Quem trabalha com TI corporativa no Brasil já perdeu a conta de quantas vezes ouviu a frase “a gente nunca teve problema com isso” — geralmente semanas antes do primeiro incidente sério. O relatório da Trend Micro de 2024 apontou o Brasil como o país mais atacado por ransomware na América Latina, e os dados do CERT.br mostram crescimento consistente de incidentes reportados nos últimos anos.

Isso não é alarmismo. É contexto. E a boa notícia é que a maioria dos ataques bem-sucedidos explora falhas básicas: senha fraca, sistema desatualizado, funcionário que clicou no link errado, conta de ex-colaborador que ninguém revogou. Coisas que se resolvem com processo, não com orçamento milionário.

Este artigo reúne 12 dicas de cibersegurança para empresas que você pode (e deveria) começar a aplicar agora. Algumas são simples. Outras exigem investimento. Todas são necessárias. E nenhuma delas é teoria de congresso — são boas práticas de segurança corporativa que separam as empresas que se recuperam de um ataque das que viram manchete de jornal.

1. MFA obrigatório em todos os acessos administrativos

Se você fizer apenas uma coisa desta lista, faça esta. A autenticação multifator (MFA) é a trava de segurança mais eficaz por custo que existe hoje. Segundo a Microsoft, MFA bloqueia mais de 99% dos ataques automatizados de comprometimento de conta.

O erro mais comum que vejo? Empresas que ativam MFA para o e-mail dos diretores e esquecem as contas de administrador de Active Directory, Azure, AWS, firewalls e consoles de gerenciamento. Justamente as contas que, se comprometidas, dão acesso irrestrito a tudo.

A regra é direta: se a conta tem privilégio administrativo, MFA é obrigatório. Sem exceção. Sem “mas o fulano acha inconveniente”. Inconveniente é explicar para o board por que o ransomware criptografou todos os servidores porque a conta de domain admin usava só senha.

2. Segregação de contas de administrador

Tem administrador de rede na sua empresa que navega na internet, lê e-mail e acessa redes sociais usando a mesma conta com privilégios de domain admin? Então você tem um problema sério que ainda não virou incidente — por sorte.

Contas administrativas não devem ser usadas para tarefas do dia a dia. O conceito é simples: o analista tem uma conta normal para trabalho comum e uma conta separada, com privilégios elevados, que só usa quando precisa fazer administração de sistemas. Essa conta admin não navega na internet, não recebe e-mail, não abre anexos.

Parece burocrático? É. E é exatamente essa burocracia que impede que um clique acidental num link de phishing dê ao atacante as chaves do reino inteiro.

3. Atualizar sistema operacional e aplicações em até 30 dias após o patch

A vulnerabilidade que o WannaCry explorou em 2017 já tinha patch da Microsoft disponível havia dois meses quando o ataque aconteceu. Sete anos depois, a lição continua sendo ignorada por uma quantidade absurda de empresas brasileiras.

A meta saudável é: patches críticos aplicados em até 30 dias após o lançamento. Para vulnerabilidades ativamente exploradas (aquelas que aparecem no catálogo KEV da CISA), o prazo deveria ser ainda menor — uma ou duas semanas.

Sim, atualizar dá trabalho. Sim, às vezes quebra alguma coisa. Mas o custo de manter um servidor com vulnerabilidade conhecida exposto à internet é incomparavelmente maior. Se sua equipe não tem capacidade para manter esse ciclo, isso é um sinal de que falta gente ou falta ferramenta de gerenciamento de patches — e os dois têm solução.

4. Treinamento anti-phishing periódico com testes reais

Treinamento de segurança que consiste em um PDF de 40 slides uma vez por ano não funciona. Todo mundo sabe disso, mas muita empresa continua fazendo exatamente isso para “cumprir tabela” com a auditoria.

O que funciona: campanhas periódicas de phishing simulado com e-mails que imitam ameaças reais — nota fiscal falsa, boleto bancário, mensagem do “RH” pedindo atualização de dados. Quem clica recebe treinamento imediato e direcionado. Quem reincide entra num fluxo mais intensivo.

