Segurança da informação para pequenas empresas: checklist essencial

Segurança da informação para pequenas empresas é um conjunto curto de hábitos e configurações que diminui a chance de um incidente e encurta o tempo para voltar a trabalhar quando ele acontece. Nenhuma configuração zera o risco. O objetivo realista é que um problema custe uma tarde, e não uma semana de operação parada.

Este checklist foi pensado para quem não tem equipe de TI: o escritório de contabilidade com oito pessoas, a loja que vende pelo site, a clínica que agenda pelo WhatsApp. Os itens estão em ordem de prioridade, com o esforço de cada um, e no fim há um plano para a primeira semana.

Quais riscos uma pequena empresa corre de verdade

Na rotina de empresa pequena, os incidentes costumam ser pouco sofisticados:

• a senha do e-mail que vazou em outro site e foi reaproveitada, dando ao invasor a caixa de entrada e, com ela, a redefinição de senha de quase todo o resto;
• o e-mail do "fornecedor" avisando que a conta bancária mudou, ou o boleto adulterado com outro beneficiário;
• o ransomware (programa que criptografa os arquivos e cobra resgate) que entra por um anexo e trava a pasta compartilhada do escritório;
• o notebook esquecido no carro, sem senha e sem criptografia;
• o ex-funcionário que continua administrador do Instagram da empresa seis meses depois.

Nenhum desses cenários depende de um ataque direcionado. São oportunidades abertas. Não por acaso, a lista básica do programa de pequenas empresas do NIST, o instituto de padrões dos Estados Unidos, começa por autenticação multifator, atualização de software, backup com teste e treinamento da equipe, antes de falar em qualquer ferramenta cara.

Checklist de segurança da informação por prioridade e esforço

Prioridade alta é o que fecha as portas mais usadas. Esforço baixo é o que uma pessoa resolve em uma ou duas horas, em geral sem comprar nada.

Os itens 1 a 6 cobrem os cenários da seção anterior. Os de prioridade média são igualmente necessários, mas o dano que evitam é menor ou mais raro, e por isso podem entrar no segundo mês.

Acessos, senhas e autenticação em dois fatores

Gerenciador de senhas no lugar da planilha

Senha em planilha, em papel colado no monitor e em conversa de WhatsApp é o arranjo mais comum que encontramos. O problema não é só alguém ler. É que ninguém sabe quantas pessoas conhecem cada senha, e por isso ninguém consegue trocar com segurança quando alguém sai.

Um gerenciador de senhas corporativo resolve as duas coisas. Cada pessoa tem o próprio cofre, os cofres compartilhados ficam separados por área (financeiro, marketing, operação) e as senhas passam a ser longas, geradas pelo próprio programa e diferentes em cada serviço. Três cuidados:

• a senha mestra de cada pessoa é longa e não é usada em nenhum outro lugar;
• o gerenciador também tem verificação em duas etapas;
• pelo menos duas pessoas da empresa têm acesso de administrador a ele, para que a saída ou a ausência de uma não tranque todo mundo do lado de fora.

Troque uma senha quando houver sinal de vazamento, e não por calendário. Troca forçada a cada noventa dias costuma produzir senha previsível, como o mesmo nome com o número do mês.

Dois fatores nas contas que abrem as outras

Autenticação em dois fatores é pedir, além da senha, uma segunda prova de outro tipo, como um código gerado no celular ou uma chave física. Comece pelas contas cuja invasão dá acesso a outras:

1. e-mail, porque é por ele que se redefine a senha de quase tudo;
2. registro do domínio e painel de DNS, porque quem controla o domínio controla o site e o e-mail;
3. banco e meios de pagamento;
4. redes sociais e contas de anúncio;
5. hospedagem, nuvem e sistema de gestão.

Prefira aplicativo autenticador ou chave física a código por SMS. O guia de autenticação em dois fatores e gestão de acessos compara os métodos e mostra como montar o inventário dessas contas.

Saída de funcionário no mesmo dia

A saída é o momento em que mais acesso fica esquecido. Tenha a lista pronta antes de precisar dela:

• bloquear (não apagar) a conta de e-mail e transferir a caixa para o gestor;
• encerrar as sessões abertas em todos os aparelhos;
• retirar a pessoa dos cofres do gerenciador e trocar as senhas compartilhadas que ela via;
• remover os acessos em banco, redes sociais, contas de anúncio e grupos de WhatsApp da empresa;
• transferir a propriedade dos arquivos dela na nuvem;
• recolher notebook, celular corporativo e crachá.

Fornecedores com acesso

A agência que administra as redes, o contador que entra no portal do banco, a empresa de TI com acesso remoto, o desenvolvedor que tem a senha da hospedagem. Cada um desses é uma porta que você não vigia.

Sempre que o sistema permitir, dê acesso por convite nominal (parceiro no gerenciador de anúncios, usuário próprio no banco, conta separada na hospedagem) em vez de passar a sua senha. Anote quem tem acesso a quê e retire no fim do contrato. Se o fornecedor trata dados de clientes em nome da sua empresa, a LGPD também entra na conversa, como explicamos no texto sobre LGPD em sites e sistemas.

Atualizações, dispositivos e Wi-Fi

Atualização automática ligada

Quando o fabricante publica uma correção de segurança, a falha passa a ser conhecida, e quem não atualizou fica exposto a quem procura exatamente essa brecha. Ligue a atualização automática no sistema operacional, no navegador, no leitor de PDF e nos aplicativos do celular. No site, isso inclui o gerenciador de conteúdo e os plugins. Atualização que pede reinício e fica adiada por três semanas não protege nada: combine um horário para reiniciar.

