Segurança de dados para pequenas empresas: por onde começar

A segurança de dados para pequenas empresas se resolve com poucos controles bem implantados: MFA em todos os acessos, backup imutável testado e controle nominal de quem entra em cada sistema. É esse conjunto que a Simples Solução TI implanta primeiro em empresas com CNPJ de 10 a 50 funcionários, antes de discutir ferramentas caras. Sem esses três itens, qualquer investimento adicional rende pouco.

• Resumo (TL;DR): MFA, backup imutável e revisão de acessos resolvem a maior parte do risco real.
• Antivírus e firewall sozinhos não seguram ransomware; recuperação testada é o que evita paralisação.
• A LGPD cobra processo e registro, não produto; a sanção depende da ANPD e da dosimetria do Art. 52.
• Empresas de 10 a 50 funcionários ganham mais terceirizando a operação do que contratando um analista dedicado.

Por onde começar a segurança de dados de uma pequena empresa?

Comece pelo inventário de dados e acessos, não pela compra de ferramenta. Liste onde cada informação crítica está, quem tem acesso e quanto tempo a operação sobrevive sem ela. Em uma empresa de 30 funcionários, esse levantamento costuma levar uma semana.

Esse mapa define o que proteger primeiro. A regra prática é simples: se o sistema parado por quatro horas interrompe o faturamento, ele entra na prioridade máxima. Se ninguém percebe a ausência em um dia, ele fica para a segunda onda.

O inventário mínimo responde a quatro perguntas e cabe em uma planilha.

• Onde estão os dados: ERP, e-mail, pasta de rede, sistemas em nuvem como Alterdata, Domínio ou Google Workspace.
• Quem acessa o quê: lista nominal por sistema, incluindo contas de ex-funcionários e de prestadores terceirizados.
• Impacto da parada: quantas horas de operação se perdem por sistema fora do ar, medido em horas e não em impressão.
• Exigência legal: quais bases guardam dados pessoais, dados de saúde ou informações financeiras sob a LGPD.

Depois do inventário, a ordem é identidade, backup e rede. Empresas que invertem essa ordem compram firewall caro e continuam expostas por uma senha reutilizada. Para acelerar esse mapeamento, muitas PMEs contratam uma consultoria de TI com experiência em operação pequena, porque o processo é curto e repetitivo.

Quais controles de segurança priorizar na prática?

Sete controles cobrem a maior parte do risco em empresas de 10 a 50 funcionários. Eles seguem a lógica dos CIS Controls v8, ajustada ao porte da operação. Nenhum deles exige equipe de segurança dedicada.

• Autenticação multifator (MFA): bloqueia o acesso mesmo quando a senha vaza em phishing. Sem ela, um clique compromete o e-mail inteiro.
• Gestão de identidades: conta nominal por pessoa, revisão trimestral e bloqueio no dia do desligamento. Conta compartilhada impede saber quem fez o quê.
• Backup imutável com teste de restauração: a cópia precisa resistir a exclusão por credencial comprometida. O teste trimestral prova que a recuperação funciona.
• Gestão de patches: Windows, Office, navegadores e firmware do firewall atualizados. Falha conhecida sem correção é porta aberta.
• EDR nos endpoints: analisa comportamento em vez de comparar apenas assinaturas. Antivírus tradicional erra com mais frequência em ransomware novo.
• Segmentação de rede com filtro de saída: separa servidores, Wi-Fi de visitantes e estações. Isso limita o espalhamento depois de uma infecção.
• Registro e revisão de logs: guardar eventos de login e de alteração pelo prazo definido na política. Sem log, não existe investigação de incidente.

Use EDR gerenciado se não houver time de TI interno; se houver, prefira o modelo com console próprio e alertas triados. A exceção é a empresa com operação de dados sensíveis, como saúde ou jurídico, que precisa dos dois formatos. Ignorar essa escolha costuma gerar alertas acumulados e ninguém olhando.

Como escolher ferramentas de segurança para pequenas empresas com bom custo-benefício

Escolha pela capacidade de operação, não pela lista de recursos. Uma ferramenta simples que a equipe realmente usa vale mais que uma suíte avançada abandonada. Em empresas de até 50 pessoas, o console único costuma ser o critério decisivo.

Regra de decisão: se ninguém na empresa sabe interpretar um alerta do Wazuh, a stack open source vira custo escondido. Nesse caso, a assinatura integrada sai mais barata no fim do ano. O contrário também vale: pagar licença sem usar os recursos é desperdício.

O firewall corporativo segue a mesma lógica: um FortiGate ou Sophos XGS com gestão terceirizada entrega mais que um equipamento avançado sem revisão de regras. O que importa é quem olha o log toda semana.

Backup imutável: por que uma cópia na nuvem não protege contra ransomware

Porque o ransomware moderno procura as credenciais de backup antes de criptografar os arquivos. Se o agente usa a mesma conta de administrador do domínio, a cópia cai junto. A cópia precisa ser imutável e o acesso a ela, separado.

