🔒 Sua empresa está preparada para um ataque cibernético ou apenas espera que ele não aconteça?

Sua empresa está preparada para um ataque cibernético ou apenas espera que ele não aconteça?

Backup, antivírus e senhas fortes ajudam, mas não garantem continuidade: empresas precisam saber quais sistemas são críticos, quem possui acesso e como recuperar a operação quando algo falha

Por Cleiton Celini e Gledson Alves, sócios e contadores da AUDICONT Contabilidade

O sistema financeiro para de responder. O e-mail corporativo fica indisponível. Ninguém consegue acessar os documentos necessários para faturar e o responsável pela tecnologia não está disponível naquele momento.

A partir daí, surgem perguntas que muitas empresas nunca fizeram antes do problema acontecer:

Onde está o último backup válido? Quem possui acesso administrativo? Existe uma forma alternativa de emitir documentos? Quanto tempo a empresa consegue permanecer sem o sistema? Quem deve falar com o fornecedor?

É normalmente durante uma indisponibilidade que a organização descobre se realmente possui uma estratégia de cibersegurança ou apenas algumas ferramentas de proteção instaladas.

Para pequenas e médias empresas, segurança digital deixou de ser uma questão restrita ao departamento de tecnologia. Uma falha pode interromper vendas, pagamentos, emissão de notas fiscais, folha de pagamento, atendimento, acesso a documentos e integração com a contabilidade.

Por isso, a pergunta mais útil não é apenas se a empresa pode sofrer um ataque cibernético.

É esta:

se um sistema crítico parar hoje, a empresa consegue continuar funcionando e recuperar seus dados?

Cibersegurança não começa pela compra de uma ferramenta

Antivírus, firewall, autenticação multifator e sistemas de monitoramento são importantes, mas representam apenas uma parte da proteção.

Uma empresa pode investir em tecnologia e ainda permanecer vulnerável se:

• ex-funcionários mantêm acessos ativos;
• várias pessoas compartilham o mesmo login;
• contas administrativas são utilizadas no trabalho cotidiano;
• ninguém sabe quais sistemas são realmente essenciais;
• backups existem, mas nunca foram restaurados;
• fornecedores possuem acessos sem revisão periódica;
• documentos críticos estão concentrados em computadores individuais;
• senhas são compartilhadas informalmente;
• não existe procedimento para comunicar incidentes;
• a operação depende do conhecimento de uma única pessoa.

Cibersegurança madura exige integração entre tecnologia, processos, pessoas e capacidade de recuperação.

Não se trata apenas de evitar um ataque. Trata-se também de reduzir seu impacto caso ele aconteça.

O primeiro passo é identificar o que realmente pode parar a empresa

Nem todo sistema possui o mesmo nível de importância.

Uma organização pode utilizar dezenas de plataformas, aplicativos e equipamentos, mas alguns recursos são indispensáveis para continuar operando.

Entre os mais comuns estão:

• ERP;
• sistema financeiro;
• emissão de documentos fiscais;
• internet banking;
• e-mail corporativo;
• armazenamento em nuvem;
• folha de pagamento;
• CRM;
• sistema de vendas;
• plataformas de atendimento;
• banco de dados;
• arquivos contábeis;
• certificados digitais;
• sistemas utilizados na produção;
• plataformas específicas da atividade empresarial.

Para cada recurso crítico, a empresa deveria conseguir responder:

1. O que acontece se ele ficar indisponível?
2. Quanto tempo conseguimos operar sem ele?
3. Existe alguma alternativa temporária?
4. Quem administra os acessos?
5. Qual fornecedor mantém o serviço?
6. Onde os dados ficam armazenados?
7. Existe backup?
8. Esse backup já foi restaurado?
9. Quem deve ser acionado em uma emergência?
10. Existe alguém capaz de assumir a operação se o responsável principal estiver indisponível?

Esse exercício transforma cibersegurança em gestão de risco.

Backup existente não significa backup recuperável

“Temos backup” costuma transmitir uma falsa sensação de segurança.

