Segurança da Informação em Brasil

O mercado organiza a cobrança em dois trilhos. No trilho de projeto, entram os trabalhos com começo e fim: um diagnóstico de segurança, um teste de invasão sobre sistemas definidos, a adequação de processos à LGPD ou a resposta a um incidente específico. O orçamento desses projetos é fechado sobre o escopo — quantos sistemas, endereços e aplicações serão avaliados, e com que profundidade, já que um teste manual aprofundado custa mais do que uma varredura automatizada. No trilho recorrente ficam o monitoramento do ambiente, a gestão das proteções e o treinamento periódico da equipe, cobrados por mensalidade proporcional ao tamanho da empresa e à cobertura. Para a pequena empresa, o caminho de melhor custo-benefício costuma começar pelo diagnóstico pontual, que revela onde estão os riscos reais, e usar o relatório para decidir o que corrigir com prioridade — evitando pagar por proteção sofisticada em áreas que não são o ponto fraco.

O ciclo do diagnóstico segue um roteiro conhecido. Abre com o levantamento: quais sistemas a empresa usa, onde ficam os dados importantes, quem acessa o quê e quais proteções já existem. Na sequência vêm as verificações técnicas — varredura de vulnerabilidades nos equipamentos e sistemas, revisão de senhas e permissões, análise das cópias de segurança — e, quando contratado, o teste de invasão, em que o profissional tenta explorar as falhas como um atacante faria, dentro dos limites autorizados por escrito. O fechamento é o relatório, que separa o crítico do cosmético e ordena as correções por risco e esforço. Em uma empresa pequena, esse ciclo cabe em poucas semanas, com interferência mínima na rotina. Vale distinguir avaliação de correção: consertar o que o relatório apontou é uma segunda etapa, com prazo próprio, executada pelo mesmo consultor ou pela equipe de TI da empresa. Já a resposta a incidente em andamento inverte tudo — começa em horas, não em semanas.

A proposta de segurança precisa ser lida camada por camada, porque o nome do serviço varia muito entre profissionais. O diagnóstico costuma abranger o inventário do ambiente, a varredura técnica de vulnerabilidades, a revisão de contas e permissões — incluindo ex-funcionários com acesso vivo, um clássico —, a checagem do backup como última linha de defesa e a verificação do que a empresa expõe na internet sem saber. O produto final é o relatório executivo com as correções em ordem de prioridade. A partir daí, cada camada adicional é um item de orçamento: implantar as correções, ativar ferramentas de proteção, treinar a equipe contra golpes de e-mail e telefone — porta de entrada da maioria dos incidentes reais —, adequar processos à LGPD e monitorar o ambiente continuamente. Peça a proposta discriminada por camada e desconfie de pacotes genéricos que prometem tudo por um valor único, sem dizer quantos sistemas cobrem nem com que profundidade avaliam cada um.

Contratar segurança é dar a alguém as chaves do ambiente, então a diligência precisa ser proporcional. No plano técnico, certificações reconhecidas da área e histórico verificável de projetos semelhantes ao seu porte são o ponto de partida; um exemplo de relatório anonimizado vale mais do que qualquer apresentação comercial, porque mostra se o profissional traduz risco técnico em decisão de negócio ou apenas despeja jargão. No plano formal, dois documentos são inegociáveis: o acordo de confidencialidade, já que o consultor verá dados sensíveis, e a autorização escrita delimitando o que pode ser testado, quando e até onde — teste de invasão sem esse papel é problema jurídico para os dois lados. No plano comportamental, observe os incentivos: consultor que abre a conversa vendendo uma ferramenta específica pode estar comissionado por ela, e discurso de terror com solução única é técnica de venda, não diagnóstico. O bom profissional começa perguntando o que a empresa faz e quais dados a sustentam.

A ideia de que criminoso digital só mira empresa grande cai diante do funcionamento real dos ataques: boa parte é automatizada, varrendo a internet em busca de sistemas desatualizados, senhas fracas e acessos remotos abertos — a ferramenta não pergunta o faturamento antes de invadir. Para o atacante, a pequena empresa é conta simples: proteção menor, chance maior. Os golpes mais comuns no Brasil dispensam sofisticação: o e-mail falso que se passa por fornecedor e troca os dados bancários do pagamento, o boleto adulterado, o sequestro de dados que criptografa os arquivos e cobra resgate, a conta de e-mail invadida que aplica golpes nos clientes da própria empresa. O contrapeso é que as defesas de maior impacto também são simples e baratas: autenticação em duas etapas em todas as contas, sistemas atualizados, backup isolado testado e uma equipe treinada a desconfiar de urgência e de mudança de dados bancários. É exatamente esse pacote inicial que uma consultoria pontual implanta.

