Segurança cibernética para empresas: ameaças, controles e resposta a incidentes

Segurança cibernética para empresas é o conjunto de práticas, ferramentas e regras que protege sistemas, dados e pessoas contra ataques digitais. Na prática, ela se resume a três perguntas: o que pode dar errado, o que fazer para evitar e como reagir quando acontecer. A boa notícia é que poucos controles básicos, como autenticação de dois fatores, backup testado e sistemas atualizados, barram a maior parte dos ataques comuns. Este guia mostra as principais ameaças, os controles que mais reduzem risco, como montar um plano de resposta a incidentes e o que exigem a LGPD e o Banco Central em 2026.

O que é segurança cibernética para empresas

Segurança cibernética, ou cibersegurança, é a proteção do ambiente digital de uma organização: computadores, celulares, servidores, serviços em nuvem, contas de e-mail e os dados que circulam entre eles. O objetivo clássico tem três partes. Confidencialidade, para que só quem deve veja a informação. Integridade, para que ninguém a altere sem autorização. E disponibilidade, para que ela esteja acessível quando o negócio precisa.

Não é um assunto só de TI. Um ataque bem-sucedido paralisa a operação, expõe clientes, gera multas e corrói a confiança na marca. Por isso os referenciais modernos tratam a segurança como tema de gestão. O NIST CSF 2.0, framework de cibersegurança do instituto de padrões dos Estados Unidos, publicado em fevereiro de 2024, organiza o trabalho em seis funções: governar, identificar, proteger, detectar, responder e recuperar. A função governar foi a novidade da versão 2.0 e coloca a liderança da empresa no centro das decisões de risco.

Outro referencial muito usado são os CIS Controls, do Center for Internet Security, hoje na versão 8.1. Eles dividem os controles em grupos de implementação. O primeiro, chamado IG1, reúne 56 salvaguardas descritas como higiene cibernética essencial, o mínimo que toda empresa deveria ter. Para uma pequena ou média empresa, é um ótimo ponto de partida.

Principais ameaças às empresas

Os ataques mudam de forma o tempo todo, mas quase sempre exploram as mesmas brechas: uma pessoa enganada, uma senha fraca ou vazada, um sistema desatualizado ou um fornecedor com acesso demais. Estas são as ameaças que mais aparecem no dia a dia das empresas.

• Ransomware. Programa malicioso que torna os dados ou os equipamentos inacessíveis, em geral por criptografia, e cobra resgate para devolver o acesso. Segundo o CERT.br, ele costuma entrar por anexos e links maliciosos ou pela exploração de sistemas sem atualização, e tenta se espalhar para outros dispositivos da rede. Muitos grupos também copiam os dados antes de cifrar e ameaçam publicá-los.
• Phishing. Mensagem falsa, por e-mail, SMS ou WhatsApp, que se passa por banco, fornecedor ou colega para roubar senhas ou induzir um pagamento. A variação mais cara para empresas é o golpe do falso fornecedor ou do falso diretor, que pede uma transferência urgente. Veja os sinais de alerta no artigo sobre golpes digitais e phishing.
• Vazamento de dados. Exposição de dados de clientes, funcionários ou do próprio negócio, seja por ataque, por erro de configuração (como um banco de dados aberto na internet) ou por alguém de dentro.
• Fraude de identidade. Uso de documentos falsos, dados roubados ou rostos manipulados para abrir contas, pedir crédito ou assumir a conta de alguém. É um risco central para fintechs, marketplaces e qualquer negócio com cadastro online.
• Ataque à cadeia de fornecedores. O criminoso invade um fornecedor de software ou de serviço e, a partir dele, chega aos clientes. Quanto mais integrações e acessos de terceiros a empresa tem, maior essa superfície.

Os controles básicos que mais reduzem risco

Ferramenta sofisticada sem o básico bem feito é dinheiro mal gasto. Os seis controles abaixo aparecem em praticamente todos os referenciais, do NIST CSF aos CIS Controls, e cobrem a maior parte dos cenários de ataque.

