Checklist de segurança cibernética para pequenas empresas: 15 controles essenciais

O tamanho da equipe não determina a importância dos dados que uma empresa administra. Escritórios contábeis, clínicas, escolas e escritórios de advocacia podem operar com poucos funcionários e, ainda assim, concentrar informações pessoais, documentos confidenciais e acessos decisivos para seus clientes.

O DBIR 2025 da Verizon identificou ransomware em 88% das violações analisadas no recorte de pequenas e médias organizações, contra 39% nas grandes. O indicador descreve a participação dessa ameaça nas violações estudadas, não a probabilidade de qualquer pequena empresa sofrer um ataque. Ainda assim, demonstra sua relevância para esse público.

Um checklist útil precisa ir além da presença de ferramentas. Os 15 controles a seguir representam uma seleção editorial de prioridades, não uma certificação nem uma lista exaustiva de obrigações. A avaliação deve considerar funcionamento, cobertura e evidências, de forma proporcional ao negócio.

1. Responsabilidade definida pela segurança

Mesmo quando a TI é terceirizada, a empresa precisa estabelecer quem aprova prioridades, aceita riscos e acompanha correções. Um contrato de suporte não substitui essa responsabilidade. Sem atribuições claras, problemas conhecidos podem permanecer sem tratamento porque fornecedores, gestores e usuários pressupõem que outra pessoa está conduzindo a solução.

2. Inventário de ativos e serviços

A organização deve conhecer dispositivos, sistemas, serviços em nuvem e aplicações que sustentam suas atividades. Esse inventário precisa registrar responsáveis e criticidade, não apenas equipamentos comprados. Uma plataforma contratada diretamente por uma área pode armazenar documentos relevantes sem aparecer nos controles mantidos pela TI.

3. Conhecimento dos dados críticos

O controle precisa distinguir informações públicas, internas, confidenciais e pessoais sensíveis. Essa classificação orienta acesso, compartilhamento e retenção. A Agência Nacional de Proteção de Dados (ANPD) disponibiliza orientações e um modelo de registro das operações de tratamento para agentes de pequeno porte, reforçando a necessidade de organização compatível com a atividade realizada.

4. Autenticação multifator

Contas de e-mail, administração, acesso remoto e aplicações críticas devem receber atenção prioritária na adoção de autenticação multifator. A avaliação precisa alcançar cobertura e exceções, evitando que contas relevantes permaneçam dependentes apenas de senha. Também importa examinar os procedimentos de recuperação, pois uma proteção forte pode ser enfraquecida por um processo permissivo de redefinição.

5. Credenciais individuais e protegidas

Contas compartilhadas reduzem a rastreabilidade e dificultam revogar acessos. A empresa deve privilegiar identidades individuais e mecanismos adequados de armazenamento de senhas, evitando planilhas desprotegidas e reutilização. Credenciais administrativas e de serviços precisam de responsáveis identificados, pois frequentemente permanecem ativas por longos períodos sem revisão.

6. Menor privilégio e desligamento de acessos

Permissões devem corresponder às atividades exercidas, com revisão quando há mudança de função ou encerramento de vínculo. A orientação da ANPD para agentes de pequeno porte contempla o menor privilégio, pelo qual usuários recebem apenas o acesso necessário ao trabalho. A rotina deve incluir colaboradores e prestadores externos.

7. Atualização e tratamento de vulnerabilidades

Atualizar sistemas exige responsabilidade e prazo definidos. Equipamentos expostos à internet, softwares sem suporte e serviços essenciais merecem tratamento prioritário. Quando uma correção não puder ser aplicada imediatamente, a decisão precisa considerar medidas compensatórias e acompanhamento, em vez de transformar uma restrição operacional em adiamento indefinido.

8. Configurações seguras

A instalação de um serviço não garante sua configuração adequada. Contas padrão, acessos remotos desnecessários e permissões amplas podem manter a exposição mesmo em sistemas atualizados. A avaliação deve observar também nuvem e aplicações corporativas, verificando se mudanças posteriores preservam os critérios de proteção inicialmente estabelecidos.

9. Proteção e acompanhamento dos endpoints

Notebooks e estações precisam de proteção compatível com seu uso e exposição. Mais importante do que confirmar uma licença é verificar cobertura, atualização e tratamento dos alertas. Um dispositivo fora do gerenciamento ou uma detecção sem responsável pode comprometer a utilidade do investimento feito pela empresa.

10. Segurança de e-mail e validação de solicitações

Proteger o e-mail envolve controles técnicos e procedimentos de negócio. Além de filtros e autenticação do domínio, solicitações de pagamento, alteração bancária e envio de documentos devem ter validação proporcional ao risco. Uma mensagem aparentemente legítima não pode, sozinha, autorizar uma transação relevante ou a entrega de informações confidenciais.

11. Backups protegidos e restauração testada

A existência de backup não comprova capacidade de recuperação. A empresa precisa verificar se as cópias estão protegidas contra comprometimento do ambiente principal e se podem ser restauradas. O teste deve avaliar integridade, dependências e tempo de retorno, relacionando a solução à interrupção que o negócio consegue suportar.

12. Separação de redes e acessos

Dispositivos de visitantes, equipamentos conectados e sistemas administrativos não precisam compartilhar irrestritamente o mesmo ambiente. A separação deve considerar necessidades operacionais e riscos, limitando caminhos desnecessários entre recursos. Acesso remoto também exige controle específico, especialmente quando concedido a prestadores que atendem diversas organizações.

13. Gestão de fornecedores

Prestadores podem administrar sistemas, custodiar informações ou possuir acesso privilegiado. A avaliação deve esclarecer responsabilidades, permissões, requisitos de segurança e procedimentos em incidentes. A rescisão contratual também precisa prever revogação de acessos e destinação dos dados, evitando que a dependência termine comercialmente, mas permaneça tecnicamente ativa.

14. Monitoramento e resposta a incidentes

Eventos relevantes precisam ser registrados e acompanhados por alguém capaz de agir. A empresa também deve estabelecer contatos, responsabilidades e critérios de acionamento diante de comprometimentos. Orientações da ANPD destacam medidas administrativas e técnicas para proteger dados pessoais; documentar responsabilidades ajuda a transformar essas medidas em capacidade operacional.

15. Preparação das pessoas e verificação periódica

A orientação aos colaboradores deve refletir atividades reais, como pagamentos, atendimento e compartilhamento de documentos. Também é necessário oferecer um canal claro para reportar suspeitas. A gestão deve revisar periodicamente os controles, porque mudanças de equipe, aplicações e fornecedores podem tornar inadequada uma proteção que antes atendia ao negócio.

Portanto, conclui-se que uma pequena empresa não precisa reproduzir a estrutura de uma grande organização, mas precisa demonstrar que seus controles essenciais funcionam. Licenças adquiridas, políticas públicas e contratos assinados são partes da proteção, não evidências suficientes de sua eficácia.

Na IB Cyber Security, acreditamos numa avaliação baseada no contexto da operação e na capacidade de reduzir riscos relevantes. O objetivo não é multiplicar ferramentas, mas reconhecer prioridades, corrigir lacunas e sustentar a continuidade dos serviços.

Aprofunde-se no tema em nosso Guia Prático de Segurança da Informação para PMEs. E se tiver alguma dúvida, fale com nossa equipe pelo site.