sucursais. A continuidade manual não é uma licença para contornar os controlos de fraude e privacidade.

5. Trate os fornecedores como parte do ambiente de controlo

Solicite evidência proporcional ao risco: alojamento e residência dos dados, encriptação, controlos de identidade, registos de auditoria, desenvolvimento seguro, gestão de vulnerabilidades, garantia independente, abordagem aos testes de intrusão, histórico de incidentes, subcontratantes, continuidade, devolução e eliminação de dados. Um certificado é útil, mas não responde se um concessionário configurou a MFA ou tem permissões excessivas.

Os contratos devem definir a notificação de incidentes, a cooperação, a preservação de evidências, os objetivos de recuperação, as alterações de subcontratantes e o apoio à saída. Identifique quartas partes que possam interromper significativamente o serviço. Reavalie na renovação e após alterações importantes de arquitetura ou de propriedade.

Para os dados pessoais, o artigo 32.º do RGPD exige que os responsáveis e os subcontratantes apliquem medidas adequadas ao risco, incluindo, quando apropriado, a encriptação, a resiliência, a restauração e testes regulares. [2] Esta abordagem baseia-se no risco, não é uma lista de verificação fixa.

6. Compreenda a NIS2 e as regras sobre veículos sem exagerar o seu alcance

A NIS2 é a Diretiva (UE) 2022/2555, pelo que os Estados-Membros a transpõem para o direito nacional. O âmbito depende do setor, do tipo de entidade, das regras de dimensão, das opções nacionais e da designação. O fabrico de veículos automóveis consta do anexo II, e determinados fornecedores de nuvem, de serviços geridos e digitais são categorias abrangidas. Um concessionário comum não fica automaticamente abrangido apenas por vender ou dar assistência a veículos. [3]

Mesmo quando um concessionário está fora do âmbito direto, os contratos com o OEM ou com fornecedores podem transmitir requisitos. As entidades abrangidas enfrentam obrigações de governação, gestão de risco e comunicação de incidentes nos termos da transposição nacional. Verifique a entidade jurídica e a legislação nacional em vigor, em vez de se basear num resumo ao nível da UE.

Os Regulamentos n.º 155 e 156 da UNECE abordam a cibersegurança dos veículos e a gestão de atualizações de software no âmbito da homologação. [4] Dizem respeito principalmente aos fabricantes e aos modelos de veículo homologados, não à certificação de cada DMS de concessionário. Ainda assim, os concessionários podem apoiar atualizações de software controladas, evidência de campanhas e escalonamento de incidentes na cadeia automóvel mais ampla.

Onde a Omnetic se encaixa

Os módulos documentados da Omnetic ligam o CRM, o ciclo de vida do veículo, o stock, os preços e os fluxos de inspeção. Menos passagens sem controlo pode melhorar a visibilidade operacional, mas a consolidação também concentra a dependência e tem de ser protegida em conformidade. A documentação do produto refere API, webhooks, identificadores externos e exportações agendadas sem publicar um catálogo público completo de segurança ou de interfaces.

Antes de escolher, peça à Omnetic evidência sobre o alojamento, a residência dos dados, a encriptação, o RBAC, a MFA ou 2FA, os registos de auditoria, o isolamento das cópias de segurança, os testes de recuperação, as condições em caso de incidente, a gestão de vulnerabilidades, os subcontratantes e a segurança das integrações. Valide a configuração e as responsabilidades no país e no pacote pretendidos.