Segurança digital para pequenas empresas: o básico que quase ninguém faz

Empresa pequena costuma achar que não é alvo. A lógica parece razoável: quem iria querer atacar uma operação de dez pessoas?

Só que a maior parte dos ataques não escolhe alvo. São varreduras automáticas procurando qualquer porta aberta, em qualquer lugar. Você não é escolhido — você é encontrado.

A boa notícia é que o básico resolve muita coisa, e o básico é acessível.

1. Verificação em duas etapas em tudo

Se você fizer só um item desta lista, faça este.

Senha vaza. Vaza em serviço de terceiro que você nem lembra que usou, e as combinações são testadas em massa em outros lugares. A segunda etapa transforma "senha vazada" em "senha vazada e inútil".

Priorize, nesta ordem: e-mail principal (quem controla o e-mail redefine a senha de todo o resto), acesso bancário, domínio e hospedagem, redes sociais da empresa.

Prefira aplicativo autenticador ou chave física a código por SMS — SMS pode ser interceptado por golpe de portabilidade.

2. Backup que alguém já testou restaurar

Quase toda empresa "tem backup". Bem menos gente já tentou restaurar.

Backup que nunca foi restaurado é uma suposição, não uma garantia. Já vi cópia rodando fiel por meses gravando uma pasta vazia.

Três exigências:

• Uma cópia fora do escritório, para que incêndio ou furto não leve original e cópia juntos
• Uma cópia que o computador infectado não consiga apagar — ransomware moderno procura e destrói backup conectado
• Um teste de restauração por trimestre, com data marcada

3. Cada pessoa com o próprio acesso

Login compartilhado é confortável e caro. Sem ele você não sabe quem fez o quê, não consegue revogar o acesso de quem saiu sem atrapalhar todo mundo, e a senha comum acaba anotada em algum lugar.

Junto com isso: quando alguém sai da empresa, há uma lista do que precisa ser revogado? Ex-funcionário com acesso ativo meses depois é situação comum e completamente evitável.

4. Atualização não é opcional

A maioria dos ataques bem-sucedidos usa falha conhecida e já corrigida. O ataque não foi sofisticado — só encontrou algo desatualizado.

Sistema operacional, navegador, celular, e principalmente o site: plataforma desatualizada com plugins antigos é o caso mais frequente de site invadido em empresa pequena.

5. Treinar contra golpe, não contra vírus

O caminho mais usado hoje não é técnico: é convencer alguém a fazer algo. Um e-mail que parece do chefe pedindo urgência. Uma mensagem do "fornecedor" avisando que mudou a conta bancária.

Uma regra simples elimina o golpe mais caro: toda mudança de dados bancários é confirmada por telefone, num número que você já tinha — nunca no número que veio na mensagem.

Combine com a equipe que ninguém será cobrado por checar. Golpe usa urgência e vergonha como ferramenta; se conferir é constrangedor na sua empresa, o golpe já tem meio caminho andado.

6. Separar o pessoal do profissional

Computador em que se instala qualquer coisa não deveria ser o mesmo que acessa o banco da empresa. Se não dá para ter dois aparelhos, ao menos tenha dois usuários no mesmo computador, e um deles sem permissão de administrador.

7. Saber o que fazer no dia ruim

Uma página, impressa, com: quem avisar primeiro, telefone do banco, telefone de quem cuida da TI, onde está o backup, quais acessos derrubar imediatamente.

Impressa mesmo. No dia em que você precisar, o arquivo pode estar dentro do sistema que parou.

O que isso não cobre

Este é o básico que fecha as portas mais usadas — não é um programa de segurança completo. Empresa que trata dado sensível em volume, opera em setor regulado ou já sofreu incidente precisa de avaliação específica.

Mas quem ainda não fez os sete itens acima ganha muito mais fazendo-os do que contratando qualquer ferramenta.