Como este tema funciona no porte da sua empresa
Os riscos mais frequentes são acesso indevido a sistemas financeiros por senha fraca ou compartilhamento de credenciais, perda de dados por ausência de backup e golpes de engenharia social como phishing e fraude de fornecedor falso. Sem equipe de TI, o gestor administrativo é quem precisa garantir o mínimo.
Além dos riscos de acesso e backup, surgem riscos de integração entre sistemas (ERP, banco, CRM), conformidade com a LGPD para os dados que a área administrativa trata e risco de vazamento por terceiros com acesso aos sistemas. A empresa já tem alguém de TI, mas o gestor administrativo precisa saber o que exigir.
Área de segurança da informação dedicada, políticas formais de acesso e controle, testes de vulnerabilidade periódicos, gestão de incidentes estruturada e seguro cibernético. O gestor administrativo reporta incidentes e garante que a sua área cumpre as políticas definidas.
Risco cibernético, na visão de gestão, é o conjunto de exposições financeiras, operacionais e regulatórias que a empresa enfrenta quando sistemas, dados ou processos digitais falham ou são comprometidos por ataque externo, erro humano ou falha de controle interno. Para o gestor administrativo, o risco cibernético não é tema de TI — é risco de negócio: pode paralisar a operação, gerar obrigações regulatórias (LGPD) e causar dano financeiro direto.
Quais riscos cibernéticos impactam diretamente a área administrativa
O risco cibernético afeta a área administrativa de forma direta — não é apenas problema de infraestrutura de TI. Os principais impactos que o gestor administrativo precisa entender e controlar são:
- Acesso indevido a sistemas financeiros: um usuário não autorizado com acesso ao sistema de gestão financeira ou ao internet banking pode executar transferências, consultar dados de clientes ou manipular registros contábeis. Controle de acesso por função é responsabilidade do gestor administrativo, não da TI.
- Fraude por engenharia social: e-mails ou mensagens que simulam ser de fornecedores, bancos ou executivos da empresa solicitando pagamentos urgentes, alteração de dados bancários ou confirmação de transferências. Esse é o vetor de ataque mais frequente em empresas de pequeno e médio porte — e o gestor financeiro é o alvo.
- Ransomware: ataque que criptografa os arquivos da empresa e exige pagamento de resgate para liberação. Além do impacto técnico, o impacto operacional é imediato: a empresa pode ficar dias sem acesso a contratos, registros financeiros, notas fiscais e dados de clientes.
- Perda de dados por ausência de backup: falha de hardware, exclusão acidental ou ataque podem resultar em perda permanente de dados se não houver backup recente e testado. Para a área administrativa, dados de contratos, registros contábeis e documentos fiscais são críticos.
- Vazamento de dados (risco LGPD): a área administrativa trata dados pessoais de clientes, fornecedores e colaboradores. Um vazamento por falha de segurança gera obrigação de notificação à ANPD e aos titulares, risco de sanção e dano reputacional.
O que o gestor administrativo controla diretamente
O gestor administrativo não precisa entender de infraestrutura de TI para controlar os riscos cibernéticos da sua área. Há um conjunto de controles que estão diretamente na sua responsabilidade — independentemente de existir ou não uma equipe de TI.
- Política de senhas e autenticação: exigir senhas fortes e únicas para cada sistema financeiro, proibir o compartilhamento de credenciais entre pessoas da equipe e ativar autenticação em dois fatores nos sistemas críticos (banco, ERP, e-mail). Verificar com que frequência as senhas são trocadas.
- Controle de acesso por função: mapear quem tem acesso a quais sistemas e com quais permissões. Cada pessoa deve ter acesso apenas ao que precisa para exercer sua função — o princípio do menor privilégio. Revogar imediatamente o acesso de colaboradores desligados.
- Procedimento de confirmação de pagamentos: nunca executar transferências ou alterações de dados bancários com base em e-mail ou mensagem de texto isoladamente. Toda solicitação de pagamento recebida por canal digital deve ser confirmada por ligação telefônica direta ao interlocutor habitual, não para o número indicado na mensagem.
- Verificação do backup: confirmar com a TI que backups dos dados críticos da área (financeiro, contratos, documentos fiscais) estão sendo realizados com a frequência necessária e que a recuperação foi testada. Um backup não testado é um backup que pode falhar quando mais precisa.
- Alerta da equipe sobre phishing e fraude: treinar a equipe administrativa para identificar tentativas de fraude por e-mail ou mensagem — URLs suspeitas, solicitações de urgência, pedidos de informações confidenciais, e-mails com domínio ligeiramente diferente do fornecedor real.
