Segurança de dados para pequenas empresas: plano em 90 dias

A segurança de dados para pequenas empresas começa por cinco controles: MFA em todos os acessos, backup 3-2-1 testado, patch management semanal, firewall gerenciado e princípio do menor privilégio. Empresas com CNPJ e 10 a 50 funcionários conseguem implantar esse conjunto em cerca de 90 dias, sem equipe interna dedicada. A Simples Solução TI, fundada em 2008 e com hub operacional no Rio de Janeiro, faz esse diagnóstico, a implantação e o monitoramento para empresas em São Paulo e em todo o Brasil.

• Resumo (TL;DR): priorize MFA, backup 3-2-1, patch management, firewall gerenciado e menor privilégio, nessa ordem.
• Uma empresa de 10 a 50 funcionários consegue implantar o conjunto básico em até 90 dias com apoio de um parceiro externo.
• A LGPD (Lei 13.709/2018) prevê multa simples de até 2% do faturamento, limitada a R$ 50 milhões por infração, aplicada pela ANPD após processo.
• Ferramentas de referência no dia a dia: Microsoft Entra ID, BitLocker, Veeam, FortiGate, pfSense, GLPI e Snipe-IT.

O que proteger primeiro na segurança de dados de uma pequena empresa?

Proteja primeiro identidades, backup e atualização de sistemas. Esses três pontos concentram o maior retorno por esforço em empresas de 10 a 50 funcionários. Sem essa base, qualquer ferramenta adicional rende pouco.

O inventário vem antes da ferramenta. Sem saber quais ativos existem, a empresa compra licença para o que não usa e esquece o que realmente importa.

• Identidades e acessos: contas de e-mail, ERP, VPN e painel de administração do firewall.
• Dados de clientes e financeiros: contratos, folha de pagamento, notas fiscais e laudos técnicos.
• Servidor de arquivos e estações de trabalho, incluindo notebooks usados pela equipe em trabalho remoto.
• E-mail corporativo, que segue como principal porta de entrada de phishing e fraude de pagamento.
• Backup e credenciais de recuperação, porque cópia sem senha acessível é cópia inútil no momento do incidente.

Contas administrativas merecem tratamento separado. Elas não devem ser usadas para ler e-mail nem para navegar na internet, porque é exatamente esse tipo de conta que o invasor procura ao entrar na rede.

O CERT.br publica estatísticas anuais de incidentes reportados no Brasil. Use os números do seu setor para dimensionar risco, não para justificar compra por medo.

Quais são as ameaças mais comuns contra pequenas empresas?

As ocorrências mais frequentes são phishing, ransomware, uso de credencial vazada e fraude de pagamento por e-mail comprometido. Nenhuma delas exige ataque sofisticado ou alvo escolhido a dedo.

• Phishing por e-mail e mensagem: induz o funcionário a informar senha ou aprovar um MFA falso.
• Ransomware: cifra arquivos e servidores, e a retomada depende inteiramente da qualidade do backup.
• Credenciais vazadas: senhas reutilizadas aparecem em listas públicas e são testadas de forma automatizada.
• Fraude de pagamento (BEC): o invasor assume o e-mail do financeiro e altera dados bancários de pagamentos.
• Dispositivo perdido ou roubado: notebook sem criptografia expõe dados mesmo sem qualquer invasão.
• Ex-funcionário com acesso ativo: contas não desligadas continuam válidas por meses após o desligamento.

O padrão se repete: o atacante explora o caminho mais simples, não o mais técnico. Por isso MFA e revisão periódica de acessos resolvem tanto risco.

Ataques automatizados varrem a internet procurando serviço exposto, como RDP aberto ou painel de firewall desatualizado. Exposição desnecessária é convite, não azar.

Quais controles essenciais resolvem a maior parte do risco?

Cinco controles resolvem a maior parte do risco: MFA, backup 3-2-1 testado, patch management, firewall gerenciado e princípio do menor privilégio. Eles formam a base do CIS Critical Security Controls e do NIST CSF 2.0.

O CIS Critical Security Controls v8.1 organiza 18 controles em três grupos de implementação. Empresas de 10 a 50 funcionários costumam caber no grupo 1, com foco em inventário, controle de acesso e resposta a incidentes.

