Checklist de segurança cibernética para pequenas e médias empresas

Como usar este checklist

A maior parte dos guias de segurança falha por um motivo simples: apresentam cinquenta recomendações no mesmo nível de importância, e quem lê não consegue decidir por onde começar. O resultado é paralisia ou, pior, esforço gasto em controles sofisticados enquanto o básico continua aberto.

Este checklist está organizado em quatro níveis. Cada nível pressupõe o anterior. Se você implementar apenas o Nível 1, terá bloqueado a maioria dos ataques oportunistas que atingem empresas brasileiras, e esses representam a esmagadora maioria dos incidentes.

Nível 1: os cinco itens inegociáveis

Custo baixo, impacto alto. Se algum destes cinco não estiver feito, ele é mais importante do que qualquer coisa nos níveis seguintes.

1. Autenticação multifator em tudo que é exposto

E-mail corporativo, VPN, painel de administração de nuvem, ERP acessível pela internet, acesso remoto. Credencial roubada é o vetor de entrada mais barato para um atacante, e o MFA transforma uma senha vazada em um obstáculo em vez de uma chave. Priorize contas administrativas e a conta de e-mail de quem aprova pagamentos.

2. Nenhum acesso remoto direto pela internet

Se a porta 3389 (RDP) está acessível publicamente, considere que já foi encontrada, varreduras automatizadas mapeiam a internet inteira em horas. Coloque o acesso remoto atrás de uma VPN com MFA. Se houver necessidade de suporte de terceiros, use credencial temporária com validade definida.

3. Backup seguindo a regra 3-2-1, com uma cópia imutável

Três cópias dos dados, em dois tipos de mídia, com uma delas fora do ambiente principal. A adição de 2026 é a imutabilidade: ransomware moderno procura e apaga backups antes de criptografar os dados de produção. Uma cópia que não pode ser alterada nem deletada, nem por um administrador, é o que separa "restauramos em seis horas" de "pagamos o resgate".

4. Teste de restauração documentado

Backup que nunca foi restaurado é uma hipótese. Escolha um sistema, restaure-o de verdade em ambiente separado, cronometre e anote o resultado. É comum descobrir nesse teste que faltava um banco de dados, que a licença do software não estava salva ou que a restauração leva três dias em vez de três horas.

5. Revisão de contas e privilégios

Liste todas as contas com acesso administrativo. Remova as que não se justificam, desative as de ex-funcionários e elimine contas genéricas compartilhadas entre pessoas. Faça o mesmo nos sistemas de terceiros: quantos fornecedores ainda têm acesso ativo a algo que já foi entregue?

Nível 2: reduzindo a superfície de ataque

6. Ciclo de atualização com prazo definido

Defina um prazo máximo para aplicar correções críticas em sistemas expostos, 15 dias é um número razoável para começar. O problema raramente é a falta de patch disponível; é a ausência de um processo que garanta que ele seja aplicado.

7. Inventário do que está exposto

Você não protege o que não sabe que existe. Levante todos os serviços acessíveis pela internet: IPs públicos, subdomínios, painéis administrativos, APIs, instâncias de nuvem esquecidas. Ambientes de homologação abandonados são um clássico.

8. Segmentação de rede

O servidor de arquivos não precisa conversar com a câmera de segurança, e a máquina do financeiro não precisa alcançar o ambiente de desenvolvimento. Segmentar limita o alcance de um comprometimento: o atacante entra em um ponto, mas não caminha livremente pelo resto.

9. Antivírus de nova geração (EDR) nos endpoints

Antivírus tradicional compara arquivos com assinaturas conhecidas. Ferramentas de EDR observam comportamento (criptografia em massa de arquivos, processos suspeitos, movimentação lateral) e conseguem interromper ataques que não têm assinatura conhecida.

10. Política de senhas realista com gerenciador

Trocar senha a cada 30 dias produz "Empresa2026!" seguido de "Empresa2026@". Prefira senhas longas, únicas por serviço, armazenadas em um gerenciador corporativo, com troca obrigatória apenas quando há indício de comprometimento.

