Segurança digital é o conjunto de práticas, ferramentas e cuidados que protege pessoas, dispositivos, sites e dados contra acesso indevido, golpes e perda de informação. Para uma pequena empresa, ela se organiza em cinco camadas: as contas dos usuários, os computadores e celulares, o site e o servidor, o e-mail e os backups.
A seguir estão as ameaças mais comuns em 2026, o que fazer em cada camada, um checklist com a frequência de cada tarefa, o que a LGPD exige da sua empresa e como reagir quando algo der errado.
O que é segurança digital e qual o objetivo
O objetivo da segurança digital é garantir que as informações da empresa e dos clientes continuem protegidas em ambientes digitais, seja no site, no e-mail, no sistema de gestão ou no celular de um vendedor. Na prática, toda medida de segurança defende pelo menos um destes três princípios:
- Confidencialidade: só quem tem autorização vê a informação. Um vazamento de cadastro de clientes quebra esse princípio.
- Integridade: a informação não é alterada sem permissão. Um site com página de pagamento adulterada quebra esse princípio.
- Disponibilidade: a informação e os serviços funcionam quando você precisa. Um ransomware que trava o servidor quebra esse princípio.
Os termos segurança digital e segurança da informação costumam ser usados como sinônimos. A diferença é de alcance: segurança da informação também cobre papel, processos e acesso físico, enquanto segurança digital trata do que está em sistemas, redes e dispositivos conectados.
Principais ameaças em 2026
Segundo o Data Breach Investigations Report 2026, da Verizon, a exploração de falhas em software passou a ser a principal porta de entrada dos ataques: está na origem de 31% dos vazamentos analisados, à frente das senhas roubadas. O ransomware aparece em 48% dos casos. A tabela resume as ameaças que mais afetam sites e pequenas empresas:
| Ameaça | Como costuma chegar | Primeira defesa |
|---|---|---|
| Phishing e engenharia social | E-mail, WhatsApp ou SMS que imita banco, fornecedor ou alguém da empresa | Treinar a equipe, 2FA e confirmar pedidos por outro canal |
| Roubo de senhas | Senhas repetidas que vazaram em outro serviço; páginas de login falsas | Gerenciador de senhas e verificação em duas etapas |
| Exploração de falhas | Plugin, painel, roteador ou sistema sem atualização | Atualizações automáticas e firewall de aplicação (WAF) |
| Ransomware | Anexo malicioso, acesso remoto exposto ou falha não corrigida | Backup com várias versões fora da rede e atualizações em dia |
| Malware no site | Plugin vulnerável ou senha de FTP vazada; resulta em spam, redirecionamentos e aviso do Google | Anti-malware na hospedagem e monitoramento |
| DDoS | Volume de tráfego artificial que derruba o site | CDN ou proteção de rede do provedor |
| Fraudes com IA | Áudio, vídeo ou e-mail falsos de um diretor pedindo pagamento urgente | Regra de dupla confirmação para qualquer pagamento ou troca de conta bancária |
Camadas de proteção: do usuário aos dados
Nenhuma ferramenta resolve tudo. A proteção funciona em camadas: se uma falha, a seguinte segura o estrago. Comece pela camada mais fraca da sua empresa, não pela mais cara.
1. Usuário: contas e senhas
- Verificação em duas etapas em e-mail, painel da hospedagem, banco, redes sociais e sistemas de gestão. Prefira aplicativo autenticador ou chave de acesso (passkey) ao SMS.
- Senhas longas e únicas, guardadas num gerenciador. O padrão NIST SP 800-63B pede no mínimo 15 caracteres para senhas usadas sem segundo fator e desaconselha forçar troca periódica: troque quando houver indício de vazamento.
- Uma conta por pessoa, sem logins compartilhados, e acesso removido no mesmo dia em que alguém sai da empresa.
- Treinamento curto e frequente sobre golpes. A Cartilha de Segurança do CERT.br tem fascículos gratuitos para usar com a equipe.
