Quinta-feira, fim de tarde. Chega um e-mail com o logotipo do banco avisando que o acesso da empresa será bloqueado em 24 horas, com um botão para “regularizar o cadastro”. A analista do financeiro, apressada para fechar o dia, clica e digita a senha. A página é falsa. Na segunda-feira, os pagamentos agendados saíram para contas que ninguém reconhece, e a empresa descobre que segurança digital não era um assunto do departamento de TI. Era um assunto do caixa.
Cenas assim raramente envolvem o hacker sofisticado dos filmes. Envolvem um e-mail bem imitado, uma senha repetida desde 2019, o acesso de um ex-funcionário que ninguém desativou. O golpe procura a porta destrancada, e a maioria das pequenas e médias empresas tem várias.
É essa a tese deste artigo: o prejuízo digital em PMEs quase nunca vem de ataque avançado, vem de descuido básico. E a consequência é otimista: as medidas de maior retorno custam pouco, não exigem tecnologia de ponta e podem começar nesta semana.
O que é segurança digital na empresa?
Segurança digital é o conjunto de práticas, ferramentas e rotinas que protegem os sistemas, os dados e o dinheiro da empresa contra golpes, vazamentos, sequestro de informações e paradas de operação. Repare na ordem: práticas e rotinas vêm antes das ferramentas. Comprar um antivírus e considerar o assunto encerrado é o equívoco mais comum do gestor nessa área.
Também vale desfazer uma ilusão frequente: “minha empresa é pequena demais para interessar a criminosos”. Os golpes atuais são automatizados e disparados em massa, sem escolher alvo. O robô que testa senhas vazadas ou envia e-mails falsos não sabe o tamanho da sua empresa. Sabe apenas se a porta abriu.
Quais riscos mais causam prejuízo nas pequenas e médias empresas?
Na prática dos diagnósticos que fazemos, os mesmos suspeitos aparecem repetidamente:
- Phishing. E-mails e mensagens que imitam bancos, fornecedores ou até o próprio diretor pedindo um pagamento urgente ou uma senha. É o golpe de maior alcance porque não ataca o sistema, ataca a pressa das pessoas;
- Senha fraca e reutilizada. A mesma senha no e-mail, no ERP e no site de compras pessoal. Quando um serviço qualquer vaza, criminosos testam a combinação em tudo, e a senha da empresa cai junto com a da pizzaria;
- Acessos de ex-funcionários ativos. A pessoa saiu há oito meses e ainda consegue entrar no e-mail, no sistema de gestão e no drive de arquivos. É uma porta aberta que ninguém vigia, com potencial de dano enorme e assinatura difícil de rastrear;
- Sistemas desatualizados. Atualizações de segurança adiadas por meses deixam brechas conhecidas e publicamente documentadas à disposição de ataques automatizados. É um dos motivos pelos quais tratamos atualização como parte da manutenção de software, não como luxo;
- Ausência de backup confiável. Sem cópia segura e testada, um sequestro de dados ou uma exclusão acidental vira parada de operação por tempo indeterminado, e coloca a empresa na pior mesa de negociação que existe;
- Permissões abertas demais. Todo mundo enxerga tudo: estagiário com acesso à folha de pagamento, vendedor com poder de excluir cadastros. Quanto mais gente pode tudo, maior o estrago de qualquer conta comprometida.
Quais medidas de segurança dão mais retorno?
Se o orçamento e o tempo são curtos, a ordem importa. Estas cinco medidas cobrem a maior parte do risco descrito acima, a um custo que cabe em qualquer PME:
- Autenticação em dois fatores (MFA). Além da senha, um código no celular para confirmar o acesso. É a medida com melhor relação entre esforço e proteção que existe hoje: mesmo com a senha roubada, o invasor não entra. Comece pelo e-mail, pelo sistema financeiro e pelos acessos de administrador;
- Gestor de senhas. Um cofre que cria e guarda senhas fortes e únicas para cada serviço. Acaba com a planilha de senhas e com o post-it no monitor, e torna viável o que nenhum treinamento consegue: senhas diferentes em tudo;
- Rotina de revisão de acessos. Uma vez por trimestre, listar quem tem acesso a quê e cortar o que não se justifica. E um item obrigatório no desligamento de qualquer colaborador: revogar todos os acessos no mesmo dia, sem exceção;
- Atualizações em dia. Sistemas operacionais, aplicativos e o software da empresa com as correções de segurança aplicadas em rotina mensal, não “quando der”. Brecha conhecida e não corrigida é convite com hora marcada;
- Backup automático e testado. Cópias diárias, com pelo menos uma versão fora do ambiente principal, por exemplo em um serviço de nuvem para empresas, e um teste periódico de restauração. Backup que nunca foi restaurado é uma promessa, não uma proteção.
