Quase todo material sobre segurança para empresas pequenas repete a mesma lista: antivírus, senha forte, backup, treinamento. A lista está certa. O problema é a premissa que ela não enfrenta — a de que ataque é coisa de quem tem algo a ser roubado.
Os números oficiais brasileiros desmontam essa premissa de forma direta, e vale começar por eles.
O que os dados brasileiros mostram sobre ataques?
Varredura é reconhecimento automatizado: um programa percorre faixas de endereços IP testando portas e versões de software em busca de falha conhecida. Não há seleção de alvo. Há apenas a lista do que respondeu.
Isso muda a pergunta de segurança. Deixa de ser "por que alguém atacaria a minha empresa?" e passa a ser "o que na minha infraestrutura responde a um teste automático de falha conhecida?" — que é uma pergunta técnica, respondível e barata.
Por que a invasão aparece com número tão baixo?
Porque invasão é o fim da linha, não o começo. As 3.729 notificações de invasão de 2025 são o desfecho de uma cadeia que começou em uma das 393.919 varreduras — e que só foi adiante onde havia algo desatualizado, exposto ou com credencial fraca.
A leitura útil é essa: a maior parte do esforço de defesa deve ficar na etapa mais barata, que é fechar o que a varredura procura. Investir em resposta sofisticada sem ter feito isso é comprar alarme para uma casa com a porta escancarada.
Como proteger o site e os sistemas da empresa?
Existe uma ordem, e ela importa mais que a lista. As três primeiras medidas resolvem a maior parte do que a varredura encontra.
1. Atualizar o que está exposto à internet
Site, CMS, plugins, painel administrativo, servidor de e-mail, VPN. A varredura procura versão com falha pública documentada; software atualizado deixa de aparecer na lista. É a medida de maior efeito e menor custo.
2. Autenticação em dois fatores em tudo que é administrativo
Painel do site, provedor de e-mail, gerenciador de domínio, contas de nuvem e acesso remoto. Senha vazada em outro serviço é matéria-prima de ataque automatizado; o segundo fator quebra a cadeia mesmo com a senha correta em mãos.
3. Backup com restauração testada
Backup que nunca foi restaurado é hipótese, não proteção. A regra prática é manter três cópias, em duas mídias diferentes, com uma delas fora do ambiente — e testar a restauração em calendário, não quando precisar.
O que fazer nas primeiras horas de um incidente?
A diferença entre um incidente caro e um incidente controlado costuma estar nas primeiras horas, e nem sempre na parte técnica.
- Conter: isolar o sistema afetado da rede, sem desligar, para não destruir evidência em memória.
- Preservar: guardar registros de acesso e log antes que a rotação automática os apague. É o que permite saber depois o que saiu.
- Trocar credenciais: senhas administrativas, chaves de API e tokens de integração, começando pelas de e-mail e domínio.
- Avaliar o alcance: quais dados foram acessados, de quantas pessoas, e se há dado pessoal envolvido.
- Comunicar: à direção, aos titulares afetados e à autoridade, dentro do prazo legal.
O item 2 é o que mais se perde. Desligar a máquina no susto é a reação natural e é a que apaga a informação de que a investigação precisa.
Qual o prazo para comunicar vazamento de dados no Brasil?
Curto, e conta a partir da ciência do incidente — não do fim da investigação.
Três dias úteis é pouco para descobrir quem responde pelo quê no meio de uma crise. Por isso a preparação que mais reduz risco jurídico não é técnica: é ter escrito, antes, quem decide, quem redige a comunicação e quem fala com a autoridade.
Qual a diferença entre segurança da informação e LGPD?
São duas conversas diferentes que se cruzam num ponto só, e confundi-las produz projetos caros que não protegem nada.
Segurança da informação trata de qualquer dado relevante para o negócio: contrato, projeto, base de preços, código-fonte, e-mail da diretoria. O objetivo é manter confidencialidade, integridade e disponibilidade. Nada disso depende de haver dado pessoal envolvido.
A LGPD trata especificamente de dado pessoal — o que identifica ou torna identificável uma pessoa. Ela exige medidas de segurança, mas exige também outras coisas que segurança nenhuma resolve: base legal para cada uso, finalidade declarada, direito de acesso e exclusão.
O ponto de cruzamento é o incidente. Quando um evento de segurança atinge dado pessoal, ele deixa de ser assunto exclusivo da TI e passa a ter prazo, autoridade e obrigação de comunicar. É por isso que o plano de resposta precisa ter jurídico e comunicação dentro dele, e não apenas infraestrutura.