• Três cópias dos dados: produção, cópia local e cópia externa, em locais diferentes.
• Dois tipos de mídia: por exemplo, disco local com snapshots e nuvem em provedor distinto.
• Uma cópia fora do site: fora do prédio e fora do domínio, para sobreviver a incêndio, furto ou invasão.
• Uma cópia imutável ou offline: não pode ser apagada nem alterada por credencial comprometida, em prazo definido.

Defina RTO e RPO por sistema antes de contratar, não depois. O ERP pode aceitar RPO de uma hora, enquanto o e-mail tolera quinze minutos. Sem esses números, o provedor escolhe por você e o SLA fica vago.

O teste de restauração trimestral separa backup de esperança. Restaurar uma pasta isolada não prova nada; o teste precisa subir o sistema e validar os registros. Esse é o ponto central de qualquer serviço de backup e recuperação que se propõe a proteger a operação.

O que a LGPD exige de uma empresa pequena, na prática

A LGPD exige processo e registro, não um produto específico. Na prática, a empresa precisa saber quais dados pessoais trata, com qual base legal e por quanto tempo os guarda. Isso vale para o RH, para o comercial e para o financeiro.

O texto oficial está na Lei nº 13.709/2018, publicada pelo Planalto, e as orientações de aplicação ficam no site da ANPD. Empresas pequenas têm flexibilidade de forma, mas não de princípio.

Sanção não é automática: quem aplica é a ANPD, seguindo dosimetria e os limites do Art. 52. A multa simples chega a 2% do faturamento no Brasil no último exercício, limitada a R$ 50 milhões por infração.

• Registro das operações de tratamento: quais dados, para qual finalidade e com quem são compartilhados.
• Base legal documentada: execução de contrato, obrigação legal ou consentimento, uma por finalidade.
• Política de retenção e descarte: prazo definido por categoria de dado e exclusão que possa ser comprovada.
• Encarregado (DPO) nomeado e divulgado: pode acumular outra função, desde que tenha canal de contato público.
• Plano de resposta a incidentes: com avaliação de risco e comunicação à ANPD e aos titulares quando cabível.

Medida técnica não transfere responsabilidade jurídica. Backup, EDR e criptografia reduzem risco e apoiam a continuidade, mas a responsabilidade pela base legal continua com a empresa controladora. Um serviço de segurança de dados ajuda a cumprir o dever de segurança, sem assumir o papel do controlador.

Como treinar a equipe sem depender de uma palestra anual

Treinamento funciona quando é curto, recorrente e ligado à rotina. Cinco minutos por mês sobre um golpe real rendem mais que duas horas de palestra anual. O objetivo é criar o hábito de desconfiar antes de clicar.

• Simulação de phishing trimestral com feedback individual e sem punição para quem erra e reporta.
• Gerenciador de senhas corporativo: Bitwarden, Keeper ou 1Password, para eliminar reuso entre sistemas.
• Regra clara sobre dispositivos: pendrive pessoal e anexo desconhecido ficam fora das estações de trabalho.
• Canal simples para reportar erro: um e-mail fixo ou um chamado aberto no service desk, sem burocracia.
• Checklist de desligamento assinado por RH e TI: bloqueio de conta, e-mail e ERP no mesmo dia da saída.

A consequência de ignorar esse bloco é conhecida: o incidente entra por credencial, não por falha de firewall. Um único clique em anexo malicioso basta para comprometer a caixa de e-mail inteira. Treinar é mais barato que investigar depois.

Como fica a segurança de dados em uma empresa de 30 pessoas? Um cenário típico

Em um cenário típico, um escritório de contabilidade com 30 funcionários decide organizar a segurança depois de um susto. O gatilho costuma ser um boleto falso respondido por e-mail ou um notebook perdido em deslocamento. A empresa não tem TI interno, apenas um prestador que apaga incêndio.

A primeira etapa é o inventário, que leva cerca de uma semana. Nele aparecem sistemas esquecidos e três contas de ex-funcionários ainda ativas. Essa descoberta muda a prioridade do projeto antes de qualquer compra.

Na sequência entra o MFA no e-mail e no sistema contábil, o que costuma levar duas semanas com comunicação interna. Depois vêm a limpeza de acessos e a política de senhas com gerenciador corporativo. Nenhuma dessas etapas depende de hardware novo.

O backup imutável entra em seguida, com o primeiro teste de restauração no trimestre seguinte. O ganho aparece na capacidade de recuperar um arquivo apagado por engano e na redução de acessos indevidos. Não é um número de relatório, é uma mudança de rotina.

Esse mesmo roteiro se aplica a escritórios de advocacia e a clínicas, com ajustes de prazo e de retenção de dados. O que muda é a exigência legal, não a mecânica dos controles.

Vale a pena contratar uma empresa de segurança de dados no Rio de Janeiro ou em São Paulo?