O objetivo não é punir ninguém. É construir reflexo. Depois de algumas rodadas, a taxa de clique cai de forma significativa. E o melhor: o custo dessas plataformas (KnowBe4, Proofpoint Security Awareness, até o Attack Simulator do Microsoft Defender) é uma fração do que custa um incidente real de comprometimento de e-mail corporativo (BEC).

Se a sua empresa precisa estruturar a proteção de endpoints e o treinamento de segurança da equipe com ferramentas de mercado, a Omega Brasil oferece soluções de cibersegurança corporativa com Bitdefender, ESET e Fortinet, incluindo apoio na implantação e configuração.

5. Backup na regra 3-2-1 com pelo menos uma cópia imutável

A regra 3-2-1 existe há décadas e continua sendo o padrão ouro: 3 cópias dos dados, em 2 tipos de mídia diferentes, com 1 cópia offsite (fora do ambiente principal). Mas em 2024, isso sozinho não basta mais.

Ransomware moderno procura e destrói backups antes de criptografar o ambiente de produção. Por isso, pelo menos uma das cópias precisa ser imutável — ou seja, não pode ser alterada nem apagada, nem por um administrador com credenciais comprometidas. Soluções como Veeam com hardened repository, backups em object storage com WORM (Write Once Read Many) na AWS S3 ou Azure Blob atendem esse requisito.

E faça testes de restauração. Backup que nunca foi testado é só uma esperança guardada num disco. Eu já vi empresa descobrir que o backup estava corrompido justamente no dia em que mais precisava dele. É o tipo de coisa que você não quer descobrir durante uma crise.

6. EDR/XDR em todos os endpoints

Antivírus tradicional, aquele que compara arquivos com uma lista de assinaturas conhecidas, morreu faz tempo como proteção suficiente contra ameaças modernas. O que você precisa é de EDR (Endpoint Detection and Response) ou, melhor ainda, XDR (Extended Detection and Response).

A diferença? EDR monitora comportamento dos endpoints em tempo real, identifica atividades suspeitas (um processo criptografando arquivos em massa, por exemplo) e permite resposta rápida — isolamento da máquina, coleta forense, bloqueio automático. XDR amplia isso para e-mail, rede, identidade e cloud.

Opções maduras no mercado brasileiro: Bitdefender GravityZone, ESET PROTECT, Microsoft Defender for Endpoint, CrowdStrike Falcon. Cada uma tem seus trade-offs de custo, complexidade e integração. O importante é que esteja em todos os endpoints — inclusive aquele servidor de arquivo que “ninguém mexe” e o notebook do estagiário. Atacante não faz distinção.

7. Firewall de próxima geração (NGFW) com regras mínimas

Um NGFW (Next-Generation Firewall) como o Fortinet FortiGate faz muito mais que abrir e fechar portas. Ele inspeciona tráfego criptografado, identifica aplicações, previne intrusões e pode se integrar com feeds de inteligência de ameaças.

Mas a ferramenta só vale o que a configuração permite. E aqui vai um problema recorrente que vejo em auditorias: firewalls com regras do tipo “any-any” que foram criadas “temporariamente” em 2019 e nunca foram removidas. Ou regras acumuladas ao longo de anos que ninguém sabe mais para que servem, e ninguém tem coragem de apagar.

O princípio é least privilege: só libere o tráfego estritamente necessário. Revise as regras pelo menos a cada trimestre. E documente. Se a pessoa que criou a regra saiu da empresa e ninguém sabe explicar por que a porta 8443 está aberta para um IP na Romênia, você tem um problema que vai além do firewall.

A Omega Brasil faz assessments de cibersegurança corporativa e pode ajudar na revisão de regras de firewall, implantação de NGFW Fortinet e adequação da proteção de perímetro. Vale conversar se faz tempo que ninguém revisou seu ambiente.

8. Revogar acessos de ex-funcionários em até 24 horas

Parece óbvio. Não é. Pesquisa da Intermedia apontou que quase um em cada quatro ex-funcionários ainda consegue acessar sistemas da empresa anterior após o desligamento. E isso em mercados com processos de offboarding mais maduros que o brasileiro.

