Cyber security para PMEs: o checklist do que realmente reduz risco

Existe uma crença persistente e perigosa entre empresas de pequeno e médio porte: a de que são alvos pouco interessantes. "Quem vai querer atacar a gente?"

A pergunta parte de uma premissa errada. A maior parte dos ataques não escolhe alvo — ela varre a internet procurando qualquer sistema com uma vulnerabilidade conhecida ou uma senha fraca. Não há seleção, há oportunidade. E empresas menores costumam ser mais vulneráveis justamente porque investiram menos em defesa, o que as torna alvos mais atraentes em termos de esforço por retorno, não menos.

A boa notícia é que a maior parte do risco é eliminada por um conjunto pequeno de controles bem implementados. Este artigo lista esses controles, na ordem em que devem ser feitos.

O princípio de priorização

Não existe segurança absoluta, e o orçamento é finito. A pergunta certa não é "estamos seguros?", e sim "qual o próximo real que reduz mais risco?".

Os dados de incidentes reais são consistentes há anos: a esmagadora maioria dos comprometimentos bem-sucedidos em empresas menores começa por um de quatro caminhos — credencial roubada ou fraca, phishing, sistema exposto sem correção, e configuração equivocada. Nenhum deles exige ataque sofisticado.

Portanto, os primeiros investimentos devem fechar exatamente essas quatro portas. Ferramentas avançadas de detecção antes disso são como instalar alarme sofisticado numa casa com a porta destrancada.

Nível 1 — O essencial inegociável

1. Autenticação multifator em tudo que for possível

É, isoladamente, o controle com melhor relação entre custo e redução de risco que existe. Senha roubada deixa de ser suficiente para o invasor entrar.

Prioridade de implantação: contas administrativas primeiro, depois e-mail corporativo, depois acesso remoto e VPN, depois sistemas financeiros, depois todo o resto.

Prefira aplicativo autenticador ou chave física a SMS. SMS é melhor do que nada, mas é vulnerável a troca fraudulenta de chip — um golpe comum no Brasil.

2. Backup que realmente funciona

A regra 3-2-1 continua sendo o padrão: três cópias dos dados, em dois tipos de mídia diferentes, com uma delas fora do ambiente. Acrescente uma exigência moderna: pelo menos uma cópia imutável ou desconectada, que não possa ser apagada nem criptografada mesmo por quem tiver acesso administrativo.

Esse detalhe é o que diferencia sobreviver a um ataque de ransomware de pagar resgate. Ataques modernos procuram e destroem os backups antes de criptografar os dados de produção.

E o ponto mais importante: teste a restauração. Mensalmente, restaure algo de verdade e cronometre. Empresas descobrem que o backup estava falhando há oito meses exatamente no dia em que precisam dele.

3. Atualização e correção de sistemas

Vulnerabilidades exploradas em massa são, quase sempre, falhas conhecidas com correção disponível há meses. Estabeleça: correções críticas em sistemas expostos à internet dentro de 72 horas; demais sistemas em ciclo mensal; e inventário do que existe, porque não se corrige o que não se sabe que está lá.

Atenção especial ao que está publicado na internet: firewall, VPN, servidor de e-mail, portal de acesso remoto, câmeras e equipamentos de rede. É por aí que entram.

4. Proteção de endpoint moderna

Antivírus tradicional baseado em assinatura não é mais suficiente. A categoria adequada é detecção e resposta em endpoint, que observa comportamento e permite investigação e contenção remota.

Cobertura precisa ser total: todos os notebooks, incluindo os de diretoria — que são alvos preferenciais e frequentemente os únicos sem controle, por conveniência.

5. Controle de privilégios

Ninguém deve trabalhar no dia a dia com conta administrativa. Contas administrativas devem ser separadas, nominais, com autenticação multifator e usadas apenas quando necessário.

Revise trimestralmente quem tem acesso a quê. E tenha um processo de desligamento que revogue acessos no mesmo dia — ex-funcionário com acesso ativo é uma das exposições mais comuns e mais fáceis de evitar.

Nível 2 — Consolidação

6. Segmentação de rede

Rede plana significa que quem compromete um computador da recepção alcança o servidor financeiro. Separe minimamente: rede de servidores, rede de estações, rede de visitantes, rede de dispositivos e equipamentos. É trabalho de configuração, não necessariamente de compra.

