Uma política de segurança cibernética é um documento fundamental que oferece à sua pequena empresa uma maneira clara de explicar como os funcionários devem proteger os sistemas, contas, dispositivos e dados digitais da empresa.
Ela transforma a segurança de conselhos dispersos em expectativas compartilhadas, respondendo a perguntas como quais práticas são permitidas, o que os funcionários devem evitar, quem é o responsável por quais decisões e o que acontece quando algo dá errado.
Este guia oferece a você uma estrutura prática para escrever ou revisar uma política de cibersegurança para sua pequena empresa. Você pode usá-lo como um modelo inicial, adaptar cada seção às suas ferramentas e riscos e conectar a política a controles operacionais que facilitem o seu cumprimento.
O que é uma política de cibersegurança?
Por que as pequenas empresas precisam de uma política de cibersegurança
Modelo de política de cibersegurança: 9 seções principais
Por que as políticas de segurança de TI para empresas falham?
Como o Proton Pass for Business oferece suporte à aplicação de políticas
O que é uma política de cibersegurança?
Uma política de cibersegurança é um documento escrito que define como sua empresa protege informações, sistemas, dispositivos e contas contra ameaças cibernéticas(nova janela). Ela deve explicar o que se espera que funcionários e prestadores de serviços, incluindo gerentes e administradores, façam no dia a dia de trabalho.
Uma política sólida deve parecer uma referência que as pessoas realmente possam usar quando as decisões não forem claras. Ela deve responder a perguntas como:
- Quais senhas e contas precisam de proteção extra?
- Os funcionários podem usar dispositivos pessoais para o trabalho?
- Onde os dados confidenciais devem ser armazenados?
- Quem pode aprovar o acesso aos sistemas da empresa?
- O que alguém deve fazer se suspeitar de uma violação?
- Com que frequência a política será revisada?
- O que acontece com o acesso quando alguém sai da empresa?
Para PMEs, a melhor política de cibersegurança é curta, clara e específica o suficiente para remover adivinhações.
Por que as pequenas empresas precisam de uma política de cibersegurança
Uma política de cibersegurança pode ajudar sua empresa de três maneiras:
Define expectativas: os funcionários sabem o que é permitido, o que é obrigatório e o que precisa de aprovação.
Gera responsabilidade: se o acesso, os dispositivos, o manuseio de dados e a resposta a incidentes tiverem proprietários claros, a segurança deixa de depender da memória individual.
Oferece suporte à conformidade e à confiança do cliente: estar em conformidade com regulamentos de dados como a GDPR exige que sua empresa processe dados pessoais de forma segura usando medidas técnicas e organizacionais adequadas, incluindo análise de risco, políticas organizacionais e medidas técnicas.
Uma política de segurança da informação por escrito ajuda a mostrar que sua empresa considerou essas responsabilidades e criou controles para reduzir riscos.
O relatório de cibersegurança para PMEs da Proton reforça por que isso é importante para equipes menores: as PMEs frequentemente enfrentam riscos de segurança reais sem os mesmos recursos que as grandes empresas. Uma política prática oferece a essas equipes uma maneira de priorizar o básico e torná-lo repetível.
Modelo de política de cibersegurança: 9 seções principais
Use a estrutura a seguir como um modelo de política de cibersegurança. Você não precisa fazer com que cada seção seja excessivamente longa. O objetivo é definir a regra, atribuir a responsabilidade e explicar como os funcionários devem aplicá-la.
1. Objetivo e escopo da política
Comece explicando por que a política existe e a quem ela se aplica. Esta seção evita um problema comum: pessoas presumindo que a política se aplica apenas a “sistemas de TI” ou a funcionários em tempo integral.
Cópia do modelo:
Esta política de cibersegurança define como a [Nome da Empresa] protege sistemas, contas, dispositivos e dados comerciais. Ela se aplica a funcionários, prestadores de serviços, trabalhadores temporários e terceiros que acessam informações ou sistemas da empresa.
O escopo deve incluir dispositivos de propriedade da empresa, serviços de nuvem aprovados, contas comerciais, ambientes de trabalho remoto, dispositivos pessoais usados para o trabalho e acesso de fornecedores.
2. Política de uso aceitável
A seção de uso aceitável explica como os funcionários podem usar os sistemas e as contas da empresa.