O checklist de desligamento precisa incluir — no mesmo dia ou, no máximo, 24 horas depois: desativação de conta no Active Directory/Entra ID, revogação de acesso a VPN, desativação de e-mail, remoção de plataformas SaaS (Slack, Jira, Salesforce, etc.), coleta ou wipe remoto do dispositivo corporativo.

A parte que mais engasga na prática? Acessos a sistemas SaaS que foram criados diretamente pelo colaborador, sem passar pelo TI. Aquele Trello que o time de marketing criou, o Notion que o produto usa, a conta na AWS que o desenvolvedor provisionou “para testes”. Se o TI não sabe que o acesso existe, não consegue revogar. Por isso, governança de identidade não é luxo — é sobrevivência.

9. Política de senhas fortes com gerenciador corporativo

A recomendação atual do NIST (SP 800-63B) é clara: senhas longas (mínimo 12 caracteres) são mais seguras que senhas curtas e complexas que o usuário vai escrever num post-it. E forçar troca periódica de senha a cada 90 dias, sem evidência de comprometimento, gera mais risco do que segurança — porque as pessoas criam padrões previsíveis (Janeiro2024!, Fevereiro2024!, Março2024!).

A solução prática: implante um gerenciador de senhas corporativo. 1Password Business e Bitwarden Enterprise são duas opções sólidas com SSO, auditoria de uso, relatórios de senhas fracas e compartilhamento seguro entre equipes.

O ganho real aqui não é só segurança. É produtividade. Acaba aquele ciclo de “esqueci a senha → chamado para o helpdesk → reset → nova senha fraca”. E o TI ganha visibilidade sobre quantas senhas reutilizadas e fracas existem no ambiente (spoiler: vai ser mais do que você gostaria).

10. DMARC, DKIM e SPF no domínio de e-mail

Se o seu domínio não tem SPF, DKIM e DMARC configurados corretamente, qualquer pessoa na internet pode enviar e-mails que parecem vir do seu endereço. Isso se chama spoofing, e é a base de uma quantidade enorme de golpes de phishing — tanto contra sua empresa quanto contra seus clientes e fornecedores.

SPF define quais servidores podem enviar e-mail pelo seu domínio. DKIM assina digitalmente as mensagens. DMARC diz ao servidor de destino o que fazer quando SPF ou DKIM falham (quarentena, rejeição, só reportar).

Configurar os três é gratuito. Não precisa comprar nada. E mesmo assim, um levantamento do DMARC.org mostra que a adoção ainda é baixa entre empresas brasileiras de médio porte. Se você quer verificar seu domínio agora, ferramentas como MXToolbox ou dmarcian fazem análise em segundos.

(Um parêntese: se você usa Microsoft 365 gerenciado pela Omega Brasil, a configuração de SPF, DKIM e DMARC pode ser incluída na gestão do ambiente. É o tipo de detalhe que faz diferença e que muita empresa pula na implantação inicial.)

11. Plano de resposta a incidentes escrito e testado

Ter um plano de resposta a incidentes é obrigação. Testar o plano é o que separa a obrigação do resultado.

O plano precisa definir, no mínimo: quem são os membros da equipe de resposta, como eles são acionados (inclusive fora do horário), quais são os primeiros passos para cada tipo de incidente (ransomware, vazamento de dados, comprometimento de conta), quem comunica o quê para quem (diretoria, jurídico, ANPD, clientes), e quais são os fornecedores e contatos de apoio externo.

Os tabletop exercises — simulações de mesa onde o time percorre um cenário hipotético passo a passo — são a forma mais prática e barata de testar isso. Não precisa de ambiente técnico. Basta uma sala, o plano impresso e um facilitador apresentando o cenário: “São 2h da manhã de sábado. O SOC detectou criptografia em massa nos file servers. O que vocês fazem?”