O gestor administrativo pode implantar os cinco controles acima sem TI dedicada: a maioria dos sistemas financeiros e bancários já oferece autenticação em dois fatores e controle de acesso por perfil. O principal risco é a informalidade — senhas compartilhadas, acessos não revogados, transferências executadas sem confirmação por ligação.
Além dos controles básicos, o gestor deve formalizar junto à TI a política de acesso mínimo para cada função da área administrativa e garantir que o plano de resposta a incidente inclua o que fazer se os sistemas financeiros ficarem indisponíveis. O risco de integração entre sistemas — ERP, banco, CRM — requer atenção específica.
O gestor administrativo opera dentro de uma política de segurança formal. O papel é garantir que a área cumpra as políticas definidas, reportar incidentes ao responsável de segurança e participar dos testes periódicos de phishing e de resposta a incidente. Não cria a política — garante a aderência.
O que exigir da TI ou de um especialista
O gestor administrativo tem o direito — e a responsabilidade — de exigir confirmações da área de TI sobre os controles que protegem os dados e sistemas que afetam a sua área. As perguntas a fazer periodicamente são:
- Os backups dos dados administrativos e financeiros estão sendo feitos com que frequência, e quando foi a última vez que a recuperação foi testada? Backup sem teste de recuperação não é garantia.
- A política de acesso mínimo está implementada nos sistemas da área administrativa? Cada usuário deve ter apenas as permissões necessárias para sua função.
- Os sistemas críticos (ERP, sistema financeiro, e-mail corporativo) estão com atualizações de segurança em dia? Sistemas desatualizados têm vulnerabilidades conhecidas e exploradas ativamente.
- Existe um plano de resposta a incidente cibernético? O que a empresa faz se o sistema de gestão ficar inacessível? Qual é o tempo estimado de recuperação? Quem aciona quem?
- A empresa tem seguro cibernético? Para empresas de médio porte em diante, o seguro cibernético cobre custos de resposta a incidente, notificação de titulares (LGPD), extorsão digital e interrupção de operação.
Conexão com a LGPD: o risco regulatório do vazamento
A Lei Geral de Proteção de Dados (Lei 13.709/2018) impõe obrigações diretas à empresa quando dados pessoais são comprometidos por falha de segurança. O gestor administrativo é operador de dados pessoais no exercício das suas funções: trata dados de clientes em contratos, dados de fornecedores em cadastros e dados de colaboradores em registros de RH.
Em caso de incidente de segurança com acesso indevido ou vazamento de dados pessoais, a LGPD exige:
- Comunicação à Autoridade Nacional de Proteção de Dados (ANPD) em prazo razoável, quando o incidente pode acarretar risco ou dano relevante aos titulares.
- Comunicação aos titulares afetados quando o risco individual for alto.
- Registro do incidente e das medidas adotadas para contenção e prevenção de recorrência.
O custo de um incidente cibernético vai além do técnico: há o impacto operacional (dias sem acesso aos sistemas), financeiro (custo de resposta, eventual pagamento de resgate), regulatório (sanções da ANPD) e reputacional. O conjunto desses custos justifica o investimento em controles preventivos.
Sinais de que o risco cibernético da área administrativa precisa de atenção
Se você se reconhece em três ou mais cenários abaixo, o risco cibernético da área administrativa está mais exposto do que deveria.
- Credenciais de acesso a sistemas financeiros são compartilhadas entre pessoas da equipe.
- O backup dos dados financeiros e documentos críticos não é verificado regularmente.
- Pagamentos são executados com base em e-mail ou mensagem, sem confirmação por canal alternativo.
- A equipe administrativa nunca recebeu orientação sobre como identificar tentativas de phishing ou fraude.
- Não há plano definido do que fazer se o sistema de gestão ficar inacessível por ataque ou falha.
- O gestor não sabe quem tem acesso a quais sistemas da área — o controle de acesso nunca foi revisado.
Caminhos para avaliar e reduzir o risco cibernético da área administrativa
Há dois caminhos para estruturar o controle do risco cibernético, e a escolha depende da maturidade atual dos controles e da disponibilidade de suporte de TI.
O gestor administrativo implanta os controles básicos diretamente — política de senhas, controle de acesso, procedimento de confirmação de pagamentos — sem suporte externo especializado.