Equipamento que não recebe mais atualização de segurança do fabricante entra na lista de troca. Não precisa ser amanhã, mas precisa ter data.

Notebooks e celulares

Para cada notebook e celular que acessa dado da empresa:

• bloqueio automático de tela em poucos minutos;
• criptografia de disco ligada (BitLocker no Windows, FileVault no Mac) e, no celular, armazenamento criptografado conferido nas configurações de segurança;
• uso diário com conta de usuário comum, e a de administrador só para instalar programas;
• recurso de localizar e apagar remotamente configurado e testado.

Com a criptografia ativa, o notebook esquecido no carro vira prejuízo de equipamento, e não um vazamento de dados.

Wi-Fi e roteador

A cartilha do CERT.br sobre redes resume o essencial: trocar a senha de administração que vem de fábrica, preferir WPA3 ou WPA2/WPA3 e não usar WEP nem WPA, manter o firmware (o software do roteador) atualizado e criar uma rede para convidados isolada, com senha própria. No escritório, a rede de convidados serve também para a maquininha, as câmeras e a TV da recepção, que não precisam enxergar os computadores do financeiro.

Backup, e-mail e golpes de pagamento

Backup que volta

Backup só conta depois que você restaurou algo dele. Mantenha pelo menos uma cópia fora do alcance da rede do escritório: o ransomware que criptografa a pasta compartilhada também criptografa o HD externo que fica sempre plugado. Pasta sincronizada com a nuvem replica a exclusão e a criptografia, então não substitui o backup. O passo a passo está no texto sobre backup empresarial com a regra 3-2-1 e teste de restauração.

E-mail, phishing e a regra do segundo canal

Phishing é a mensagem que se passa por alguém conhecido para roubar senha ou dinheiro. O golpe que mais pesa no caixa de empresa pequena é o de pagamento: fornecedor que "mudou de banco", boleto reenviado com outro código de barras, diretor pedindo um Pix urgente e sigiloso.

A defesa mais eficiente é uma regra combinada por escrito: todo pedido que envolve dinheiro, dado bancário ou senha é confirmado por um segundo canal, usando um contato que você já tinha, e nunca o telefone que vem na própria mensagem. O fascículo de golpes do CERT.br lista os sinais que devem acionar essa regra, como ameaça, pressa e pedido de segredo.

Dois complementos:

• reserve quinze minutos por mês para mostrar à equipe as mensagens suspeitas que chegaram de verdade, que ensinam mais que qualquer apresentação genérica;
• configure SPF, DKIM e DMARC no seu domínio, para dificultar que alguém mande e-mail falso usando o seu endereço. O texto sobre por que os e-mails da empresa caem no spam explica esses três registros.

Como registrar e responder a um incidente

Um incidente mal registrado vira duas versões da história uma semana depois. Uma planilha simples resolve, com estas colunas:

• data e hora em que a empresa soube do problema;
• o que aconteceu e como foi percebido;
• quais sistemas e quais dados foram atingidos;
• quem foi afetado (clientes, funcionários, fornecedores);
• o que foi feito, por quem e quando;
• se houve comunicação e para quem.

Na hora do problema, a ordem prática é: tirar da rede o equipamento suspeito sem apagar nada, trocar senhas a partir de um aparelho limpo, encerrar sessões abertas, avisar o banco se houver pagamento envolvido e guardar os e-mails e prints originais.

Quando o incidente envolve dado pessoal, a regulamentação da ANPD exige guardar o registro por pelo menos cinco anos, inclusive dos casos que não precisaram ser comunicados. Os prazos e critérios de comunicação estão no texto sobre LGPD citado acima.

O que fazer na primeira semana

Um plano de cinco dias, pensado para uma pessoa que dedica uma a duas horas por dia:

1. Dia 1. Listar as contas críticas (e-mail, domínio, banco, redes sociais, hospedagem, sistema de gestão), quem tem acesso a cada uma e se há verificação em duas etapas. Ativar no e-mail de todos.
2. Dia 2. Contratar ou configurar o gerenciador de senhas, criar os cofres por área e migrar as senhas das contas críticas. Trocar as que circularam por WhatsApp ou planilha.
3. Dia 3. Ligar a atualização automática em todos os computadores e celulares da empresa. Trocar a senha de administração do roteador e conferir a criptografia do Wi-Fi.
4. Dia 4. Descobrir onde está o backup, o que ele copia e restaurar um arquivo de teste. Se não houver cópia fora do escritório, esse vira o projeto do mês.
5. Dia 5. Combinar a regra do segundo canal com o financeiro, escrever o roteiro de saída de funcionário e criar a planilha de incidentes.

No fim da semana, os seis itens de prioridade alta estão feitos ou com data marcada. Os quatro de prioridade média entram no mês seguinte.

Próximo passo

Imprima a tabela, marque o que já está feito e escolha dois itens para começar amanhã. Se a lista de contas travar em "não sei quem tem acesso a isso", o inventário vem antes de qualquer ferramenta nova.

É por esse inventário que começamos os projetos de segurança digital na Locomotiva: saber quem acessa o quê, com qual segundo fator, e quanto tempo a empresa levaria para voltar se aquele acesso fosse perdido. Com essa resposta na mão, a ordem das próximas decisões fica evidente.