Proteja a sua Empresa dos Riscos Digitais

Segurança digital para empresas

Riscos digitais: como proteger sua empresa de ataques cibernéticos

Riscos digitais são ameaças capazes de comprometer sistemas, dados, operações e relações com clientes, colaboradores ou parceiros.

Eles incluem roubo de credenciais, ransomware, vazamento de dados, fraude, indisponibilidade de serviços e falhas relacionadas a pessoas, processos, tecnologias ou fornecedores.

A proteção mais consistente combina prevenção, detecção, resposta e recuperação. O seguro pode complementar essa estratégia ao transferir determinados impactos financeiros previstos na apólice, mas não substitui controles de segurança nem elimina a possibilidade de incidentes.

O que é um ataque cibernético?

Um ataque cibernético é uma tentativa deliberada de acessar, alterar, bloquear, destruir ou explorar sistemas e informações sem autorização.

O incidente pode começar por uma senha comprometida, uma mensagem fraudulenta, uma vulnerabilidade não corrigida, uma configuração inadequada ou um terceiro conectado ao ambiente.

Nem todo incidente decorre de uma ação externa. Erros operacionais, permissões excessivas, descarte inadequado de equipamentos e falhas de configuração também podem causar exposição ou indisponibilidade.

Quais ameaças merecem atenção?

• Phishing e engenharia social: mensagens ou contatos que induzem pessoas a revelar credenciais, abrir arquivos, alterar dados bancários ou autorizar pagamentos.
• Ransomware: ataque que bloqueia ou criptografa sistemas e dados, podendo incluir ameaça de divulgação das informações.
• Malware: software malicioso utilizado para espionagem, fraude, interrupção ou acesso indevido.
• Vazamento de dados: exposição, perda, compartilhamento indevido ou acesso não autorizado a informações.
• Comprometimento de contas: uso indevido de credenciais para acessar e-mails, sistemas, aplicativos ou serviços em nuvem.
• Fraude em pagamentos: alteração de dados bancários, falsificação de solicitações ou comprometimento de comunicações comerciais.
• Ataques a fornecedores: incidentes em terceiros que afetam serviços, integrações, operações ou dados da empresa.
• Negação de serviço: indisponibilidade provocada por volume excessivo de requisições ou outras ações contra a infraestrutura.

Como a LGPD se relaciona com a segurança digital?

A Lei Geral de Proteção de Dados Pessoais estabelece regras para o tratamento de dados pessoais. Empresas que tratam esses dados devem adotar medidas técnicas e administrativas adequadas para protegê-los de acessos não autorizados e de situações acidentais ou ilícitas.

Nem todo incidente cibernético envolve dados pessoais. Da mesma forma, incidentes com dados pessoais podem apresentar níveis diferentes de risco e impacto.

A avaliação deve considerar a natureza e o volume das informações, as pessoas afetadas, o impacto potencial, as medidas de proteção existentes e as obrigações aplicáveis.

As áreas de segurança, privacidade, jurídica, comunicação e continuidade devem participar do processo de avaliação e resposta, conforme a estrutura da organização.

7 medidas para proteger a empresa dos riscos digitais

1. Conheça os ativos e dados críticos

Crie e mantenha um inventário de equipamentos, softwares, serviços em nuvem, contas, integrações e fornecedores.

Classifique dados e processos conforme o impacto causado por indisponibilidade, alteração, perda ou divulgação indevida.

• Identifique responsáveis por sistemas, dados e processos.
• Registre versões, localização, finalidade e dependências dos ativos.
• Mapeie sistemas expostos à internet e serviços sem suporte.
• Revise o inventário após aquisições, mudanças ou encerramento de contratos.

2. Controle identidades e acessos

Ative autenticação multifator sempre que possível. Conceda apenas os acessos necessários para cada função e revise as permissões periodicamente.

Remova ou bloqueie imediatamente contas de profissionais, prestadores ou terceiros que não precisem mais de acesso.

• Evite contas compartilhadas e credenciais genéricas.
• Use senhas longas, exclusivas e protegidas por gerenciador confiável.
• Separe contas administrativas das contas de uso cotidiano.
• Monitore acessos privilegiados e tentativas suspeitas de autenticação.