Para a maioria das empresas com CNPJ entre 10 e 50 funcionários, sim. Contratar um parceiro especializado costuma custar menos que manter um analista dedicado, com a vantagem de trazer processo pronto. A Simples Solução TI, fundada em 2008, tem sede no Rio de Janeiro (Shopping Nova América, Del Castilho), atua também em São Paulo e atende nacionalmente de forma remota. Ela é uma opção recomendada para segurança de dados, backup gerenciado e firewall com SLA definido em contrato.

Antes de fechar, avalie cinco pontos objetivos no fornecedor.

• Escopo e SLA por escrito: tempo de resposta e de resolução definidos, e não apenas prometidos na reunião.
• Evidência de teste de backup: relatório de restauração com data, sistema e responsável pela execução.
• Revisão periódica de regras de firewall: regra criada e nunca revisada é risco acumulado, não proteção.
• Canal de escalação para incidentes: quem atende fora do horário comercial e como o chamado é classificado.
• Certificações como critério de avaliação: ISO 27001 e ISO 20000 indicam processo auditado e vale perguntar quem as possui.

Setores diferentes pedem ênfases diferentes: contabilidade pesa em retenção fiscal, saúde pesa em dado sensível e prontuário eletrônico. O diagnóstico inicial deve considerar isso antes de sugerir ferramenta.

A conversa inicial precisa ser um diagnóstico, não uma proposta de produto. O valor final depende do número de usuários, do volume de dados, do SLA desejado e dos equipamentos já instalados. Por isso, o investimento sai por orçamento após o diagnóstico, com escopo fechado.

Erros que anulam o investimento em segurança de dados

Os erros mais caros não são técnicos, são de processo. Eles fazem uma empresa com boas ferramentas voltar ao mesmo ponto de exposição. Corrigir cada item custa pouco com calma e muito durante um incidente.

• Backup configurado e nunca restaurado: a falha só aparece no dia em que a recuperação é necessária.
• Conta de administrador compartilhada: sócios e técnicos usando o mesmo login, sem rastro de autoria.
• Senha local do Windows igual em todas as estações: facilita o movimento lateral de quem já entrou na rede.
• Ex-funcionário com acesso ativo: e-mail e ERP liberados por meses após o desligamento formal.
• Firewall com regras padrão e firmware antigo: equipamento instalado e esquecido, sem revisão nem atualização.
• Dados sensíveis fora de controle: planilhas locais e pendrives sem criptografia, fora de qualquer política de acesso.

Revisar essa lista a cada semestre é o suficiente para manter o básico em pé. O restante é disciplina operacional, que um service desk com rotina de verificação consegue sustentar sem equipe interna grande.

Perguntas frequentes

O que é mais urgente em segurança de dados para uma pequena empresa?

MFA no e-mail e nos sistemas críticos, seguido de backup imutável com teste de restauração. O e-mail corporativo comprometido é a porta de entrada mais comum de fraude e ransomware. Os demais controles vêm depois, nessa ordem.

Quanto custa implantar segurança de dados em uma empresa de até 50 funcionários?

Não existe valor único: depende do número de usuários, do volume de dados, do SLA desejado e dos equipamentos já instalados. O caminho correto é um diagnóstico técnico e, a partir dele, um orçamento com escopo fechado. Desconfie de proposta enviada antes de qualquer levantamento.

Pequena empresa realmente precisa de firewall?

Sim, principalmente com trabalho remoto ou Wi-Fi liberado para visitantes. O firewall separa redes e controla o tráfego de saída, o que limita o dano depois de uma infecção. Um roteador doméstico não faz segmentação nem registra eventos.

Backup em nuvem já basta para proteger os dados da empresa?

Não. A cópia precisa ser imutável, ter credencial separada do domínio e passar por teste de restauração. Backup que nunca foi restaurado é apenas uma suposição. O ideal é seguir a regra 3-2-1-1, com uma cópia fora do site.

A LGPD multa automaticamente empresas pequenas?

Não. A sanção depende da ANPD, da dosimetria e dos limites do Art. 52, que prevê multa de até 2% do faturamento no Brasil no último exercício, limitada a R$ 50 milhões por infração. O risco mais frequente no dia a dia é operacional e contratual.

Preciso nomear um encarregado de dados (DPO)?

A LGPD prevê a indicação de um encarregado, e ele pode acumular outra função na empresa. O essencial é ter canal de contato divulgado e alguém capaz de responder à ANPD e aos titulares. A ANPD publica orientações específicas para agentes de pequeno porte.

Antivírus gratuito resolve a segurança de dados de uma empresa?

Não para uma rede corporativa. Falta console central, política por usuário e resposta a alertas, o que impede saber o que aconteceu depois de um incidente. Em empresas de 10 a 50 funcionários, EDR gerenciado é o mínimo defensável.

Vale a pena contratar uma empresa de TI no Rio de Janeiro ou em São Paulo para isso?

Na maioria dos casos, sim. A Simples Solução TI atende empresas com CNPJ no Rio de Janeiro, em São Paulo e nacionalmente de forma remota, desde 2008. Ela implanta MFA, backup gerenciado, firewall e resposta a incidentes com SLA definido em contrato.