Ela deve abranger:
- Softwares e serviços comerciais aprovados
- Restrições a aplicativos ou extensões de navegador não autorizados
- Regras para baixar arquivos e softwares
- Uso de e-mail da empresa e mensagens
- Uso pessoal de dispositivos da empresa
- Atividades proibidas, como compartilhar contas sem aprovação ou burlar controles de segurança
Mantenha esta seção prática. Os funcionários devem entender quais escolhas diárias são aceitáveis sem a necessidade de interpretar uma linguagem técnica.
Cópia do modelo:
Os funcionários devem usar sistemas comerciais aprovados para o trabalho da empresa. Aplicativos não aprovados, contas de armazenamento pessoal e extensões de navegador não autorizadas não devem ser usados para armazenar, processar ou compartilhar dados da empresa, a menos que aprovados por [função/equipe].
3. Requisitos de gerenciamento de senhas e acessos
É importante levar em consideração os controles do administrador. Uma política pode definir quem deve ter acesso, quando a autenticação de dois fatores (A2F) é necessária e como o desligamento deve funcionar, mas as equipes ainda precisam de uma maneira operacional de aplicar essas regras. Um gerenciador de senhas comercial como o Proton Pass for Business oferece suporte a isso por meio do seu painel do administrador, onde sua equipe pode gerenciar o acesso, aplicar políticas, revisar atividades e reduzir a dependência de um manuseio informal de senhas.
Sua política deve estabelecer que:
- As senhas de trabalho devem ser exclusivas e fortes.
- As senhas não devem ser reutilizadas em contas comerciais e pessoais.
- Credenciais compartilhadas não devem ser enviadas por meios não aprovados, como e-mail, chat, capturas de tela, tíquetes ou documentos.
- A A2F deve ser ativada em todos os lugares, a começar pelas contas de alto risco.
- O acesso deve ser concedido com base na função e nas necessidades comerciais.
- O acesso deve ser removido quando alguém muda de função ou sai da empresa.
- As exceções devem ser documentadas, incluindo casos em que a A2F ainda não pode ser ativada, uma conta compartilhada é temporariamente inevitável, um fornecedor precisa de acesso elevado por tempo limitado ou um sistema legado não consegue atender aos requisitos padrão de senha ou de acesso.
O guia da Proton para criar uma política de senhas pode dar suporte a esta seção com mais detalhes sobre regras de senhas, compartilhamento, gerenciamento de acesso e autenticação de dois fatores.
É aqui também que a política precisa de suporte operacional. Uma regra que diz “use senhas exclusivas” é fraca se os funcionários ainda tiverem que criar e lembrar de cada senha manualmente.
Um gerenciador de senhas comercial como o Proton Pass for Business ajuda as equipes a transformar os requisitos de senha em prática diária: os funcionários podem gerar senhas fortes e exclusivas, armazená-las em cofres criptografados, usar o preenchimento automático e compartilhar senhas de forma segura em vez de usar canais inseguros — tudo em um único aplicativo.
Cópia do modelo:
As senhas de trabalho devem ser exclusivas, fortes e armazenadas no gerenciador de senhas comercial aprovado. As senhas não devem ser reutilizadas em contas pessoais e comerciais ou compartilhadas por e-mail, chat, capturas de tela, tíquetes ou documentos. A autenticação multifator deve estar ativada para contas de alto risco, e o acesso deve ser concedido com base na função e nas necessidades comerciais. Quando um funcionário, prestador de serviços ou fornecedor não precisar mais de acesso, as permissões deverão ser revisadas e removidas.
4. Classificação e manuseio de dados
Uma política de cibersegurança deve definir os tipos de informações com as quais sua empresa lida e como cada tipo de informação deve ser protegido. Aqui estão três níveis que uma pequena empresa pode usar sem complicar as coisas:
Público: informações aprovadas para uso público
Interno: informações comerciais para funcionários e prestadores de serviços aprovados que não seriam apropriadas para compartilhar externamente
Confidencial: dados de clientes, dados financeiros, credenciais, contratos, registros de funcionários ou informações operacionais confidenciais — qualquer coisa que possa causar danos se houver vazamento
Cópia do modelo:
Informações confidenciais devem ser armazenadas apenas em sistemas aprovados, compartilhadas com pessoas autorizadas e protegidas contra acessos não autorizados. Os funcionários não devem armazenar dados comerciais confidenciais em contas pessoais, documentos não gerenciados ou dispositivos não aprovados.
5. Relato de incidentes e primeira resposta
Sua política deve explicar o que os funcionários devem fazer quando identificarem ou suspeitarem de uma vulnerabilidade. Isso não precisa ser um plano completo de resposta a incidentes, mas deve definir as primeiras ações e a responsabilidade.