7. Registro centralizado e monitoramento

Sem registros centralizados, um incidente é impossível de investigar. Colete e retenha, no mínimo: autenticações, ações administrativas, tráfego de borda e eventos de endpoint. Retenção mínima recomendada de 12 meses — muitos comprometimentos só são descobertos meses depois.

8. Segurança de e-mail

O e-mail continua sendo o principal vetor. Implemente os mecanismos de autenticação de domínio — SPF, DKIM e DMARC — configurados em modo de rejeição, não apenas de monitoramento. Isso impede que terceiros enviem mensagens se passando pelo seu domínio, um golpe frequente contra clientes e fornecedores.

Adicione filtro de anexos e links, e sinalização visual clara de mensagens externas.

9. Treinamento de pessoas

A maior parte dos ataques bem-sucedidos precisa que alguém clique. Treinamento funciona quando é curto, frequente e baseado em exemplos reais do setor da empresa — não em apresentação anual de duas horas.

Simulações de phishing são úteis, com uma condição: o objetivo é medir e ensinar, não punir. Cultura de medo faz com que a pessoa que clicou esconda o incidente, transformando um problema de dez minutos em um de dez dias.

10. Gestão de fornecedores

Boa parte dos comprometimentos chega por terceiros com acesso ao ambiente: suporte de sistema, contabilidade, empresa de manutenção. Exija autenticação multifator, acesso temporário e registrado, e remova acessos ao fim do contrato.

Nível 3 — Maturidade

Depois dos dois primeiros níveis, faz sentido investir em: testes de intrusão periódicos, gestão contínua de vulnerabilidades com priorização por exposição real, plano formal de continuidade de negócio com teste anual, cofre de senhas corporativo, criptografia de disco em todos os dispositivos móveis e classificação formal de dados.

Um ponto sobre seguro cibernético: pode fazer sentido, mas leia as exclusões com atenção. Apólices modernas frequentemente exigem controles mínimos — autenticação multifator, backup imutável, proteção de endpoint — e negam cobertura na ausência deles. O seguro não substitui o controle; ele pressupõe o controle.

Quanto custa e como justificar o orçamento

A objeção mais comum em empresas de médio porte não é técnica: é a dificuldade de justificar investimento em algo cujo sucesso é a ausência de eventos. Ninguém recebe elogio por incidente que não aconteceu.

O argumento que funciona em reunião de diretoria não é o medo — é o cálculo de exposição, feito com números da própria empresa.

Comece pelo custo de parada. Divida o faturamento mensal pelos dias úteis e pelas horas de operação. Uma empresa que fatura R$ 2 milhões por mês perde aproximadamente R$ 11 mil por hora de operação totalmente parada, considerando apenas receita. Some folha ociosa, retrabalho, prazos contratuais perdidos e o custo de recuperação emergencial, que costuma multiplicar por dois ou três a conta.

Estime o tempo de indisponibilidade em um cenário de ransomware. Sem backup imutável testado, o tempo típico de recuperação em empresas de médio porte se conta em semanas, não dias. Com backup testado e plano de restauração cronometrado, cai para dias. Essa diferença, multiplicada pelo custo horário, é o valor do investimento em backup — e normalmente ele é uma ordem de grandeza menor do que a perda evitada.

Inclua o custo regulatório e comercial. Sob a LGPD, incidentes com dados pessoais podem gerar sanções administrativas, mas o impacto mais imediato costuma ser comercial: clientes corporativos e órgãos públicos cada vez mais exigem evidência de controles em processos de contratação. Perder uma concorrência por não ter política de segurança documentada é um custo concreto que já acontece.

Apresente em níveis, não como pacote único. Uma proposta de "programa de segurança" com valor cheio costuma ser adiada. A mesma proposta dividida em Nível 1 — com os controles de maior impacto e custo modesto —, Nível 2 e Nível 3 é aprovada por partes, e o Nível 1 sozinho já elimina a maior parte da exposição.

Uma referência útil de proporção: empresas com maturidade razoável investem entre 5% e 10% do orçamento total de TI em segurança. Organizações partindo praticamente do zero costumam precisar de um esforço concentrado maior no primeiro ano, com redução ao patamar de manutenção a partir do segundo.

O ponto central da conversa com a diretoria não é qual ferramenta comprar. É estabelecer que existe um nível de risco que a empresa aceita conscientemente e um que ela não aceita — e que essa é uma decisão de negócio, não de TI.