Quem responde pela segurança quando tudo é terceirizado?
Empresas médias raramente têm equipe própria de infraestrutura. O site está com uma agência, o e-mail com um provedor, o ERP com um fornecedor, o domínio registrado no nome de alguém que talvez não trabalhe mais lá.
A terceirização distribui a execução, não a responsabilidade. Perante o titular do dado e perante a autoridade, quem responde é a empresa que decide sobre o tratamento. Na prática, isso significa três providências simples e frequentemente ignoradas.
A primeira é ter, por escrito, quem administra o quê — inclusive o registro do domínio, que costuma ser o ativo mais crítico e o menos controlado. A segunda é exigir do fornecedor a obrigação de comunicar incidente à contratante em prazo compatível com os três dias úteis da norma; sem essa cláusula, a empresa descobre depois do prazo. A terceira é encerrar acessos quando o contrato termina, com a mesma disciplina do desligamento de um funcionário.
Quanto custa segurança da informação para uma empresa média?
Menos do que a maioria supõe na primeira camada, porque boa parte do que resolve já está contratada e não está configurada.
| Camada | O que entra | Custo típico |
|---|---|---|
| Configuração do que já existe | 2FA, revisão de acessos, atualização, SPF/DKIM/DMARC | Horas de trabalho, sem licença nova |
| Higiene contínua | Gestão de senhas, atualização programada, backup testado | Mensalidade baixa por usuário |
| Monitoramento | Registro centralizado, alerta de indisponibilidade e de alteração | Mensalidade média, cresce com o ambiente |
| Resposta e continuidade | Plano escrito, responsáveis nomeados, simulado anual | Projeto pontual, revisado por ano |
Quadro elaborado pela Alliance Comunicação a partir da estrutura típica de projetos de infraestrutura e segurança.
A primeira linha é a que mais devolve por real investido, e é a que costuma ser pulada — porque não gera contrato recorrente nem tem apelo comercial. É trabalho de configuração, e é onde a varredura para.
Quais os erros mais comuns em empresas pequenas e médias?
- Achar que porte protege. A varredura é indiscriminada; ela testa endereço, não tamanho de empresa.
- Deixar acesso de ex-fornecedor ativo. Agência antiga, freelancer, consultoria encerrada — cada um costuma ficar com uma chave viva.
- Confundir backup com sincronização. Pasta sincronizada replica o arquivo criptografado por ransomware em segundos.
- Não ter dono do domínio identificado. Perder o domínio custa mais caro e demora mais que recuperar um servidor.
- Tratar LGPD como documento. Política de privacidade publicada não substitui o plano de resposta que o prazo de três dias exige.
Como medir se a segurança está melhorando?
Segurança é difícil de medir por ausência de incidente — não ter sido atacado pode ser resultado de trabalho ou de sorte. Quatro indicadores dão sinal antes do incidente.
- Tempo de correção. Quantos dias entre a publicação de uma correção crítica e a aplicação nos sistemas expostos.
- Cobertura de 2FA. Percentual de contas administrativas com segundo fator ativo — a meta é 100%, sem exceção de diretoria.
- Restaurações testadas. Quantas vezes no ano o backup foi efetivamente restaurado em ambiente de teste.
- Acessos revisados. Percentual de contas revisadas no último trimestre, com desligamento efetivo de quem saiu.
Nenhum desses quatro exige ferramenta cara. Exigem rotina e responsável — que é, no fim, o que separa empresa preparada de empresa com sorte.
Por onde começar hoje?
Faça o inventário do que está exposto à internet e de quem tem acesso administrativo a cada item. Uma planilha com quatro colunas — o que é, quem administra, está atualizado, tem 2FA — já entrega a maior parte do diagnóstico.
Depois escreva o plano de resposta em uma página: quem decide, quem redige, quem comunica e em que prazo. É o documento que vale mais no dia em que os três dias úteis começarem a correr.
Na Alliance, a frente de tech & security começa por esse inventário e pela configuração do que já existe, antes de propor qualquer ferramenta nova. Se o assunto é a adequação à lei e não a infraestrutura, vale ler o que a lei já manda no relógio de uma crise. E se a dúvida é por onde começar entre várias frentes, o diagnóstico gratuito ajuda a ordenar as prioridades.