- Perfil necessário: gestor administrativo com acesso aos sistemas e cooperação da TI interna, se houver, para configurar controles técnicos.
- Tempo estimado: controles básicos implantáveis em 2 a 4 semanas; política de acesso revisada em 30 dias.
- Faz sentido quando: os riscos principais são de acesso indevido, senhas fracas e phishing — controláveis com processo e comportamento, sem infraestrutura adicional.
- Risco principal: controles implantados sem monitoramento de aderência — a regra existe, mas não é seguida na prática.
Consultoria de TI em segurança realiza diagnóstico do ambiente, identifica vulnerabilidades e implanta controles técnicos além da capacidade interna.
- Tipo de fornecedor: Consultoria de TI (segurança da informação), Consultoria de Gestão de Riscos, Seguros Empresariais (seguro cibernético).
- Vantagem: diagnóstico técnico de vulnerabilidades, implantação de controles avançados (MFA, segmentação de rede, monitoramento de acessos) e apoio na estruturação do plano de resposta a incidente.
- Faz sentido quando: a empresa sofreu incidente, há exigência de conformidade de clientes ou reguladores, ou o volume de dados tratados justifica auditoria de segurança.
- Resultado típico: diagnóstico e plano de adequação em 30 a 60 dias; controles críticos implantados em 90 dias.
Precisa de apoio para avaliar e reduzir o risco cibernético da sua empresa?
Se estruturar os controles de segurança da área administrativa é uma prioridade, o oHub conecta a sua empresa, gratuitamente, a consultores de TI em segurança e especialistas em gestão de riscos. Em menos de 3 minutos você descreve a necessidade e recebe propostas, sem compromisso.
Encontrar fornecedores de Gestão no oHub
Sem custo, sem compromisso. Você recebe propostas e decide se e com quem avançar.
Perguntas frequentes
O que é risco cibernético para pequenas e médias empresas?
É o conjunto de exposições financeiras, operacionais e regulatórias decorrentes de ataques a sistemas, perda de dados ou falhas de controle de acesso. Para PMEs, os riscos mais frequentes são fraude por engenharia social (phishing, fornecedor falso), acesso indevido a sistemas financeiros e perda de dados por ausência de backup — todos preveníveis com controles de processo sem infraestrutura sofisticada.
Como o gestor administrativo deve tratar o risco de TI?
Assumindo a responsabilidade pelos controles que estão na sua área: política de senhas, controle de acesso por função, procedimento de confirmação de pagamentos e verificação de backup. O gestor não precisa entender de infraestrutura — precisa garantir que esses controles existem, são seguidos pela equipe e são verificados periodicamente com a TI.
O que é ransomware e como proteger a empresa?
Ransomware é um tipo de ataque que criptografa os arquivos da empresa e exige pagamento de resgate para liberação. O impacto é a interrupção imediata do acesso a dados e sistemas. As principais proteções são: backup atualizado e testado (permite restaurar os dados sem pagar o resgate), sistemas atualizados, controle de acesso e treinamento da equipe para não abrir arquivos ou links suspeitos.
Como LGPD se relaciona com risco cibernético?
A LGPD exige que a empresa comunique à ANPD incidentes de segurança que possam gerar risco ou dano relevante aos titulares dos dados — clientes, fornecedores ou colaboradores. A área administrativa trata esses dados e, em caso de vazamento por falha de segurança cibernética, responde pelas obrigações regulatórias, além do impacto financeiro e reputacional.
O gestor financeiro precisa entender de segurança da informação?
Não no nível técnico — mas precisa entender os riscos que afetam a sua área e os controles que reduzem esses riscos. Saber o que é phishing, como funciona o controle de acesso por função, como verificar um pagamento suspeito e o que exigir da TI em termos de backup e atualização de sistemas é o mínimo necessário para gerir o risco cibernético da área administrativa.
Fontes e referências
- CERT.br — Centro de Estudos, Resposta e Tratamento de Incidentes de Segurança no Brasil. Relatório anual de incidentes. Disponível em cert.br.
- ANPD — Autoridade Nacional de Proteção de Dados. Resolução CD/ANPD nº 2, de 27 de janeiro de 2022 — regulamentação sobre incidentes de segurança. Disponível em gov.br/anpd. Disponível em: gov.br/anpd.
- Cetic.br — Centro Regional de Estudos para o Desenvolvimento da Sociedade da Informação. Pesquisa sobre o Uso das Tecnologias de Informação e Comunicação nas Empresas Brasileiras. São Paulo: Cetic.br/NIC.br.