2. Dispositivo: computadores e celulares
- Atualizações automáticas do sistema, do navegador e dos aplicativos ligadas em todos os aparelhos.
- Antivírus ou solução de proteção de endpoint ativa e com alertas centralizados.
- Disco criptografado (BitLocker no Windows, FileVault no macOS) e bloqueio de tela automático, para que um notebook perdido não vire vazamento.
- Celulares com senha de bloqueio e possibilidade de apagar os dados à distância.
Até o processador pode ter falha. Ataques como Spectre, Meltdown e SWAPGS (CVE-2019-1125) exploram o próprio funcionamento dos chips para ler memória protegida. A correção chega por atualizações do sistema operacional e, em alguns casos, do firmware do aparelho: mais um motivo para não adiar os patches.
3. Site e servidor
- HTTPS em todas as páginas, com renovação automática do certificado. Desde março de 2026, a validade máxima do SSL caiu para 200 dias, e renovar à mão ficou arriscado.
- CMS, plugins e temas atualizados. Se o site usa WordPress, siga as dicas de segurança do WordPress, com 2FA, limite de login e permissões corretas.
- Servidor e painel corrigidos rápido. Falhas críticas também atingem a infraestrutura, como a vulnerabilidade CVE-2026-41940 no cPanel & WHM. Na hospedagem compartilhada isso é papel do provedor; em VPS ou servidor próprio, é seu.
- Firewall de aplicação (WAF) e anti-malware filtrando ataques antes que cheguem ao site.
- Acesso técnico protegido: SFTP no lugar de FTP, painel com 2FA e acesso administrativo restrito a quem precisa.
4. E-mail
O e-mail é a principal porta do phishing e também pode ser usado para se passar pela sua empresa. Três registros no DNS do domínio dizem aos provedores quem pode enviar em seu nome: SPF, DKIM e DMARC. Um exemplo de SPF e DMARC (os valores reais vêm do seu provedor de e-mail):
suaempresa.com.br. TXT "v=spf1 include:_spf.seuprovedor.com ~all"
_dmarc.suaempresa.com.br. TXT "v=DMARC1; p=quarantine; rua=mailto:dmarc@suaempresa.com.br"Comece o DMARC com p=none para observar os relatórios e endureça para quarantine ou reject quando tiver certeza de que todos os seus envios legítimos passam. O guia de e-mail seguro traz as outras proteções da caixa de entrada.
5. Dados e backups
- Mapeie o que é crítico: cadastro de clientes, financeiro, site, e-mails, contratos.
- Aplique a regra 3-2-1: três cópias, em dois tipos de armazenamento, uma delas fora da empresa.
- Guarde várias versões: ransomware e malware podem ficar dias escondidos antes de agir.
- Teste a restauração a cada trimestre. Backup que nunca foi restaurado é uma aposta.
Para sites e bancos de dados, o Backup em nuvem da SAN guarda cópias criptografadas na AWS, mantém até 30 versões, restaura em um clique e funciona com qualquer hospedagem.
Checklist de segurança digital para empresas
Defina um responsável e coloque estas tarefas na agenda. Em empresa pequena, é melhor uma pessoa cuidar disso todo mês do que um projeto grande que nunca começa.
| Frequência | O que verificar |
|---|---|
| Uma vez (e revisar a cada ano) | 2FA em todas as contas críticas; gerenciador de senhas adotado; SPF, DKIM e DMARC publicados; disco criptografado nos notebooks; inventário dos dados pessoais que a empresa guarda |
| Semanal | Atualizações pendentes no site, nos computadores e nos celulares; alertas do antivírus e do plugin de segurança |
| Mensal | Backups concluídos; contas de ex-funcionários removidas; validade do certificado SSL; relatórios de DMARC; avisos do Google Search Console |
| Trimestral | Teste de restauração de backup; revisão de quem tem acesso de administrador; simulação de phishing ou conversa rápida com a equipe |
| Anual | Revisão do plano de resposta a incidentes, dos contratos com fornecedores que tratam dados e da política de privacidade do site |
Segurança digital e LGPD
Se a sua empresa coleta nome, e-mail, CPF ou telefone de clientes, mesmo que seja só num formulário do site, a Lei Geral de Proteção de Dados (LGPD) se aplica. Na parte de segurança, a Lei 13.709/2018 tem três pontos práticos:
- Medidas de segurança técnicas e administrativas para proteger os dados contra acesso não autorizado, perda e vazamento (art. 46). As camadas acima são exatamente isso.