A pergunta correta é:

quando foi a última vez que esse backup foi restaurado com sucesso?

Uma cópia pode existir e, ainda assim, não ser suficiente para recuperar a operação.

Isso pode acontecer quando:

• os arquivos estão corrompidos;
• a cópia está desatualizada;
• determinados diretórios não foram incluídos;
• o backup depende das mesmas credenciais comprometidas;
• a cópia permanece conectada ao ambiente afetado;
• ninguém conhece o procedimento de restauração;
• o fornecedor mantém cópia, mas o prazo de recuperação é desconhecido;
• a empresa confunde sincronização de arquivos com backup.

Sincronização, histórico de versões e backup não são necessariamente a mesma coisa.

O backup somente demonstra seu valor quando a empresa consegue restaurar os dados e retornar à operação dentro de um prazo aceitável.

Quanto tempo a empresa consegue operar sem cada sistema?

Essa é uma pergunta de gestão, não apenas de tecnologia.

Considere diferentes cenários:

• uma hora sem e-mail;
• quatro horas sem internet banking;
• um dia sem emitir notas fiscais;
• dois dias sem arquivos;
• três dias sem ERP;
• uma semana sem acesso aos dados comerciais.

O impacto será diferente em cada caso.

Algumas atividades podem esperar. Outras interrompem faturamento, caixa ou atendimento praticamente de imediato.

A empresa precisa definir quanto tempo consegue tolerar sem determinado recurso e, a partir dessa resposta, estabelecer prioridades para:

• recuperação;
• redundância;
• internet alternativa;
• equipamentos;
• fornecedores;
• backups;
• suporte;
• contingência;
• acesso remoto;
• procedimentos manuais temporários.

Sem essa análise, a organização pode investir muito na proteção de processos secundários e deixar uma atividade essencial sem plano de continuidade.

A empresa sabe quem possui acesso a cada sistema?

Controle de acesso é um dos pilares mais básicos da segurança empresarial.

Mesmo assim, é comum encontrar:

• contas de ex-funcionários;
• logins compartilhados;
• prestadores antigos ainda cadastrados;
• usuários com permissões maiores do que precisam;
• contas administrativas sem controle;
• acessos criados temporariamente que nunca foram removidos.

A regra deve ser simples:

cada pessoa deve possuir apenas os acessos necessários para executar suas atividades.

Quanto maior o privilégio, maior deve ser o cuidado.

Uma senha comprometida de um usuário comum tende a gerar impacto menor do que o comprometimento de uma conta que possui acesso administrativo a todos os sistemas.

O desligamento de um funcionário também precisa ser digital

O encerramento do vínculo com um trabalhador não termina nas rotinas trabalhistas.

Também é necessário revisar:

• e-mail;
• ERP;
• sistema financeiro;
• armazenamento em nuvem;
• CRM;
• atendimento;
• redes sociais;
• VPN;
• acesso remoto;
• certificados;
• sistemas de clientes;
• ferramentas de produtividade;
• aplicativos utilizados profissionalmente.

Esse processo deve fazer parte do checklist de desligamento.

Não é necessário presumir má-fé do ex-trabalhador. Uma conta esquecida pode permanecer ativa com senha antiga, sem autenticação multifator e fora da rotina de monitoramento.

Isso representa uma porta de entrada desnecessária.

Login compartilhado parece prático, mas elimina rastreabilidade

Em muitas pequenas empresas, várias pessoas utilizam o mesmo usuário e senha.

A prática parece simples, mas cria um problema importante: ninguém consegue determinar com segurança quem realizou determinada ação.

Quando existe uma credencial individual, é possível investigar:

• quem acessou;
• quando acessou;
• qual alteração foi realizada;
• qual dispositivo foi utilizado;
• quem aprovou determinado procedimento.

Com uma senha compartilhada, essa rastreabilidade desaparece.

Além disso, sempre que uma pessoa deixa a empresa, seria necessário alterar a senha utilizada por todos.

Na prática, isso frequentemente não acontece.