O contrato mensal traz previsibilidade e costuma incluir monitoramento, atualizações, suporte remoto e visitas presenciais em quantidade acordada. Pacotes de horas servem para demandas irregulares, mas exigem controle de consumo e atenção à validade. Chamado avulso é mais caro por hora e não gera relacionamento nem conhecimento acumulado do ambiente, o que pesa quando algo quebra. Além do serviço, some as licenças de software, assinaturas de nuvem e equipamentos, que são custos recorrentes próprios. Ao pedir proposta, informe quantos computadores, servidores e usuários existem, quais sistemas são críticos e qual o horário de funcionamento da operação. Peça o acordo de nível de serviço com prazos de resposta e de solução por severidade — é isso que diferencia contratos aparentemente iguais.

Classifique com o fornecedor o que é crítico para o seu negócio: sistema de vendas fora do ar, servidor indisponível, rede parada e falha de e-mail costumam entrar nessa lista. Para cada nível, defina prazo de primeira resposta, prazo de solução e forma de acionamento fora do horário comercial, incluindo plantão quando necessário. Peça relatórios mensais com volume de chamados, tempo médio de atendimento e reincidências — reincidência alta indica problema estrutural não resolvido. Combine também um plano de contingência para falhas que dependem de terceiros, como operadora de internet e provedor de nuvem, com caminho alternativo definido. E mantenha um inventário atualizado de equipamentos, licenças e acessos: metade do tempo de um chamado costuma ser gasto descobrindo como o ambiente está montado.

Peça a lista de serviços com fronteiras claras: até onde vai o suporte a sistemas de terceiros, quem fala com fornecedores de software, se o atendimento cobre equipamentos pessoais usados no trabalho e como funciona o apoio a quem trabalha fora do escritório. Confirme a periodicidade das visitas presenciais e o que acontece quando são necessárias visitas extras. Verifique se a gestão de segurança está incluída — antivírus, controle de acesso, políticas de senha, atualização de sistemas — ou se é contratada à parte. Alinhe também a documentação: topologia da rede, inventário, credenciais em cofre e procedimentos. Documentação atualizada é o que reduz dependência de uma única pessoa e o que permite trocar de fornecedor sem parar a operação da empresa.

Defina o essencial em números: quanto de dados a empresa pode perder em caso de falha e em quanto tempo precisa voltar a operar. Essas duas respostas determinam a frequência das cópias e o tipo de solução. Mantenha ao menos uma cópia fora do ambiente principal e uma cópia isolada, protegida contra alteração, que é a defesa mais eficaz contra sequestro de dados. Combine testes de restauração periódicos com registro do resultado — muita empresa descobre que o backup não funcionava justamente no dia em que precisou. Verifique se dados em serviços de nuvem, como e-mail e arquivos compartilhados, estão cobertos: a maioria dos provedores garante disponibilidade, não a recuperação de algo apagado por engano meses antes. Documente responsáveis e procedimentos.

Faça a conta completa antes de decidir: além da mensalidade dos servidores, inclua armazenamento, transferência de dados, backup, licenças e o custo de operar o ambiente. Compare com o custo real do modelo atual, somando equipamento, energia, refrigeração, manutenção, licenças e o risco de indisponibilidade. Migração é projeto com etapas — inventário, plano, ambiente de teste, migração assistida e desativação do antigo — e precisa de janela combinada para minimizar impacto na operação. Verifique requisitos de conectividade: sistemas em nuvem dependem de internet estável, então link redundante costuma ser necessário. Considere também exigências legais sobre localização e tratamento de dados. Uma abordagem gradual, migrando primeiro serviços menos críticos, reduz risco e dá tempo para ajustar o dimensionamento antes de mover o que é crítico.

O tema vai de R$ 20 a cerca de R$ 15.000 no catálogo, cobrindo desde peças gráficas avulsas até desenvolvimento de software. Alguns valores de referência: site institucional de R$ 1.500 a R$ 8.000, landing page de R$ 800 a R$ 3.500, loja virtual de R$ 2.500 a R$ 15.000 e gestão de redes sociais de R$ 800 a R$ 4.000 por mês. O que define o preço é a quantidade de telas ou peças, o nível de personalização, se há integração com outros sistemas e quem produz o conteúdo. Projeto feito sobre tema pronto custa uma fração do desenvolvimento sob medida, e é a escolha certa para muita gente. Lembre dos custos recorrentes que não estão no orçamento do projeto: domínio, hospedagem, licenças e manutenção. Peça a proposta com escopo, entregas e o que fica fora.

A execução dos serviços do tema fica em média em torno de quatro horas nas entregas menores e passa de setenta horas nos projetos maiores — mas o calendário real é sempre maior que a soma das horas técnicas. O que mais atrasa projeto digital não é código: é conteúdo. Texto, fotos, catálogo de produtos, logotipo em alta resolução e acessos a domínio e hospedagem precisam estar prontos, e quase nunca estão. Combine desde o início quem produz cada item e uma data de corte para entrega do material. Estabeleça também quantas rodadas de revisão estão incluídas e qual é o prazo para você responder cada uma; projeto parado esperando aprovação é o cenário mais comum. Peça um cronograma com etapas — descoberta, protótipo, desenvolvimento, testes, publicação — e um ambiente de homologação para revisar antes de o site ir ao ar.