- Comunicação de incidentes à ANPD e aos titulares quando o incidente puder causar risco ou dano relevante (art. 48).
- Atenção aos fornecedores: o dever de segurança vale para todos os agentes de tratamento, inclusive os operadores que tratam dados em nome da empresa, como hospedagem, e-mail e sistemas de gestão. Prefira quem explica como protege as informações.
Prazo para comunicar: pela Resolução CD/ANPD nº 15/2024, o controlador tem três dias úteis para comunicar o incidente à ANPD e aos titulares. Se ainda não tiver todas as informações, pode fazer uma comunicação preliminar e completá-la em até 20 dias úteis.
As sanções vão de advertência a multa de até 2% do faturamento no Brasil, limitada a R$ 50 milhões por infração (art. 52). Para a maioria das pequenas empresas, porém, o prejuízo maior costuma vir do incidente em si: operação parada, clientes perdidos e reputação abalada.
Resposta a incidentes: as primeiras horas
Um incidente pode ser um computador com ransomware, uma conta de e-mail invadida ou um site com malware. Ter os passos escritos antes evita decisões no susto:
- Isole: desconecte da rede o aparelho afetado (sem desligar, para não perder evidências) ou coloque o site em manutenção.
- Avise quem precisa agir: responsável interno, provedor de hospedagem e de e-mail, e o técnico ou empresa de TI.
- Troque as senhas das contas envolvidas a partir de um aparelho limpo e encerre as sessões abertas.
- Registre tudo: horário, o que foi visto, prints, mensagens recebidas. Isso serve para a investigação, para a ANPD e para um eventual boletim de ocorrência.
- Avalie se dados pessoais foram expostos e, se houver risco relevante, prepare a comunicação à ANPD e aos titulares dentro do prazo.
- Restaure a partir de um backup limpo, corrija a falha que permitiu a entrada e só então volte a operar normalmente.
- Revise o que aconteceu uma semana depois e ajuste o checklist para que o mesmo caminho não funcione de novo.
Não pague resgate de ransomware como primeira opção: não há garantia de que os dados voltem, e o pagamento financia novos ataques. Um backup testado é o que dá à empresa a opção de recusar.
Na SAN: a Proteção Avançada acrescenta anti-malware e anti-phishing com inteligência artificial à hospedagem do seu site, reforçando a camada de site e servidor.
Perguntas frequentes
É o conjunto de práticas e ferramentas que protege pessoas, dispositivos, sites e dados contra acesso indevido, golpes e perda de informação. O objetivo é preservar a confidencialidade, a integridade e a disponibilidade das informações.
Segurança da informação é o conceito mais amplo: inclui documentos em papel, processos e acesso físico. Segurança digital trata da parte que está em sistemas, redes e dispositivos conectados.
Pelas três medidas de maior retorno: verificação em duas etapas nas contas críticas, atualizações automáticas em todos os aparelhos e no site, e backup com várias versões guardado fora da empresa. Depois, siga o checklist mensal.
Não. A LGPD exige a comunicação quando o incidente com dados pessoais puder causar risco ou dano relevante aos titulares. Nesse caso, o prazo é de três dias úteis, conforme a Resolução CD/ANPD nº 15/2024. Saiba mais no guia sobre a LGPD.
Não. O antivírus protege só a camada dos dispositivos. Golpes de phishing, senhas vazadas, falhas no site e fraudes por e-mail exigem 2FA, atualizações, proteção na hospedagem, registros SPF, DKIM e DMARC e backup.