1. Autenticação multifator (MFA). Exija um segundo fator, como código de aplicativo autenticador, chave física ou biometria, em e-mail, sistemas financeiros, painéis de nuvem e acesso remoto. Com MFA, uma senha vazada sozinha não abre a porta. Entenda os tipos de fator no artigo sobre autenticação de dois fatores.
2. Backup 3-2-1. Mantenha três cópias dos dados, em dois tipos de mídia diferentes, com uma delas fora do ambiente principal e, de preferência, desconectada ou imutável. Teste a restauração com frequência: backup que nunca foi restaurado é uma aposta.
3. Atualização constante. Ative a atualização automática de sistemas operacionais, navegadores e aplicativos, e tenha um processo para corrigir rápido as falhas críticas em servidores e equipamentos de rede. Inventário de ativos vem antes: não dá para atualizar o que você nem sabe que existe.
4. Menor privilégio. Cada pessoa e cada sistema deve ter só o acesso de que precisa para trabalhar. Contas de administrador ficam separadas das de uso diário, e acessos de quem saiu da empresa ou de fornecedores são revistos com periodicidade.
5. Logs e monitoramento. Registre acessos, alterações e erros dos sistemas importantes, guarde esses registros em local protegido e configure alertas para comportamentos estranhos, como login de madrugada ou de outro país.
6. Treinamento contínuo. A maioria dos ataques começa enganando alguém. Treinos curtos e frequentes, com simulações de phishing e regras claras para pedidos de pagamento, valem mais que uma palestra por ano.

Dois complementos fecham a base. Senhas longas e únicas para cada serviço, guardadas em um gerenciador, como explica o guia sobre como criar senhas seguras. E criptografia dos dados em trânsito e em repouso, tema do artigo sobre criptografia de dados.

Plano de resposta a incidentes

Nenhuma empresa está imune. A diferença entre um susto e uma crise está em saber, antes, quem faz o quê. Um plano de resposta a incidentes é um documento curto, aprovado pela direção, que define papéis, contatos, critérios de gravidade e os passos a seguir. Ele precisa ser ensaiado pelo menos uma vez por ano, com um exercício de mesa que simule, por exemplo, um ransomware numa sexta-feira à noite.

Alguns cuidados fazem diferença no momento da crise:

• Contenha antes de investigar a fundo. Desconecte da rede as máquinas afetadas, sem desligá-las, para preservar evidências, e troque as credenciais que possam ter vazado.
• Registre tudo. Horários, sistemas afetados, decisões tomadas e quem as tomou. Esse registro serve para a investigação, para a comunicação aos órgãos reguladores e para o seguro, se houver.
• Tenha contatos fora do ambiente atacado. Uma lista impressa ou em outro serviço, com telefones da equipe, do fornecedor de TI, do jurídico e do encarregado de dados (DPO).
• Comunique com uma voz só. Defina quem fala com clientes, imprensa e parceiros, para evitar informações contraditórias.

LGPD: quando e como comunicar um incidente à ANPD

A Lei Geral de Proteção de Dados (LGPD), no art. 48, obriga o controlador a comunicar à Autoridade Nacional de Proteção de Dados (ANPD) e aos titulares os incidentes de segurança que possam causar risco ou dano relevante. As regras práticas estão no Regulamento de Comunicação de Incidente de Segurança, aprovado pela Resolução CD/ANPD nº 15, de 24 de abril de 2024.

• Quando comunicar. A ANPD orienta que a comunicação é devida quando, ao mesmo tempo, o incidente foi confirmado, envolve dados pessoais sujeitos à LGPD e pode causar risco ou dano relevante aos titulares. Dados sensíveis, financeiros, de crianças ou em grande volume pesam nessa avaliação.
• Prazo. Três dias úteis para a ANPD e também para os titulares, contados de quando o controlador soube que o incidente afetou dados pessoais, e não da data do ataque. Para agentes de tratamento de pequeno porte, os prazos contam em dobro.
• Complemento. Se nem tudo estiver claro em três dias, a comunicação pode ser preliminar e complementada, de forma fundamentada, em até 20 dias úteis.
• Registro. Todo incidente deve ser registrado, inclusive os que não precisaram ser comunicados, e o registro deve ser guardado por no mínimo cinco anos.

Setor financeiro e de pagamentos: o que exige o Banco Central

Para quem é autorizado a funcionar pelo Banco Central, segurança cibernética não é só boa prática, é regra. Bancos e demais instituições financeiras seguem a Resolução CMN nº 4.893/2021. Instituições de pagamento, corretoras e distribuidoras de valores e corretoras de câmbio seguem a Resolução BCB nº 85/2021, com conteúdo equivalente. Em março de 2026, a Resolução BCB nº 552 incluiu também as prestadoras de serviços de ativos virtuais no escopo da BCB 85. Se você ainda está entendendo essas categorias, veja o artigo sobre banco ou instituição de pagamento.

Desde 2021, as duas normas exigem uma política de segurança cibernética formal, um plano de ação e de resposta a incidentes, um diretor responsável pelo tema e um relatório anual com data-base em 31 de dezembro. Também regulam a contratação de serviços relevantes de processamento, armazenamento e nuvem, que precisa ser comunicada ao Banco Central em até dez dias após a contratação.