Eu já participei de exercícios assim onde a equipe descobriu, no meio da simulação, que o número de telefone do fornecedor de forense estava desatualizado, que ninguém sabia a senha do console de backup e que o plano de comunicação não previa o cenário de indisponibilidade do e-mail corporativo. Melhor descobrir isso numa simulação do que durante um incidente real às 2h da manhã.

12. Monitoramento de dark web e vazamentos

Mesmo com todas as camadas anteriores funcionando, credenciais da sua empresa podem vazar por incidentes em terceiros. Um fornecedor sofre uma brecha, e as senhas que seus colaboradores usaram naquele serviço — muitas vezes a mesma do e-mail corporativo — aparecem em bases de dados vendidas em fóruns da dark web.

Monitorar a dark web e bases de vazamentos é a última camada deste checklist, mas não é a menos importante. Ferramentas como Have I Been Pwned (versão de domínio), SpyCloud, Recorded Future e os módulos de dark web monitoring de plataformas como Bitdefender e CrowdStrike permitem receber alertas quando credenciais do seu domínio aparecem em leaks.

A ação ao receber um alerta precisa ser rápida: reset de senha imediato, verificação de MFA, análise de logs para identificar se a credencial foi usada em acesso não autorizado. Não adianta monitorar se a resposta demora semanas.

Qual é o custo de não fazer nada?

Dados do relatório IBM Cost of a Data Breach 2024 colocam o custo médio global de uma violação de dados em USD 4,88 milhões. Na América Latina, o valor é menor em termos absolutos, mas proporcionalmente mais devastador para empresas brasileiras de médio porte, onde o impacto de uma parada operacional de dias pode significar perda de contratos e até inviabilidade do negócio.

A LGPD (Lei 13.709/2018) acrescentou outro componente à equação: multas de até 2% do faturamento, limitadas a R$ 50 milhões por infração, e a ANPD já vem aplicando sanções. O custo de conformidade sempre parece alto — até você comparar com o custo de não conformidade.

Nenhuma dessas 12 dicas de cibersegurança para empresas exige tecnologia espacial. Exigem disciplina, processo e investimento proporcional ao risco. Algumas, como DMARC e segregação de contas, são praticamente gratuitas. Outras, como EDR/XDR e NGFW, exigem orçamento — mas são o tipo de investimento que o CFO agradece quando o incidente acontece na empresa do vizinho e não na dele.

Checklist resumido de cibersegurança corporativa

1. MFA obrigatório em todos os acessos administrativos
2. Segregação de contas de administrador (nunca usar admin para navegação)
3. Patches aplicados em até 30 dias (críticos em até 14 dias)
4. Treinamento anti-phishing periódico com simulações reais
5. Backup 3-2-1 com pelo menos uma cópia imutável
6. EDR/XDR em todos os endpoints sem exceção
7. NGFW configurado com regras mínimas e revisão trimestral
8. Revogação de acessos de ex-funcionários em até 24h
9. Gerenciador de senhas corporativo com política de senhas longas
10. DMARC, DKIM e SPF configurados no domínio
11. Plano de resposta a incidentes escrito e testado com tabletop exercises
12. Monitoramento de dark web e vazamentos de credenciais

Por onde começar?

Se olhar para essa lista e sentir que tem muita coisa para arrumar, respire. Não precisa fazer tudo na segunda-feira. Comece pelo que dá impacto imediato com menor esforço: MFA nas contas admin, revisão de acessos de ex-funcionários, SPF/DKIM/DMARC. Depois avance para EDR, backup imutável e plano de resposta.

O mais importante é sair da inércia. Cada item implementado reduz a superfície de ataque e dificulta a vida do atacante. Segurança perfeita não existe, mas segurança boa o suficiente para não ser o alvo mais fácil — isso é totalmente viável.

A Omega Brasil ajuda empresas a implementar camadas de cibersegurança corporativa com fabricantes líderes como Bitdefender, ESET e Fortinet, além de gestão de Microsoft 365 e infraestrutura Cisco. Se sua empresa precisa de um assessment de segurança para entender onde estão as lacunas e priorizar investimentos, solicite uma avaliação com o time da Omega.