O que toda empresa deveria ter em pé antes de precisar.

E-mail, banco, ERP, provedor de nuvem e redes sociais. Prefira aplicativo autenticador ou chave física: o código por SMS pode ser interceptado por clonagem de chip.

Uma senha única e longa por serviço. Senha reaproveitada transforma o vazamento de um site qualquer em invasão da sua empresa.

Login coletivo impede saber quem fez o quê — e obriga a trocar a senha de todo mundo quando uma pessoa sai.

Cada pessoa acessa só o que a função exige. Administrador é exceção, não padrão.

Acesso revogado no mesmo dia da saída, em todos os sistemas. Conta esquecida de ex-funcionário é porta aberta sem vigilância.

A cada semestre, confira se as permissões ainda fazem sentido.

Três cópias dos dados, em dois tipos de mídia diferentes, com pelo menos uma fora do local físico da empresa.

Ransomware criptografa tudo que está conectado — inclusive o backup na rede. Cópia desconectada ou com retenção travada é o que sobra.

Backup que nunca foi restaurado é uma suposição. Faça um teste real a cada trimestre e cronometre quanto tempo leva.

Se o backup roda uma vez por dia, você aceita perder até um dia de trabalho. Essa escolha precisa ser consciente.

O provedor garante a infraestrutura dele, não protege você de apagar um arquivo por engano ou de uma conta comprometida.

Sistema operacional, navegador e aplicativos. A maior parte das invasões usa falha conhecida que já tinha correção disponível.

BitLocker no Windows, FileVault no Mac. Sem isso, um equipamento roubado entrega todos os arquivos a quem o abrir.

Área de trabalho remota aberta é um dos caminhos mais explorados por ransomware. Use VPN ou acesso intermediado.

Não adianta cada máquina ter o seu se ninguém vê os alertas de todas em um lugar só.

Visitante e dispositivo pessoal não precisam enxergar servidor e impressora.

Todo pedido de pagamento ou troca de conta precisa ser confirmado por um segundo canal — ligação para número já conhecido, nunca o que veio no e-mail. É a fraude que mais custa caro a PMEs.

Uma conversa por semestre já muda o comportamento. Mostre exemplos reais que chegaram à empresa.

Quem clicou em algo estranho precisa avisar em minutos. Se tiver medo de levar bronca, vai esconder — e o dano cresce.

O que pode ser instalado, o que pode sair da empresa, como usar equipamento pessoal no trabalho.

São três registros que dizem quem pode enviar em nome do seu domínio. Sem eles, qualquer um consegue mandar e-mail se passando pela sua empresa — e os seus vão mais para spam.

Além da credibilidade, o endereço pessoal não é administrável: você não revoga, não audita, não recupera.

Invasor costuma criar uma regra silenciosa que copia tudo para fora. Revise as regras das contas principais.

Não dá para proteger o que não se sabe que existe. Comece mapeando onde estão e quem acessa.

Cada campo a mais no formulário é um dado a mais para proteger e justificar. Dado que não se coleta não vaza.

Incidente com risco relevante precisa ser comunicado à ANPD e aos titulares em prazo curto. Decidir quem faz o quê no meio da crise é tarde demais.

Currículo de candidato reprovado há cinco anos é só passivo.

A responsabilidade continua sendo sua quando o vazamento acontece na ferramenta que você contratou.