Autenticação multifator deixou de ser um recurso opcional em contas críticas

A autenticação multifator, conhecida pelas siglas MFA ou 2FA, acrescenta uma segunda etapa de verificação além da senha.

Isso significa que a descoberta da senha, isoladamente, pode não ser suficiente para permitir o acesso.

A proteção deve ser priorizada em:

• e-mail corporativo;
• sistemas financeiros;
• contas administrativas;
• serviços em nuvem;
• VPN;
• plataformas de atendimento;
• redes sociais empresariais;
• sistemas que armazenam dados sensíveis;
• ferramentas que permitem alterar usuários e permissões.

A empresa também precisa planejar a recuperação dessas contas.

Ativar MFA e deixar todos os códigos vinculados ao celular de uma única pessoa pode criar outro problema de continuidade.

Segurança não pode depender de uma única pessoa

Esse é um risco comum em pequenas empresas.

Existe alguém que conhece:

• todas as senhas;
• todos os fornecedores;
• como restaurar backup;
• como entrar no roteador;
• como recuperar o e-mail;
• onde ficam os códigos de emergência;
• como acessar as contas administrativas.

Enquanto essa pessoa está disponível, tudo funciona.

Quando ela sai da empresa, viaja, adoece ou simplesmente não atende, a organização percebe que não possuía um processo. Possuía uma dependência.

Informações críticas precisam estar documentadas e protegidas de forma que outra pessoa autorizada consiga assumir a continuidade quando necessário.

Usar um sistema em nuvem não transfere todo o risco ao fornecedor

A contratação de soluções em nuvem pode aumentar disponibilidade, atualização e segurança, mas não elimina as responsabilidades da empresa.

O fornecedor pode proteger a infraestrutura enquanto o cliente mantém:

• senhas fracas;
• contas compartilhadas;
• permissões excessivas;
• ausência de MFA;
• usuários antigos;
• computadores comprometidos;
• configurações inadequadas.

Além disso, a empresa precisa saber:

• quais dados são armazenados;
• onde ficam;
• como são recuperados;
• qual é o prazo de restauração;
• como exportar os dados;
• quem controla os usuários;
• quais registros de acesso estão disponíveis;
• como incidentes são comunicados;
• o que ocorre quando o contrato termina.

Um bom fornecedor reduz riscos, mas não substitui controles internos.

O que acontece se o principal fornecedor ficar indisponível?

Dependência tecnológica também é risco empresarial.

Considere uma empresa que concentre praticamente toda sua operação em um único fornecedor:

• ERP;
• documentos;
• e-mail;
• comunicação;
• financeiro;
• vendas;
• atendimento.

Se o fornecedor sofrer uma indisponibilidade relevante, a empresa consegue continuar trabalhando?

Esse cenário deve ser avaliado antes do problema.

Perguntas úteis incluem:

• Existe procedimento de contingência?
• Os dados podem ser exportados?
• Existem cópias locais ou independentes quando necessário?
• Qual é o suporte emergencial?
• Existe SLA?
• Há fornecedor alternativo para atividades críticas?
• A empresa sabe como operar temporariamente sem a plataforma?

A resposta nem sempre será manter dois sistemas completos.

A solução deve ser proporcional ao risco e ao custo de interrupção.

Cibersegurança também é um assunto financeiro e contábil

Um ataque ou falha tecnológica pode rapidamente produzir reflexos fora da área de TI.

Entre os exemplos estão:

• pagamento fraudulento;
• transferência indevida;
• faturamento interrompido;
• perda de documentos;
• duplicidade de lançamentos;
• alteração de favorecidos;
• paralisação de vendas;
• impossibilidade de emitir documentos fiscais;
• perda de informações da folha;
• divergências após restauração de dados.

A contabilidade precisa conseguir identificar, documentar e tratar os efeitos desses eventos.

Uma movimentação financeira fraudulenta, por exemplo, pode inicialmente aparecer apenas como uma transferência bancária.

Sem conciliação tempestiva, a irregularidade pode permanecer sem análise durante dias.