Inclua exemplos como:
- Alertas de início de sessão suspeitos
- Dispositivos perdidos ou roubados
- E-mails de phishing
- Compartilhamento acidental de dados
- Avisos de malware
- Atividade incomum na conta
- Acesso não autorizado a documentos ou sistemas
Use o guia da Proton para prevenção de violação de dados para empresas para obter mais orientações sobre como reduzir o risco de violação antes que ocorra um incidente.
Cópia do modelo:
Os funcionários devem relatar incidentes de segurança suspeitos imediatamente para [função/equipe/contato]. Os funcionários não devem excluir evidências, redefinir sistemas afetados ou se comunicar externamente sobre um incidente, a menos que instruídos pelo proprietário do incidente.
6. Trabalho remoto e regras de traga seu próprio dispositivo (BYOD)
O trabalho remoto e os dispositivos pessoais na rede da sua empresa podem criar riscos desnecessários se não forem gerenciados de forma adequada. Sua política de cibersegurança deve explicar se os funcionários podem usar dispositivos pessoais, quais requisitos de segurança se aplicam (como a segurança BYOD) e o que acontece se um dispositivo for perdido ou se alguém sair da empresa.
Inclua:
- Dispositivos e sistemas operacionais aprovados
- Bloqueios de tela e criptografia de dispositivos
- Relato de dispositivos perdidos ou roubados
- Uso de Wi-Fi público(nova janela)
- Acesso aos sistemas da empresa a partir de dispositivos pessoais
- Regras para armazenamento na nuvem pessoal
- Requisitos para aplicativos de autenticação e A2F
- Etapas de desligamento para funcionários remotos
Os guias de política de trabalho remoto e de política BYOD da Proton podem dar suporte a esta seção com regras mais detalhadas para equipes distribuídas e dispositivos de propriedade dos funcionários.
Cópia do modelo:
Os funcionários só podem acessar os sistemas da empresa a partir de dispositivos aprovados que atendam aos requisitos de segurança. Dispositivos perdidos ou roubados devem ser relatados imediatamente. Os dados da empresa não devem ser armazenados em contas de nuvem pessoais ou aplicativos não gerenciados.
7. Acesso de fornecedores terceiros
As pequenas empresas frequentemente dependem de agências, prestadores de serviços, provedores de software, contadores, consultores e provedores de serviços gerenciados. O acesso de fornecedores nunca deve ser tratado de forma casual, pois pode criar um backdoor que a sua empresa não controla totalmente.
Um gerenciador de senhas comercial pode ajudar a tornar esse controle mais prático, ajudando as equipes a manter as credenciais do fornecedor limitadas ao escopo necessário, monitoradas e fáceis de revogar quando o contrato terminar.
Sua política deve definir:
- Quem pode aprovar o acesso de fornecedores
- Quais sistemas os fornecedores podem acessar
- Se as contas de fornecedores devem ser individuais ou compartilhadas
- Quanto tempo dura o acesso
- Com que frequência o acesso de fornecedores é auditado
- Como as permissões mínimas são determinadas para cada fornecedor
- O que acontece quando um contrato termina
Esta seção também oferece suporte à segurança da cadeia de suprimentos. O NCSC’s 10 Steps(nova janela) a inclui como uma área-chave para gerenciar riscos cibernéticos, o que é especialmente relevante para pequenas empresas que terceirizam partes de TI, finanças, marketing ou operações.
Cópia do modelo:
O acesso de terceiros deve ser aprovado por [função/equipe], limitado aos sistemas necessários para o trabalho e revisado ao final do contrato. O acesso do fornecedor deve ser removido quando não for mais necessário.
8. Requisitos de treinamento de funcionários
Uma política de cibersegurança não funcionará se as pessoas só a virem durante a integração. O treinamento regular de conscientização sobre segurança garante que a sua política seja sempre seguida.
Sua política deve explicar:
- Quando os funcionários recebem treinamento de segurança
- Quais tópicos o treinamento abrange
- Com que frequência ocorrem as atualizações
- Quem deve concluir o treinamento
- Como novos riscos ou alterações na política são comunicados
Os tópicos de treinamento podem incluir phishing, gerenciamento de senhas, A2F, compartilhamento seguro de arquivos, manuseio de dados, trabalho remoto, segurança de dispositivos e relato de incidentes.
Mantenha o treinamento curto e prático. Uma política sucinta de cinco páginas com uma lista de verificação apoiada por exemplos curtos costuma ser mais útil do que um documento prolixo e sobrecarregado de 40 páginas.