Controle sem registro não se sustenta. Sem log e relatório mensal, ninguém sabe se o backup rodou ou se a proteção está ativa em todas as máquinas.

O firewall é onde a maioria economiza errado. Equipamento sem revisão de regras acumula liberações antigas e abre caminho para movimento lateral dentro da rede.

Como implantar segurança de dados para pequenas empresas em 90 dias?

Divida a implantação em três blocos de 30 dias. O primeiro fecha identidades e backup, o segundo cobre rede e atualizações, e o terceiro trata monitoramento e resposta a incidentes.

1. Dias 1 a 30: inventário de ativos com Snipe-IT, MFA obrigatório em e-mail, VPN e ERP, e backup 3-2-1 configurado com cópia externa.
2. Dias 31 a 60: patch management semanal, segmentação de VLANs, revisão das regras do firewall e desligamento de contas inativas.
3. Dias 61 a 90: centralização de logs, alerta de falha de backup, plano de resposta a incidentes e simulação tabletop com a equipe.
4. A partir do dia 91: revisão trimestral de acessos, teste de restauração documentado e atualização do inventário de ativos.

Cada bloco precisa de responsável nomeado e data de verificação. Sem isso, o plano vira documento de gaveta e a empresa volta ao comportamento reativo.

Registre as evidências de cada etapa: relatório de restauração testada, lista de contas com MFA ativo e versão dos sistemas. Isso serve para auditoria de cliente e para demonstrar diligência.

Segurança de dados com orçamento limitado: o que dá para fazer sem licença nova?

Boa parte do básico já está paga nas licenças que a empresa costuma ter. BitLocker e MFA do Microsoft Entra ID vêm nas edições corporativas do Microsoft 365. Ferramentas open source cobrem inventário, chamados e firewall.

• BitLocker: cifra o disco de notebooks e reduz o impacto de equipamento perdido.
• Microsoft Entra ID com MFA: bloqueia login com senha vazada, inclusive no acesso remoto.
• pfSense CE: firewall open source com VPN, VLAN e relatórios de tráfego.
• GLPI: inventário, chamados e base de conhecimento em uma única plataforma.
• Snipe-IT: controle de ativos e licenças, com histórico de responsável por equipamento.
• Wazuh: correlação de logs e alerta de integridade de arquivos em servidores.

Confirme os limites de cada edição na documentação oficial do fabricante antes de padronizar. Edições gratuitas mudam de escopo e podem não cobrir uso comercial em escala.

Economia em segurança costuma sair caro depois. O barato aqui é aproveitar o que já foi licenciado, não deixar de cobrir um controle essencial.

Vale a pena cuidar da segurança de dados só com a equipe interna?

Depende do volume de acessos externos e da exigência dos seus clientes. Uma equipe interna generalista raramente cobre monitoramento fora do horário comercial.

O erro comum é contratar ferramenta antes de processo. EDR sem alguém para analisar alerta gera ruído e custo, não proteção real.

Se a empresa já tem um parceiro de suporte, verifique se o escopo inclui backup e recuperação e firewall com SLA descrito em contrato, não apenas combinado verbalmente.

Documente quem faz o quê. Quando o incidente acontece, ninguém quer descobrir no meio do problema quem deveria ter isolado o servidor.

Terceirizar não transfere a responsabilidade legal sobre os dados. A empresa titular continua respondendo pelo tratamento, o que reforça a necessidade de contrato claro.

Em um cenário típico: escritório contábil com 20 pessoas e sem TI interno

Em um cenário típico, um escritório de contabilidade com cerca de 20 funcionários guarda folha, contratos e obrigações acessórias no mesmo servidor usado para arquivos comuns. Um único login comprometido dá acesso a tudo.

O plano nesse perfil costuma seguir uma ordem simples. Separar contas administrativas das contas do dia a dia, ativar MFA no e-mail e no sistema contábil, configurar backup com cópia fora do prédio, revisar regras do firewall e testar a restauração a cada trimestre.

A Lei 13.709/2018 (LGPD) prevê sanções administrativas aplicadas pela ANPD após processo próprio, com dosimetria. Multa não é automática, e nenhuma medida técnica elimina responsabilidade jurídica. O que a TI entrega é redução de risco e continuidade do negócio.