Segundo Cleiton Celini e Gledson Alves, sócios e contadores da AUDICONT Contabilidade, a segurança digital precisa ser tratada como uma extensão dos controles internos da empresa.

“Quando um sistema falha, o problema raramente permanece apenas na tecnologia. Ele pode alcançar faturamento, caixa, documentos fiscais, folha, registros contábeis e atendimento. Por isso, a empresa precisa conhecer seus processos críticos e saber como continuar operando quando uma ferramenta deixa de estar disponível.”

A conciliação pode ajudar a detectar irregularidades

Nem todo incidente será impedido.

Por isso, a empresa também precisa de mecanismos de detecção.

Na área financeira e contábil, a conciliação pode revelar:

• transferência não reconhecida;
• pagamento duplicado;
• beneficiário alterado;
• valor diferente do documento;
• movimentação sem suporte;
• operação fora do comportamento habitual.

Quanto menor o intervalo entre a movimentação e a conferência, maior tende a ser a capacidade de reação.

A conciliação não substitui segurança digital, mas funciona como uma camada adicional de controle.

Existe um plano para quando alguma coisa der errado?

Um plano de continuidade não precisa começar com um documento complexo.

Uma pequena ou média empresa pode iniciar com respostas objetivas.

Se o ERP parar

Quem deve ser acionado e quais atividades podem continuar?

Se a internet cair

Existe conexão alternativa?

Se um computador for comprometido

O trabalhador sabe quem deve procurar e o que não deve fazer?

Se o e-mail for invadido

Quem consegue bloquear a conta e redefinir acessos?

Se ocorrer uma transferência suspeita

Quem pode suspender operações e entrar em contato com o banco?

Se os arquivos ficarem indisponíveis

Onde está o backup e quem consegue restaurá-lo?

Se um fornecedor ficar fora do ar

Existe procedimento temporário?

Se houver exposição de dados pessoais

Quem avaliará o incidente e as medidas aplicáveis?

A existência dessas respostas reduz improvisação durante uma situação de pressão.

Um plano nunca testado pode falhar justamente quando for necessário

Documentar um procedimento não comprova que ele funciona.

Testes simples podem identificar problemas antes de uma emergência real.

A empresa pode periodicamente:

• restaurar um arquivo de backup;
• bloquear um usuário;
• recuperar uma conta;
• conferir contatos de emergência;
• testar acesso de responsáveis alternativos;
• localizar códigos de recuperação;
• simular indisponibilidade de um sistema;
• revisar usuários administrativos.

Esses testes podem revelar situações como:

• senha de recuperação inválida;
• número de suporte desatualizado;
• responsável que já saiu da empresa;
• backup incompleto;
• código armazenado em local inacessível;
• dependência de equipamento que também estaria indisponível.

Descobrir isso em um teste custa muito menos do que descobrir durante um incidente.

A LGPD é apenas uma parte da cibersegurança

Quando existe tratamento de dados pessoais, a Lei Geral de Proteção de Dados exige atenção à segurança e à prevenção.

Mas cibersegurança empresarial vai além da LGPD.

Também precisam ser protegidos:

• registros financeiros;
• contratos;
• segredos comerciais;
• propriedade intelectual;
• documentos fiscais;
• informações societárias;
• dados operacionais;
• credenciais;
• sistemas de produção.

Um incidente pode ser extremamente grave mesmo quando não há vazamento de dado pessoal.

Uma paralisação do faturamento por vários dias, por exemplo, pode causar impacto financeiro relevante sem que exista exposição de dados.

Maturidade significa saber prevenir, responder e recuperar

Em 2026, o Gabinete de Segurança Institucional da Presidência da República passou a disponibilizar a iniciativa Brasil Digital + Ciberseguro, com diagnóstico de maturidade em cibersegurança direcionado a pequenas e médias empresas.

A iniciativa reforça uma ideia importante: a segurança deve ser avaliada de forma estruturada, considerando não apenas ferramentas, mas também processos, responsabilidades e capacidade de resposta.