O que mudou com as Resoluções CMN 5.274 e BCB 538

Em 18 de dezembro de 2025, o CMN e o Banco Central publicaram as Resoluções CMN nº 5.274 e BCB nº 538, que endurecem as duas normas. As instituições em funcionamento tiveram até 1º de março de 2026 para se adequar. Os pontos principais:

• Controles mínimos listados. A política passou a ter de cobrir, no mínimo, 14 frentes, entre elas autenticação, criptografia, prevenção e detecção de intrusão, prevenção de vazamentos, proteção contra software malicioso, rastreabilidade, cópias de segurança, gestão de vulnerabilidades, controle de acesso, configuração segura, proteção da rede, gestão de certificados digitais e monitoramento de informações da instituição na internet, inclusive na dark web.
• MFA para acesso externo. Acesso à rede corporativa a partir de fora da instituição exige múltiplos fatores de autenticação, e as permissões, em especial de terceirizados, precisam ser revistas periodicamente.
• Testes de intrusão anuais. No mínimo uma vez por ano, feitos com independência por especialista contratado, com resultados e planos de correção documentados.
• Regras para o ambiente Pix. Para quem se comunica pela Rede do Sistema Financeiro Nacional (RSFN), o ambiente Pix deve ficar isolado física e logicamente dos demais sistemas, com MFA no acesso administrativo, monitoramento das credenciais e certificados e proibição de acesso de prestadores às chaves privadas usadas para assinar mensagens.

Para quem lida com dados de cartão, essas regras somam-se ao padrão da indústria de cartões, explicado no artigo sobre PCI DSS e tokenização.

Por onde começar: um roteiro de 90 dias

Segurança é um processo, não um projeto com data para acabar. Mas dá para sair do zero com um plano curto e realista.

1. Primeiros 30 dias: saber o que proteger. Liste sistemas, dados críticos, fornecedores com acesso e contas de administrador. Ative MFA no e-mail e nos sistemas financeiros e confira se o backup existe e restaura.
2. De 30 a 60 dias: fechar as portas mais usadas. Ligue a atualização automática, revise permissões pelo menor privilégio, adote um gerenciador de senhas e centralize os logs dos sistemas principais.
3. De 60 a 90 dias: preparar a resposta. Escreva o plano de resposta a incidentes, defina quem comunica a ANPD, faça o primeiro exercício simulado e comece o treinamento recorrente da equipe.

Para a parte de acesso, o TKI Pass é um app gratuito da TKI que reúne autenticador de dois fatores e cofre de senhas, com conhecimento zero: tudo é cifrado no próprio aparelho com AES-256-GCM, a partir de uma chave derivada com Argon2id, e funciona no iPhone, iPad, Mac, Apple Watch e navegador. É um caminho simples para o time adotar MFA e senhas fortes sem complicação. Para quem abre contas de clientes, o TKI Verify faz verificação de identidade com prova de vida, leitura de documentos e comparação facial, o que ajuda a barrar a fraude de identidade logo no cadastro.

Perguntas frequentes

Por onde uma pequena empresa deve começar em segurança cibernética?

Pelos controles que barram a maior parte dos ataques comuns: autenticação de dois fatores em e-mail e sistemas críticos, backup testado e guardado fora da rede, atualização automática de sistemas e acessos revisados. O grupo IG1 dos CIS Controls, com 56 salvaguardas, é um bom roteiro inicial.

Em quanto tempo preciso comunicar um vazamento de dados à ANPD?

Pelo Regulamento de Comunicação de Incidente de Segurança (Resolução CD/ANPD nº 15/2024), o controlador tem três dias úteis, contados de quando soube que o incidente afetou dados pessoais, se houver risco ou dano relevante aos titulares. Agentes de pequeno porte têm o prazo em dobro.

Vale a pena pagar o resgate de um ransomware?

Pagar não garante a recuperação dos dados, como alerta o CERT.br, e ainda financia novos ataques. A defesa que realmente funciona é ter backups atualizados, testados e isolados da rede, para restaurar sem depender do criminoso.

Quais empresas precisam seguir a Resolução CMN 4.893?

As instituições autorizadas a funcionar pelo Banco Central cobertas pela norma do CMN, como bancos e financeiras. Instituições de pagamento, corretoras, distribuidoras e corretoras de câmbio seguem a Resolução BCB nº 85/2021, com regras equivalentes. As duas foram ampliadas em dezembro de 2025, com prazo de adequação até 1º de março de 2026.

O que é o NIST CSF 2.0?

É o Cybersecurity Framework do instituto de padrões dos Estados Unidos, atualizado em fevereiro de 2024. Ele organiza a segurança em seis funções: governar, identificar, proteger, detectar, responder e recuperar, e serve para empresas de qualquer porte.