Segurança digital para empresa pequena: o que fazer com pouco dinheiro e pouca gente

Existe uma crença confortável entre donos de empresa pequena: ninguém vai atacar a gente, não temos nada que interesse.

Ela ignora como esses ataques funcionam hoje. A maioria não escolhe alvo — varre a internet procurando qualquer coisa vulnerável. O critério não é o tamanho da empresa; é a facilidade. E empresa pequena costuma ser mais fácil justamente porque não tem quem cuide disso.

A boa notícia: seis medidas cobrem a maior parte do risco realista, e quase todas são gratuitas.

1. Verificação em duas etapas, começando pelo e-mail

Se for possível fazer só uma coisa, faça esta. E comece pelo e-mail — não pelo banco.

O motivo é que o e-mail é a chave mestra: quem tem acesso a ele redefine a senha de todo o resto. Banco, sistema de gestão, redes sociais, hospedagem do site. Proteger a conta bancária e deixar o e-mail sem segunda etapa é trancar o cofre e deixar a chave na porta.

Prefira aplicativo autenticador a SMS. Golpe de troca de chip existe e é usado exatamente para contornar a verificação por mensagem.

2. Cada pessoa com o próprio acesso

Conta compartilhada é comum em empresa pequena e cria três problemas de uma vez: ninguém sabe quem fez o quê, a senha nunca é trocada porque mudar incomoda todo mundo, e quando alguém sai da empresa o acesso continua valendo.

Esse último ponto merece um procedimento escrito. Desligamento deveria incluir uma lista de acessos a revogar — e-mail, sistemas, WhatsApp da empresa, redes sociais, acesso ao site. Sem essa lista, sempre sobra alguma coisa.

3. Gerenciador de senhas para a equipe

A alternativa real ao gerenciador não é "todo mundo decora senhas fortes diferentes". É senha repetida em vários serviços, anotada em papel ou salva num grupo de WhatsApp.

Com senha repetida, o vazamento de qualquer serviço vira acesso a todos os outros. E vazamentos acontecem em serviços que você nem lembra que usou.

Um gerenciador compartilhado custa pouco por usuário e resolve também o problema anterior: quando alguém sai, você revoga o acesso ao cofre em vez de trocar dezenas de senhas.

4. Backup que alguém já testou restaurar

Quase toda empresa acha que tem backup. Bem menos conseguem restaurar quando precisam.

Backup não testado é suposição. Vale reservar uma manhã para tentar restaurar de verdade — e descobrir agora, e não durante uma crise, que o arquivo está corrompido, que falta a senha de restauração, ou que a rotina parou de rodar há oito meses sem avisar.

Duas regras que valem o esforço: uma cópia fora do lugar principal, porque incêndio, roubo e ransomware atingem tudo o que está junto; e uma cópia que o sistema principal não consiga apagar, porque ransomware moderno procura e criptografa os backups conectados antes de pedir resgate.

5. Atualização de sistema e equipamento

Boa parte dos ataques bem-sucedidos explora falha corrigida meses antes. A correção existia; ninguém aplicou.

Não precisa virar disciplina complexa: ativar atualização automática nos computadores e celulares da empresa já resolve a maior parte. Vale também um inventário simples do que está em uso — é comum descobrir um computador rodando sistema sem suporte há anos, ou um roteador que nunca foi atualizado desde a instalação.

6. Treinar a equipe contra golpe por mensagem

A fraude mais cara em empresa pequena raramente é técnica. É alguém se passando pelo dono pedindo transferência urgente, ou um e-mail de fornecedor com dados bancários alterados.

Isso não se resolve com ferramenta, e sim com um procedimento simples e conhecido por todos: pagamento ou mudança de dado bancário só depois de confirmação por outro canal. Recebeu pedido por WhatsApp? Confirma por telefone, num número que você já tinha — nunca no número que mandou a mensagem.

Uma regra escrita e repetida evita prejuízo maior que qualquer antivírus.

A camada que a lei obriga

Se a empresa guarda dado de cliente — e praticamente toda guarda —, a LGPD se aplica independentemente do tamanho do negócio.

Duas implicações práticas. Primeira: incidente com dado pessoal tem obrigação de comunicação. Segunda, e mais imediata: dados de clientes em dispositivos pessoais de funcionários, sem controle de acesso, é um problema de conformidade, não só de organização.

Isso é bastante comum em atendimento — conversas com clientes, com nome, telefone e às vezes documento, espalhadas em celulares pessoais. Centralizar o atendimento em uma plataforma da empresa resolve o problema operacional e o de conformidade ao mesmo tempo.

O que não vale a pena para empresa pequena

Para ser justo com o orçamento, algumas coisas costumam ser vendidas como essenciais e não são prioridade nesse porte:

• Ferramentas corporativas de monitoramento. Exigem alguém para operar e interpretar alertas. Sem essa pessoa, geram ruído.
• Certificações de segurança. Fazem sentido quando um cliente grande exige, não como iniciativa própria.
• Antivírus pago caro. A proteção que já vem no sistema operacional cobre bem o cenário comum. O dinheiro rende mais em backup e gerenciador de senhas.

Por onde começar nesta semana

Em ordem de retorno sobre esforço:

1. Ative verificação em duas etapas no e-mail principal da empresa. Leva dez minutos.
2. Liste os acessos que ex-funcionários ainda possam ter e revogue.
3. Tente restaurar um backup. Se não conseguir, você acabou de encontrar o problema mais grave.
4. Escreva e comunique a regra de confirmação por segundo canal para pagamentos.

Os quatro itens custam quase nada e cobrem os cenários que mais tiram empresa pequena do ar. O resto pode esperar o próximo trimestre.