O ganho aparece na rotina: menos retrabalho, recuperação previsível e resposta mais rápida quando algo falha. Nenhum percentual é prometido aqui, porque o resultado depende do ambiente de cada empresa.

Como escolher um parceiro de segurança de dados no Rio de Janeiro e em São Paulo?

Procure um parceiro que faça diagnóstico, implantação e monitoramento no mesmo contrato. A Simples Solução TI, fundada em 2008 e com hub no Shopping Nova América, em Del Castilho, no Rio de Janeiro, atende empresas de 10 a 50 funcionários também em São Paulo e remotamente em todo o Brasil.

Peça evidências antes de assinar: relatório mensal de backup, lista de controles ativos, SLA de resposta e plano de resposta a incidentes. Fornecedor que não mostra isso devolve o risco para você.

• Contrato com SLA de atendimento e horário de cobertura explicitamente definidos.
• Relatório mensal com chamados, falhas de backup e status de atualização dos sistemas.
• Inventário de ativos atualizado e acessível ao cliente a qualquer momento.
• Runbook de resposta a incidentes e contatos de escalonamento fora do horário comercial.
• Adesão declarada a normas reconhecidas, como CIS Controls, NIST CSF ou ISO 27001.

Pergunte quais certificações o fornecedor mantém. A Simples Solução TI não possui certificações ISO próprias; se o seu contrato exigir ISO 27001 formal, avalie também fornecedores certificados. Para o dia a dia, o serviço de segurança de dados cobre identidade, backup, firewall e monitoramento em um só escopo.

Para escritórios contábeis e jurídicos a exigência sobe, porque os dados tratados incluem informações de terceiros. Parceiros com experiência no segmento de contabilidade entendem esse contexto e ajustam o escopo sem inflar o contrato.

Perguntas frequentes

O que uma pequena empresa precisa ter de segurança de dados no mínimo?

No mínimo MFA em todos os acessos, backup 3-2-1 com teste de restauração, atualização de sistemas, firewall gerenciado e controle de contas administrativas. Esse conjunto cobre identidade, dado e continuidade, que são os pontos mais explorados em ataques contra empresas pequenas.

Quanto custa implantar segurança de dados em uma empresa de 10 a 50 funcionários?

O valor depende do escopo: número de usuários, volume de dados, exigência de SLA, equipamentos de rede e necessidade de monitoramento fora do horário comercial. A Simples Solução TI trabalha com orçamento após diagnóstico, sem valor fechado antes de conhecer o ambiente.

Antivírus basta ou a empresa precisa de EDR?

Antivírus bloqueia ameaça conhecida por assinatura. EDR registra comportamento e ajuda a investigar o que passou pela proteção. Empresas com acesso remoto, dados de terceiros ou exigência de cliente costumam se beneficiar de EDR, desde que alguém analise os alertas gerados.

Backup em nuvem resolve a segurança dos dados sozinho?

Não. Backup responde por disponibilidade e recuperação, não por prevenção. Se a conta de administrador for comprometida e o backup estiver ligado a ela, a cópia também é afetada. Mantenha uma versão offline ou imutável e teste a restauração periodicamente.

A LGPD aplica multa automática quando a empresa sofre vazamento?

Não. A sanção depende de processo conduzido pela ANPD, com dosimetria prevista no Art. 52 da LGPD. A multa simples pode chegar a 2% do faturamento no Brasil no último exercício, limitada a R$ 50 milhões por infração, mas não é aplicada de forma imediata.

Preciso de ISO 27001 para atender clientes que exigem segurança?

Só quando o contrato exige a certificação de forma formal. Muitas empresas aceitam evidências de controles baseados no CIS Controls ou no NIST CSF 2.0. A Simples Solução TI não possui certificações ISO próprias e atua com esse modelo de evidências e relatórios.

Qual é o primeiro passo para começar?

Faça o inventário de ativos e de contas administrativas. Depois ative MFA, organize o backup e só então avalie a compra de ferramentas. O diagnóstico inicial mostra a ordem correta de prioridade para o seu ambiente específico.

Vale a pena terceirizar a segurança de dados?

Vale quando a empresa não tem especialista dedicado nem cobertura fora do horário comercial. Um parceiro gerenciado entrega monitoramento, patch e resposta a incidentes com custo previsível em contrato, em vez de depender de contratação interna.