Cópia do modelo:
Os funcionários devem concluir o treinamento de cibersegurança durante a integração e, pelo menos, [anualmente/duas vezes por ano]. O treinamento abrangerá segurança de senhas, phishing, manuseio de dados, segurança de dispositivos e relato de incidentes.
9. Frequência de revisão da política
Uma política de cibersegurança deve mudar conforme a empresa muda. Novos sistemas, padrões de trabalho remoto, fornecedores, regulamentos e incidentes podem tornar as regras antigas incompletas.
Defina:
- Com que frequência a política é revisada
- Um responsável pela revisão da política de cibersegurança
- Como as alterações são aprovadas
- Como as atualizações são comunicadas
- O que aciona uma revisão fora do ciclo
Cópia do modelo:
Esta política será revisada a cada [seis ou 12 meses] por [proprietário]. Ela também deve ser revisada após um grande incidente de segurança, alteração significativa no sistema, atualização regulatória ou alteração material nas operações comerciais
Por que as políticas de segurança de TI para empresas falham?
A maioria das políticas de cibersegurança falha por motivos práticos:
A política é muito longa: uma política de cibersegurança para pequenas empresas não deve tentar cobrir todos os cenários possíveis. Se ela se tornar muito longa, os funcionários deixarão de usá-la. Mantenha-a concisa e use links para procedimentos mais detalhados onde for necessário.
A linguagem é muito técnica: os funcionários não devem precisar de conhecimento prévio em segurança para seguir as diretrizes de cibersegurança da empresa. Use uma linguagem simples e substitua termos técnicos por explicações cotidianas sempre que possível.
A política é apresentada apenas durante a integração: se a política for mencionada apenas uma vez durante a integração, ela não moldará o comportamento diário. Reforce-a por meio de treinamentos, lembretes, guias de referência rápida e atualizações quando os processos mudarem.
A política nunca é revisada: uma política escrita há dois anos pode não refletir os sistemas atuais, as práticas de trabalho remoto, o acesso de fornecedores ou as expectativas regulatórias. Revise-a regularmente.
A política não é aplicada: este é o motivo mais comum para falhas. Uma política pode dizer que as senhas devem ser armazenadas de forma segura, a A2F deve estar ativada ou o acesso de fornecedores deve ser removido, mas essas regras não importam se ninguém as acompanhar de perto. A aplicação significa atribuir responsáveis, usar controles do administrador onde disponíveis, revisar exceções e tornar o comportamento seguro mais fácil do que o atalho.
Para o gerenciamento de senhas e acessos, o Proton Pass for Business pode ajudar a dar suporte à aplicação de políticas de forma operacional. Ele oferece às equipes cofres criptografados, compartilhamento seguro, geração de senhas e visibilidade do administrador, para que sua empresa não dependa apenas da teoria. Os administradores também podem monitorar a integridade da senha, a reutilização de credenciais e a exposição a violações na dark web em toda a organização de forma segura, sem saber as senhas dos funcionários.
Como o Proton Pass for Business oferece suporte à aplicação de políticas
Uma política de cibersegurança só é útil se a empresa puder colocá-la em prática. As regras de senha e acesso são um bom exemplo. Você pode escrever que as senhas devem ser exclusivas, compartilhadas de forma segura e removidas quando as pessoas saírem. Mas se os funcionários ainda usarem navegadores, planilhas, mensagens de chat ou notas pessoais, a política será facilmente ignorada.
O Proton Pass for Business oferece aos funcionários uma maneira segura de gerar, armazenar, preencher automaticamente e compartilhar credenciais, ao mesmo tempo em que oferece aos administradores uma melhor visibilidade de como o acesso é gerenciado. Isso facilita o cumprimento da seção de gerenciamento de senhas e acessos de sua política.
Para pequenas empresas, o benefício é prático. Você não precisa de uma grande equipe de segurança para começar a melhorar a higiene das credenciais. Um gerenciador de senhas comercial oferece à sua equipe um local centralizado para credenciais de trabalho, dá suporte a uma colaboração mais segura e ajuda a reduzir o risco de reutilização de senhas ou de compartilhamento não gerenciado.
O controle de acesso é um dos lugares mais práticos para transformar a política em ação. Quando as credenciais são mais fáceis de gerar, armazenar, compartilhar e revogar de forma segura, os funcionários têm menos probabilidade de recorrer a soluções alternativas inseguras. Os gerentes também ganham uma maneira mais clara de dar suporte aos requisitos de senha e acesso nas operações diárias.
Aplique sua política de cibersegurança com um gerenciador de senhas comercial seguro como o Proton Pass for Business.
