Segurança da informação para PMEs: por onde começar

Pequenas e médias empresas guardam dados de clientes, dependem do e-mail para vender e param se o servidor para. Isso basta para serem alvo, e o tamanho da empresa não protege ninguém. A boa notícia: a maior parte do risco se resolve com medidas conhecidas, aplicadas com disciplina.

Resumo rápido

Segurança da informação é garantir que os dados só sejam vistos por quem deve, estejam corretos e disponíveis quando a empresa precisa.
Os ataques mais comuns são automatizados e não escolhem alvo pelo porte. Golpes por e-mail, falhas sem atualização e senhas roubadas lideram.
A LGPD exige medidas de segurança de quem trata dados pessoais, o que inclui praticamente toda empresa.
Dez medidas cobrem a maior parte do risco de uma PME, e várias delas não têm custo de licença.
Tecnologia sem acompanhamento não protege. Alguém precisa configurar, olhar e testar.

O que é segurança da informação

Segurança da informação é o conjunto de práticas, processos e tecnologias que protegem os dados e sistemas da empresa. Ela se apoia em três pilares:

Confidencialidade: só quem precisa acessa. O salário dos funcionários não fica numa pasta aberta para todos.
Integridade: os dados estão corretos e ninguém os alterou sem autorização. O boleto enviado ao cliente é o mesmo que saiu do financeiro.
Disponibilidade: os sistemas funcionam quando a empresa precisa. O ERP está no ar na hora de faturar.

Um ataque de ransomware, por exemplo, atinge os três de uma vez: os dados ficam indisponíveis, podem ter sido copiados e podem voltar corrompidos.

Por que pequenas e médias empresas são alvo

A ideia de que “ninguém vai atacar uma empresa do meu tamanho” parte de um engano. A maior parte dos ataques não é feita por alguém que escolheu a sua empresa. São campanhas automatizadas que disparam milhares de e-mails falsos ou procuram, na internet inteira, equipamentos com falhas conhecidas. Quem estiver vulnerável é atingido.

O relatório de violações de dados da Verizon de 2026, que analisa incidentes reais no mundo todo, mostra por onde os ataques entram:

O fator humano, como cair em golpe ou cometer um erro, esteve presente em 62% das violações.
A exploração de falhas de software foi a principal porta de entrada, em 31% das violações.
O ransomware apareceu em 48% das violações.

Nenhum desses caminhos depende do tamanho da empresa. Dependem de um e-mail convincente, de um computador desatualizado ou de uma senha fraca.

Os riscos mais comuns no dia a dia

Na rotina das PMEs, os problemas quase sempre começam pequenos:

E-mail sem autenticação em dois fatores. Uma senha vazada dá acesso à caixa inteira, incluindo conversas com clientes e dados de pagamento.
Golpes de engenharia social. Troca de dados bancários de fornecedor, falso diretor pedindo transferência. Detalhamos em engenharia social e phishing.
Sistemas desatualizados. Windows, firewall e roteador sem as correções de segurança. Veja vulnerabilidades e atualizações.
Backup que ninguém testou. Existe, mas ninguém sabe se volta.
Acessos que ficaram para trás. Ex-colaborador, ex-fornecedor, login compartilhado.
Conta pessoal no trabalho. Arquivos da empresa no Google Drive ou no WhatsApp pessoal de alguém. Explicamos os riscos da conta pessoal no ambiente corporativo.

Segurança e LGPD

A Lei Geral de Proteção de Dados, no artigo 46, determina que os agentes de tratamento adotem medidas de segurança, técnicas e administrativas, aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas.

Se houver um incidente com dados pessoais que possa causar risco ou dano relevante aos titulares, a empresa precisa comunicar a ANPD e os titulares em até 3 dias úteis, conforme a Resolução CD/ANPD nº 15/2024. Sem um processo pronto, esse prazo é quase impossível de cumprir.

A ANPD publicou um guia de segurança da informação voltado a agentes de tratamento de pequeno porte, com medidas práticas: política de segurança, conscientização da equipe, controle de acesso pelo mínimo necessário, autenticação multifator, backup regular guardado em local separado, atualizações em dia e antivírus. É um bom ponto de partida para quem nunca organizou o tema. Veja também como funciona a adequação à LGPD e o Marco Legal da Cibersegurança.