O plano de resposta a incidentes

Ter um plano é o que diferencia um incidente contido de uma crise. Ele precisa caber em poucas páginas e ser conhecido antes de ser necessário.

Quem aciona e quem decide. Nomes e telefones, incluindo alternativas. Se o plano só existe no e-mail corporativo e o e-mail está indisponível, ele não existe.

Como isolar. Procedimento para desconectar máquina, bloquear conta, isolar segmento de rede — com autorização prévia para que a operação aconteça em minutos, não após aprovação em reunião.

O que preservar. Não desligue máquinas comprometidas antes de preservar evidência: memória e registros são perdidos. Isole da rede, mas mantenha ligado, salvo orientação em contrário.

A quem comunicar. Diretoria, jurídico, clientes afetados. Sob a LGPD, incidentes com risco relevante aos titulares exigem comunicação à autoridade nacional e aos titulares em prazo razoável. Ter isso definido previamente evita decisões ruins sob pressão.

Como voltar. Ordem de restauração por criticidade, com verificação de que o ambiente restaurado não traz de volta o comprometimento.

Teste o plano ao menos uma vez por ano, em exercício de mesa: reúna os envolvidos por 90 minutos e conduza um cenário hipotético. É barato e revela lacunas com precisão desconfortável.

A pergunta que todo diretor deveria fazer ao time de TI: se hoje à noite todos os nossos servidores forem criptografados, em quanto tempo estamos operando de novo, e como você sabe disso?

Sobre ransomware especificamente

É a ameaça de maior impacto para empresas de médio porte, e a preparação é razoavelmente bem conhecida.

Do lado da prevenção: autenticação multifator, correção de sistemas expostos, restrição de privilégios e segmentação. Do lado da resiliência: backup imutável testado, plano de restauração cronometrado e registros que permitam identificar o ponto de entrada.

Sobre pagar resgate: além das implicações legais e éticas, os dados de mercado mostram que uma parcela relevante de quem paga não recupera integralmente os dados, e que empresas que pagaram têm maior probabilidade de serem atacadas novamente. A decisão de não depender dessa opção é tomada antes do ataque, ao investir em backup.

Por onde começar esta semana

1. Ative autenticação multifator em todas as contas administrativas e no e-mail corporativo.
2. Faça uma restauração de teste de um backup e cronometre.
3. Liste tudo que está publicado na internet e verifique se está atualizado.
4. Revise quem tem acesso administrativo e remova o que não se justifica.
5. Confirme que os acessos de todos os desligados dos últimos 12 meses foram revogados.

Esses cinco itens não exigem projeto nem orçamento relevante, e eliminam a maior parte do risco de comprometimento oportunista.

Quem é o responsável

Um detalhe organizacional determina mais o resultado do que qualquer escolha de ferramenta: segurança precisa ter um dono nomeado.

Em empresas de médio porte raramente se justifica um cargo dedicado, e a solução prática é atribuir a responsabilidade formalmente a alguém — normalmente o gestor de TI — com apoio externo especializado e, crucialmente, com tempo alocado para isso na agenda. Responsabilidade sem tempo protegido é responsabilidade nominal, e o operacional sempre vence o preventivo quando ambos disputam a mesma hora.

O escopo desse papel: manter o inventário de ativos, conduzir o ciclo de correções, revisar acessos trimestralmente, verificar o backup mensalmente, acompanhar os alertas e manter o plano de resposta atualizado e testado. É trabalho de rotina, não de projeto, e é essa regularidade que produz o resultado.

Conclusão

Segurança em empresa de médio porte não é sobre comprar a ferramenta mais avançada. É sobre fechar com disciplina as portas que os ataques reais usam: credencial fraca, sistema desatualizado, privilégio excessivo e ausência de backup confiável.

O conjunto de controles do Nível 1 deste artigo é acessível para praticamente qualquer empresa e responde pela maior parte da redução de risco possível. O que impede sua adoção quase nunca é custo — é ausência de responsável designado e de rotina estabelecida.

A BHELP.tech faz esse diagnóstico e conduz a implantação com priorização por risco real, incluindo o plano de resposta e o exercício de teste. Se você não sabe responder em quanto tempo sua empresa voltaria a operar após um ataque, esse é o número por onde começar.