11. Bloqueio de macros e execução de anexos

Documentos do Office com macro continuam sendo um vetor comum de entrada. Bloqueie macros de arquivos vindos da internet por política, e configure o filtro de e-mail para barrar extensões executáveis.

12. Configuração segura do e-mail (SPF, DKIM e DMARC)

Além de reduzir o risco de alguém falsificar o domínio da sua empresa para golpes, esses registros melhoram a entregabilidade das mensagens legítimas. É configuração de DNS, sem custo de licença.

Nível 3: detecção e resposta

13. Centralização e retenção de logs

Quando um incidente acontece, a primeira pergunta é "por onde entraram e o que acessaram". Sem logs centralizados e retidos por um período mínimo, essa pergunta não tem resposta, e sem resposta não há como saber se o atacante ainda está dentro.

14. Plano de resposta a incidentes escrito

Um documento de duas páginas já resolve o essencial: quem é acionado, em que ordem, quem fala com clientes, quem decide desligar sistemas, quais são os telefones fora do horário comercial e onde estão as credenciais de emergência. Guarde uma cópia impressa, se a rede cair, o plano em PDF no servidor não ajuda.

15. Procedimento de comunicação de incidentes

Vazamento de dados pessoais aciona obrigações legais sob a LGPD, com prazo para comunicar a ANPD e os titulares. Em 2026, a falha em comunicar tem gerado mais sanção do que o vazamento em si. Vale entender como a fiscalização da ANPD mudou antes de precisar do procedimento.

16. Simulação de phishing e treinamento

O objetivo não é constranger quem clica: é medir. Uma campanha simulada por trimestre mostra a taxa real de cliques e permite direcionar treinamento a quem precisa. Trate o resultado como métrica de processo, não como falha individual.

Nível 4: maturidade e conformidade

17. Gestão de risco de fornecedores

Quando um fornecedor de software é comprometido, todos os clientes viram alvos potenciais. Exija comunicação de incidentes em prazo contratual, restrinja o acesso remoto de suporte a janelas aprovadas e mantenha uma cópia dos seus dados que o fornecedor não alcance.

18. Teste de intrusão periódico

Depois que os níveis anteriores estão implementados, um teste conduzido por terceiros mostra o que sobrou. Antes disso, o teste só vai confirmar o que você já sabe que está aberto, e custa caro para isso.

Cinco erros que anulam o resto

• Backup no mesmo ambiente. Cópia no servidor ao lado, na mesma rede e com as mesmas credenciais, é apagada junto.
• MFA só para a diretoria. O atacante entra pela conta mais fraca, não pela mais importante.
• Confiar no fornecedor sem verificar. "O provedor cuida da segurança" costuma significar que ele cuida da infraestrutura dele, não da configuração da sua conta.
• Comprar ferramenta sem processo. EDR que ninguém monitora gera alertas que ninguém lê.
• Tratar segurança como projeto. Projeto acaba. A revisão de acessos, o teste de restauração e a aplicação de patches são rotina.

Perguntas frequentes

Por onde uma pequena empresa deve começar?

Pelo MFA em todos os serviços expostos à internet, pela remoção do acesso remoto direto e por um backup testado seguindo a regra 3-2-1. Esses três controles, sozinhos, bloqueiam a maior parte dos ataques oportunistas.

O que é a regra 3-2-1 de backup?

Três cópias dos dados, em dois tipos diferentes de mídia, com pelo menos uma cópia fora do ambiente principal. Em 2026 recomenda-se que essa cópia externa também seja imutável, para que ransomware não consiga apagá-la.

Quanto uma PME precisa investir?

Boa parte dos controles de maior impacto tem custo baixo ou nulo: habilitar MFA, revisar contas privilegiadas, aplicar atualizações, configurar SPF e DKIM, segmentar a rede. O investimento maior aparece depois, em backup imutável, EDR e capacidade de resposta.