Dez medidas que cobrem a maior parte do risco

O guia do NIST para pequenas empresas organiza a segurança em seis funções: governar, identificar, proteger, detectar, responder e recuperar. Traduzindo para a realidade de uma PME brasileira:

Saiba o que você tem. Lista de computadores, servidores, celulares, sistemas e onde estão os dados importantes.
Autenticação em dois fatores no e-mail, nos sistemas financeiros e no acesso remoto.
Backup fora da empresa, com teste de restauração. Inclua o Microsoft 365, que muitas vezes fica de fora. Veja por que backup em nuvem não é igual a Google Drive.
Atualizações automáticas e conferidas em computadores, servidores e firewall.
EDR em todos os computadores, com alguém acompanhando os alertas.
Firewall gerenciado separando a rede interna da internet.
Acessos pelo mínimo necessário, revisados a cada saída de colaborador ou troca de fornecedor.
Celulares corporativos gerenciados, com possibilidade de apagar dados remotamente em caso de perda.
Treinamento curto e frequente da equipe, com simulações de golpes.
Plano de resposta a incidentes: quem liga para quem, quem decide e como comunicar.

Casos reais

Duas situações atendidas pela Pulso mostram o que muda quando o básico está bem feito.

O servidor físico de um cliente falhou. O ambiente foi colocado para rodar como máquina virtual na nuvem da Pulso, em datacenter em São Paulo, com 8 CPUs e 16 GB de RAM. Os 5 a 6 usuários continuaram trabalhando por VPN enquanto o equipamento era recuperado. A empresa não parou.

Outro cliente, em processo de autorização do Banco Central para operar câmbio, precisava comprovar controles rigorosos. Implantamos firewall Sophos em múltiplas camadas e a documentação técnica exigida. A autorização foi concedida. Os detalhes estão em cases de sucesso.

Nossa recomendação

Na Pulso, recomendamos que a PME trate segurança como trata a contabilidade: um processo mensal, com responsável e relatório, e não um projeto que se faz uma vez.

Nossa leitura é que o maior erro não é a falta de ferramenta. É a ferramenta instalada sem ninguém acompanhando. Antivírus com licença vencida em metade das máquinas, backup que falha há meses sem aviso, firewall com a configuração de fábrica. Quando assumimos ambientes novos, encontramos com frequência Microsoft 365 sem backup, backup que nunca teve teste de restauração e senhas de administrador ainda com o fornecedor anterior.

Se a empresa não tem equipe interna para isso, contratar segurança gerenciada costuma sair mais barato e mais consistente do que montar tudo sozinho.

Próximo passo

A segurança gerenciada da Pulso reúne EDR, backup, firewall, treinamento e acompanhamento em um contrato mensal, a partir de R$ 90 por dispositivo. Se quiser saber como a sua empresa está hoje, fale com a gente e agende um diagnóstico gratuito.

Fontes

Perguntas frequentes

Minha empresa é pequena. Por que alguém atacaria?

Porque a maioria dos ataques não escolhe alvo pelo tamanho. Golpes de e-mail, ransomware e exploração de falhas são automatizados e atingem quem estiver vulnerável. Empresa pequena costuma ter menos defesas, o que facilita o trabalho do criminoso.

A LGPD exige segurança da informação de empresa pequena?

Sim. O artigo 46 da LGPD obriga quem trata dados pessoais a adotar medidas de segurança técnicas e administrativas. Praticamente toda empresa trata dados de clientes e funcionários, então a regra vale para quase todas.

Quanto custa proteger uma empresa pequena?

Depende do número de equipamentos e do que já existe. Na Pulso, a segurança gerenciada começa em R$ 90 por dispositivo ao mês. Várias medidas importantes, como ativar a autenticação em dois fatores, não têm custo adicional.

Qual é a primeira medida que devo tomar?

Ativar a autenticação em dois fatores no e-mail de todos e confirmar que existe um backup fora da empresa que já foi testado. Essas duas medidas reduzem muito o impacto dos incidentes mais comuns.

Este conteúdo é informativo e não substitui orientação jurídica.

Segurança da informação
PME
LGPD
Backup
Segurança gerenciada

Ver todos os artigos

Segurança da informação para pequenas e médias empresas: por onde começar