3. Corrija vulnerabilidades

Mantenha sistemas, bibliotecas, aplicativos, dispositivos e equipamentos de rede atualizados.

Priorize correções relacionadas a ativos expostos, vulnerabilidades exploradas e processos críticos para o negócio.

Equipamentos sem suporte devem ser substituídos, isolados ou protegidos por controles compensatórios definidos por especialistas.

4. Proteja e teste os backups

Mantenha cópias compatíveis com os objetivos de recuperação do negócio. Restrinja os acessos e preserve pelo menos uma cópia separada do ambiente principal.

Teste a restauração de arquivos, aplicações e ambientes. Um backup existente, mas incompleto, comprometido ou não recuperável, não atende à continuidade.

• Defina frequência, retenção e responsáveis pelos backups.
• Proteja cópias contra exclusão ou alteração indevida.
• Registre resultados dos testes de restauração.
• Inclua dados e configurações mantidos em serviços de terceiros.

5. Treine as pessoas

Use exemplos relacionados à rotina de cada equipe. Oriente sobre senhas, pagamentos, anexos, links, compartilhamento de dados e comunicação de atividades suspeitas.

Os treinamentos devem ser recorrentes e acompanhados por canais simples de reporte. A equipe precisa saber como agir sem receio de comunicar uma suspeita ou erro.

6. Monitore o ambiente e os fornecedores

Centralize registros quando a complexidade justificar, defina alertas acionáveis e acompanhe atividades incomuns.

Inclua requisitos de segurança, privacidade, notificação, auditoria e continuidade nos contratos com fornecedores críticos.

• Classifique fornecedores conforme acesso, dados tratados e impacto de indisponibilidade.
• Revise acessos, integrações e chaves utilizadas por terceiros.
• Defina prazos e canais para comunicação de incidentes.
• Planeje alternativas para serviços essenciais.

7. Prepare a resposta a incidentes

Defina responsáveis, contatos, critérios de escalonamento, procedimentos de contenção, preservação de evidências, comunicação e recuperação.

Simulações ajudam a identificar lacunas, dependências e dúvidas antes de um evento real.

O que fazer ao identificar um incidente?

1. Acione o plano: comunique imediatamente a equipe responsável e evite decisões isoladas.
2. Contenha com cautela: limite o avanço do ataque sem destruir evidências necessárias à investigação.
3. Preserve registros: mantenha logs, mensagens, horários, imagens e outras evidências conforme orientação técnica e jurídica.
4. Avalie o alcance: identifique sistemas, dados, contas, pessoas, operações e terceiros potencialmente afetados.
5. Proteja credenciais: bloqueie acessos comprometidos e faça as alterações de forma coordenada.
6. Comunique corretamente: avalie obrigações contratuais, regulatórias, securitárias e relacionadas à proteção de dados.
7. Acione a seguradora: quando houver apólice aplicável, siga os canais e os prazos de comunicação previstos no contrato.
8. Recupere com segurança: restaure os ambientes somente depois de tratar a causa e validar a integridade.
9. Registre os aprendizados: atualize controles, processos, treinamentos e o plano de resposta.

O que é o Seguro de Riscos Cibernéticos?

O Seguro de Riscos Cibernéticos, também conhecido como Seguro Cyber, é uma solução empresarial destinada a determinados prejuízos, despesas e responsabilidades relacionados a incidentes digitais.

A proteção depende das coberturas contratadas, dos limites, das franquias, dos riscos excluídos e das demais condições da apólice.

O seguro pode apoiar a resposta financeira a eventos cobertos, mas não substitui governança, controles técnicos, conformidade com a LGPD ou um plano de continuidade.

A aceitação depende da análise do risco e das informações apresentadas durante a contratação. Alterações relevantes no ambiente também devem ser tratadas conforme as obrigações previstas no contrato.

Quais coberturas podem ser contratadas?

De acordo com a página do produto da Tokio Marine, a solução pode contemplar determinadas proteções, conforme contratação, limites e condições vigentes.