Para dimensionar o contraste com um cenário ilustrativo: implantar MFA e um gestor de senhas em uma empresa de 30 pessoas é um projeto de dias e de algumas centenas de reais mensais. Uma parada de uma semana por sequestro de dados, entre operação parada, honorários e refação, consome com facilidade dezenas de milhares de reais, sem contar o cliente que não volta.
Por que segurança é processo e não produto?
Porque o risco muda o tempo todo, e a proteção comprada em uma sexta-feira envelhece. Funcionários entram e saem, sistemas novos são contratados, golpes novos surgem a cada mês. A empresa protegida não é a que tem a melhor ferramenta, é a que mantém rotinas: revisão de acessos no calendário, atualização mensal, teste de restauração de backup, um canal claro para o funcionário reportar mensagem suspeita sem medo de bronca.
Gente treinada faz parte do processo. Quinze minutos por trimestre mostrando exemplos reais de e-mails falsos evitam mais prejuízo que muito equipamento caro, porque o phishing mira exatamente quem não foi avisado. E há a dimensão legal: boa parte dos dados que a sua empresa guarda é de clientes e funcionários, e um vazamento aciona as obrigações da Lei Geral de Proteção de Dados, tema que detalhamos no artigo sobre LGPD no desenvolvimento de software. Segurança fraca, além do prejuízo direto, vira passivo jurídico.
Quando vale a pena contratar um pentest?
Pentest, ou teste de invasão, é a contratação de especialistas para tentar invadir os seus sistemas de forma controlada e relatar as brechas antes que alguém mal-intencionado as encontre. É uma prática valiosa, mas tem hora certa.
Minha opinião: pentest é sobremesa, não prato principal. Pagar por um teste de invasão enquanto ex-funcionários mantêm acessos ativos e o backup nunca foi testado é gastar com o risco raro antes de fechar o risco óbvio. O relatório vai apontar exatamente o básico que este artigo listou. Faça primeiro o dever de casa das cinco medidas; depois, com a base arrumada, o pentest passa a revelar o que só um especialista encontraria, especialmente se a empresa tem sistema próprio exposto na internet, trata dados sensíveis ou atende clientes que exigem comprovação de segurança.
Segurança boa é rotina simples cumprida todos os meses
O prejuízo digital nas PMEs mora no básico destrancado: a senha repetida, o acesso esquecido, a atualização adiada, o backup que nunca foi testado. A resposta também mora no básico: MFA, cofre de senhas, revisão de acessos, atualização em rotina e backup comprovado. Nada disso exige grande orçamento. Exige alguém responsável e um calendário que se cumpre.
Se a sua empresa não sabe dizer hoje quem tem acesso a quê, ou nunca restaurou um backup para valer, esse é o ponto de partida. A DevCore faz diagnósticos de segurança em linguagem de negócio, com plano de ação priorizado pelo risco e pelo custo. Fale com o nosso time antes que o teste seja feito por quem você não convidou.
Perguntas frequentes sobre segurança digital nas empresas
Antivírus não é suficiente?
Não. O antivírus protege contra uma parte dos programas maliciosos, mas não impede um funcionário de digitar a senha em uma página falsa, não desativa o acesso do ex-colaborador e não testa o seu backup. Ele é uma peça do conjunto, não o conjunto.
Por onde começo se o orçamento é apertado?
Pela autenticação em dois fatores no e-mail e nos sistemas críticos, que tem custo próximo de zero, seguida da revogação de acessos de quem já saiu e da verificação honesta do backup. São ações de dias, não de meses, e cobrem os golpes mais frequentes.
De quem é a responsabilidade pela segurança na empresa?
A execução pode ficar com a TI interna ou com um parceiro, mas a responsabilidade final é da gestão, porque as decisões críticas são de negócio: o que é aceitável arriscar, quanto investir, que rotina será cobrada. Segurança tratada como assunto exclusivamente técnico costuma ser a que falha primeiro.