Segurança cibernética para pequenas empresas: o básico que evita os maiores prejuízos

Segurança cibernética para pequenas empresas não começa com firewall caro nem com consultoria de grande porte. Começa com coisas que parecem óbvias e que quase ninguém faz direito: senha única, verificação em duas etapas, backup testado e atualização em dia.

Eu sou formado em Redes de Computadores e pós-graduado em Cybersecurity, e trabalhei anos na TI de hospitais, onde sistema fora do ar não é só incômodo. A lição que ficou é simples: o que derruba pequena empresa raramente é ataque sofisticado. É senha vazada, backup que não existe e funcionário que clicou no link errado.

Este guia está em ordem de prioridade. Faça de cima para baixo.

1. Contas e senhas

A maior parte dos incidentes começa com uma conta invadida: e-mail, banco, Instagram, ERP.

• Use um gerenciador de senhas (Bitwarden, 1Password ou similar) para toda a equipe.
• Uma senha diferente para cada serviço. Senha repetida transforma um vazamento em vários.
• Ative a verificação em duas etapas em e-mail, banco, redes sociais, domínio e hospedagem. Prefira aplicativo autenticador a SMS.
• Cada pessoa com o seu login. Conta compartilhada impede saber quem fez o quê e dificulta remover acesso quando alguém sai.

O e-mail é a chave mestra

Quem controla o seu e-mail consegue redefinir a senha de quase tudo. Proteja essa conta primeiro, com senha forte e 2FA.

2. Backup que funciona de verdade

Backup que nunca foi testado é uma esperança, não um backup.

Regra	Na prática
Mais de uma cópia	Arquivo original mais pelo menos duas cópias
Em lugares diferentes	Uma na nuvem e outra num disco local
Uma cópia desconectada	Protege contra ransomware que criptografa tudo que alcança
Teste de restauração	De tempos em tempos, recupere um arquivo para provar que funciona

Eu mantenho um script que copia o Google Drive para um disco local. Se a conta for bloqueada ou alguém apagar uma pasta, existe uma cópia fora da nuvem. Não precisa ser sofisticado; precisa rodar sozinho e ser conferido.

3. Atualizações

Boa parte dos ataques explora falhas que já têm correção publicada. A empresa só não instalou.

1. Ative a atualização automática do Windows, macOS e celulares.
2. Atualize navegadores e plugins.
3. Atualize o firmware do roteador e troque a senha padrão dele.
4. Sistemas web (WordPress, lojas virtuais, plugins) precisam de alguém responsável por atualizar.
5. Equipamento sem atualização do fabricante deve ser substituído ou isolado da rede.

4. Golpes: o elo mais fraco é a conversa

No Brasil, o golpe mais comum em pequena empresa chega pelo WhatsApp e pelo e-mail: o falso fornecedor que mudou de conta bancária, o “dono” pedindo um Pix urgente de outro número, o boleto adulterado.

Regras que evitam a maioria desses casos:

• Mudança de dados bancários só se confirma por outro canal, ligando para um número que você já tinha.
• Pedido urgente de pagamento do chefe por número novo: confirme por ligação, sempre.
• Link em mensagem pedindo login: não clique; acesse o site digitando o endereço.
• Ative a verificação em duas etapas do WhatsApp em todos os aparelhos da empresa.

Treine a equipe com exemplos reais. Dez minutos numa reunião valem mais que um manual que ninguém lê.

5. Rede e Wi-Fi

• Wi-Fi de visitantes separado da rede onde ficam computadores e maquininhas.
• Senha do Wi-Fi trocada quando alguém sai da empresa.
• Nada de abrir portas no roteador para acessar câmeras ou sistemas de fora; use VPN.
• Monitore a rede para saber quando um equipamento cai ou algo estranho aparece.

Um bloqueador por DNS como o Pi-hole ajuda a barrar domínios maliciosos conhecidos para todos os aparelhos. Expliquei em Pi-hole: como bloquear anúncios na rede. Para acompanhar equipamentos e links, veja monitoramento de rede.

6. Dados de clientes e LGPD

A LGPD (Lei Geral de Proteção de Dados) vale para pequenas empresas também. Na prática:

• Colete só o que precisa. Dado que você não guarda não vaza.
• Saiba onde os dados estão: planilha, ERP, WhatsApp, e-mail.
• Limite quem acessa. Nem todo funcionário precisa ver a lista completa de clientes.
• Planilha com CPF compartilhada por link aberto é um problema esperando para acontecer.

7. Sistemas e fornecedores

Quando você contrata um site ou sistema, a segurança também depende de como ele é entregue.

• Domínio, hospedagem e código no nome da empresa, não do programador. É assim que eu entrego.
• Acessos documentados, para trocar senhas quando o contrato terminar.
• Sistema sob medida precisa de login individual, permissões por função e registro de ações.
• Pergunte ao fornecedor como é feito o backup e quem atualiza o sistema.

Se você está avaliando custo de um sistema próprio, este artigo ajuda: quanto custa um site ou sistema sob medida.

Checklist rápido

1. Gerenciador de senhas para toda a equipe.
2. 2FA em e-mail, banco, redes, domínio e WhatsApp.
3. Backup automático em dois lugares, com teste de restauração.
4. Atualização automática ligada em tudo.
5. Regra de confirmação por outro canal para pagamentos.
6. Wi-Fi de visitantes separado.
7. Acessos e domínios no nome da empresa.

Perguntas frequentes

Pequena empresa é alvo de ataque?

É, e muitas vezes não por escolha. Boa parte dos ataques é automatizada e atinge quem estiver vulnerável, sem olhar o tamanho.

Antivírus resolve?

Ajuda, mas sozinho não. Ele não impede senha vazada, golpe por WhatsApp nem a falta de backup.

Por onde começar com pouco orçamento?

Pelo topo deste guia: senhas, 2FA e backup. Quase tudo isso é gratuito ou muito barato.

Precisa de ajuda com segurança ou com um sistema seguro?

Eu desenvolvo sistemas sob medida com login individual, permissões e backup desde o primeiro dia, com código e acessos no nome do cliente. Veja como funciona em sistemas sob medida ou me chame pelo contato.