Introdução
Toda empresa que lida com dados, e hoje praticamente todas lidam, precisa de uma política de segurança da informação. Mas para PMEs, os modelos disponíveis na internet são frequentemente complexos demais, baseados em frameworks corporativos como ISO 27001 que exigem recursos que a maioria das pequenas empresas não tem.
Este artigo apresenta um modelo prático, aplicável e proporcional à realidade de PMEs brasileiras.
Por que sua PME precisa de uma política de segurança
Conformidade com a LGPD
A Lei Geral de Proteção de Dados exige que empresas adotem medidas técnicas e administrativas aptas a proteger dados pessoais. A política de segurança é a base documental dessa proteção.
Proteção contra ameaças
Regras claras sobre senhas, acesso, e-mail e uso de dispositivos reduzem drasticamente o risco de incidentes causados por erro humano, que representam mais de 80% dos casos.
Responsabilidade definida
Quando todos sabem suas responsabilidades em relação à segurança, o risco de negligência e a exposição jurídica da empresa diminuem significativamente.
Estrutura da política: o que incluir
1. Objetivo e abrangência
- Propósito da política
- A quem se aplica (funcionários, terceiros, fornecedores)
- Data de vigência e revisão
2. Classificação da informação
- Pública: informações que podem ser divulgadas livremente
- Interna: para uso dos colaboradores, sem restrição de departamento
- Confidencial: acesso restrito a pessoas autorizadas
- Restrita: acesso limitado a um grupo mínimo (diretoria, RH)
3. Política de senhas
- Mínimo de 12 caracteres com letras, números e caracteres especiais
- Troca obrigatória a cada 90 dias
- Proibido reutilizar as últimas 5 senhas
- Autenticação em dois fatores (MFA) obrigatória para sistemas críticos
- Proibido compartilhar senhas
4. Uso de e-mail corporativo
- Uso exclusivo para atividades profissionais
- Proibido abrir anexos de remetentes desconhecidos
- Dados confidenciais devem ser enviados com criptografia
- E-mails de phishing devem ser reportados imediatamente ao TI
5. Uso de internet e dispositivos
- Proibido instalar software não autorizado
- Navegação para fins pessoais limitada aos intervalos
- Dispositivos pessoais (BYOD) devem seguir as mesmas regras de segurança
- Proibido conectar pendrives não autorizados
6. Trabalho remoto
- 1Conexão obrigatória via VPN corporativa
- 2Equipamentos devem ter antivírus/EDR ativo e atualizado
- 3Proibido usar Wi-Fi público sem VPN
- 4Tela bloqueada automaticamente após 5 minutos de inatividade
7. Backup e recuperação
- Backup diário de todos os dados críticos
- Teste de restauração mensal
- Cópia offsite ou em nuvem
- Responsável definido pelo processo de backup
8. Resposta a incidentes
- Definição de o que constitui um incidente de segurança
- Canais de comunicação para reportar incidentes
- Procedimento de contenção e investigação
- Comunicação à ANPD quando necessário (LGPD)
9. Desligamento de colaboradores
- Revogação imediata de todos os acessos
- Devolução de equipamentos e credenciais
- Verificação de dados copiados ou compartilhados
- Assinatura de termo de confidencialidade pós-contratual
Como implementar na prática
- 1Rascunhe a política usando o modelo acima como base
- 2Adapte à realidade da empresa (não copie sem adequar)
- 3Valide com o jurídico para conformidade com LGPD e CLT
- 4Apresente aos colaboradores em reunião presencial
- 5Colha assinatura de todos (física ou digital)
- 6Disponibilize o documento em local de fácil acesso
- 7Revise anualmente ou sempre que houver mudança significativa
Dica técnica: Comece com uma versão simples de 3 a 5 páginas. Uma política longa demais não será lida nem seguida. Prefira regras claras e objetivas que todos possam entender e aplicar.
Conclusão
Uma política de segurança da informação não precisa ser um documento de 50 páginas baseado em frameworks internacionais. Para PMEs, o que importa é ter regras claras, aplicáveis e conhecidas por todos. Esse documento simples pode ser a diferença entre prevenir um incidente e lidar com suas consequências.
A Accertiva ajuda empresas em São Paulo a criar e implementar políticas de segurança como parte da gestão completa de TI. Combinamos políticas com firewall gerenciado e soluções de segurança para uma proteção completa.
Leia também
Precisa de ajuda com segurança da informação?
Fale com nossos especialistas e descubra como a Accertiva pode ajudar sua empresa.
Falar com Especialista