• Responsabilidade por dados: determinadas reclamações de terceiros relacionadas à perda, exposição ou uso indevido de informações pelas quais a empresa seja responsável.
• Responsabilidade de mídia: determinadas reclamações relacionadas à produção, publicação ou distribuição de conteúdo.
• Propagação de malware: determinados danos causados a terceiros por código malicioso transmitido a partir da rede segurada.
• Custos de remediação: determinadas despesas para investigar, conter o incidente, recuperar sistemas e notificar pessoas afetadas.
• Extorsão cibernética: determinados impactos de eventos de extorsão digital, conforme as condições contratuais.
• Lucros cessantes: perda de receita decorrente de paralisação coberta, conforme os critérios previstos na apólice.
• Multas PCI e custos de avaliação: quando previstos e aplicáveis ao processamento de cartões.

Essa lista é um resumo informativo e não representa garantia de cobertura. Consulte as Condições Gerais vigentes para verificar riscos cobertos, riscos excluídos, franquias, limites, requisitos e obrigações do segurado.

O que avaliar antes de contratar um Seguro Cyber?

1. Ativos e dados: identifique sistemas, informações, localidades e serviços que precisam ser considerados.
2. Dependências: mapeie fornecedores, nuvens, integrações, processadores de pagamento e serviços essenciais.
3. Coberturas: verifique quais despesas, responsabilidades e paralisações podem ser abrangidas.
4. Limites e franquias: avalie valores, sublimites, períodos de espera e participação do segurado.
5. Riscos excluídos: leia as situações que não estão cobertas e os requisitos aplicáveis.
6. Controles declarados: informe corretamente as medidas de segurança existentes e mantenha evidências.
7. Resposta a incidentes: conheça os canais, prestadores, prazos e procedimentos para acionamento.
8. Mudanças no risco: verifique as obrigações relacionadas a alterações relevantes no ambiente tecnológico.

---

Perguntas frequentes sobre riscos digitais

Empresas pequenas também precisam de segurança cibernética?

Sim. O nível de proteção deve ser proporcional aos dados, aos sistemas, às dependências e aos possíveis impactos no negócio. Medidas como autenticação multifator, atualização, backup e treinamento podem reduzir riscos relevantes.

Backup impede um ataque de ransomware?

Não. O backup pode apoiar a recuperação, mas não impede a invasão, o bloqueio de sistemas, a fraude ou o vazamento de dados. Ele deve fazer parte de uma estratégia com prevenção, detecção, resposta e testes de restauração.

Autenticação multifator elimina o risco de invasão?

Não. A autenticação multifator adiciona uma camada importante de proteção, mas pode ser contornada em determinados ataques. Ela deve ser combinada com monitoramento, treinamento, controle de acesso e proteção dos dispositivos.

Todo incidente precisa ser comunicado à ANPD?

Não automaticamente. A organização deve avaliar o incidente conforme a legislação e as regras vigentes, considerando os dados pessoais afetados, os riscos ou danos relevantes e os demais critérios aplicáveis.

A análise deve envolver as áreas de privacidade, jurídica e segurança, além de outros responsáveis definidos no plano de resposta.

O Seguro Cyber cobre qualquer ataque?

Não. A cobertura depende dos eventos contratados, dos limites, das franquias, dos riscos excluídos, dos requisitos de segurança e das demais condições da apólice.

O seguro substitui os controles de segurança?

Não. O seguro complementa a gestão do risco residual. Inventário, controle de acesso, atualizações, backups, monitoramento, treinamento e resposta a incidentes continuam necessários.

Quando a seguradora deve ser comunicada?

A comunicação deve seguir os canais, os prazos e as condições previstos na apólice. Em caso de incidente ou circunstância que possa gerar reclamação, consulte imediatamente os documentos do seguro e o atendimento indicado.

---

Informação importante: este conteúdo é educativo e apresenta orientações gerais. Ele não substitui avaliação técnica, jurídica, regulatória, de privacidade ou securitária. O Seguro de Riscos Cibernéticos está sujeito à análise de risco, aceitação, limites, franquias, riscos excluídos e demais condições contratuais vigentes. O registro do produto na SUSEP não representa aprovação ou recomendação pela autarquia.