Para uma PME, maturidade não significa possuir a infraestrutura de uma grande companhia.

Significa saber:

• quais riscos realmente importam;
• quais sistemas são essenciais;
• quem possui acesso;
• quais informações precisam ser protegidas;
• como detectar problemas;
• quem deve agir;
• como recuperar a operação.

O que a empresa deve revisar agora

Uma avaliação inicial pode começar com dez perguntas:

1. Quais sistemas são indispensáveis para a operação?
2. Quanto tempo a empresa consegue permanecer sem cada um deles?
3. Existem backups das informações críticas?
4. Esses backups já foram restaurados com sucesso?
5. Todos os ex-funcionários perderam seus acessos?
6. Cada usuário possui credencial individual?
7. MFA está habilitado nas contas críticas?
8. A empresa sabe quem possui acesso administrativo?
9. Existe procedimento documentado para incidentes e indisponibilidades?
10. Outra pessoa conseguiria executar a recuperação se o responsável principal estivesse ausente?

Quando várias respostas forem “não” ou “não sei”, provavelmente existe espaço para melhorar a maturidade antes de comprar novas ferramentas.

Perguntas frequentes

O que é maturidade em cibersegurança?

Maturidade em cibersegurança é a capacidade da empresa de identificar riscos, proteger sistemas e informações, detectar problemas, responder a incidentes e recuperar a operação. Ela envolve tecnologia, processos, pessoas, controles de acesso, backups, treinamento e continuidade do negócio.

Pequenas empresas realmente precisam de um plano de cibersegurança?

Sim. O plano deve ser proporcional ao porte e à complexidade da empresa. Uma PME não precisa necessariamente da mesma estrutura de uma grande corporação, mas deve saber quais sistemas são críticos, controlar acessos, manter backups recuperáveis e definir como agir quando ocorrer uma indisponibilidade ou incidente.

Fazer backup todos os dias é suficiente?

Não. A frequência é apenas uma parte da estratégia. A empresa também precisa saber quais informações estão sendo copiadas, onde ficam armazenadas, quem consegue acessá-las e se a restauração funciona. Um backup nunca testado pode falhar justamente quando for necessário.

Ter sistema em nuvem elimina a necessidade de backup?

Não necessariamente. A empresa deve entender quais mecanismos de cópia, retenção e recuperação o fornecedor oferece e quais responsabilidades continuam com o cliente. Sincronização de arquivos, histórico de versões e backup possuem funções diferentes.

Ex-funcionários devem perder acesso aos sistemas?

Sim. A revisão e o encerramento dos acessos relacionados ao trabalho devem fazer parte do processo de desligamento. E-mail, ERP, armazenamento, sistemas financeiros, VPN, ferramentas de atendimento e contas administrativas precisam ser avaliados conforme as funções exercidas.

Toda empresa precisa usar autenticação multifator?

Não existe uma obrigação geral aplicável indistintamente a todos os sistemas de todas as empresas privadas. Entretanto, MFA é uma importante camada de segurança e deve ser priorizada em contas críticas, como e-mail, sistemas financeiros, nuvem, acessos administrativos e plataformas com informações sensíveis.

Como uma pequena empresa pode começar a melhorar sua segurança?

Comece identificando sistemas críticos, usuários, acessos, backups e fornecedores. Depois, priorize os riscos que podem gerar maior impacto. O objetivo inicial não deve ser comprar mais ferramentas, mas compreender onde a empresa está vulnerável e se possui capacidade real de recuperar a operação.

Fontes consultadas

Gabinete de Segurança Institucional da Presidência da República - GSI
Brasil Digital + Ciberseguro - iniciativa de diagnóstico de maturidade em cibersegurança direcionada a pequenas e médias empresas.

Secretaria de Governo Digital - Ministério da Gestão e da Inovação em Serviços Públicos
Programa de Privacidade e Segurança da Informação e materiais relacionados à maturidade e segurança digital.

Presidência da República
Lei nº 13.709, de 14 de agosto de 2018 - Lei Geral de Proteção de Dados Pessoais.