Política de Segurança da Informação para PMEs - Modelo Prático

A maioria das PMEs não tem nenhum documento de segurança. 

Você, como técnico ou prestador de TI, sabe disso melhor do que ninguém; porque quando o incidente acontece, você é o primeiro a receber o telefonema.

Sem uma política de segurança documentada, o prestador de TI responde por omissão, ainda que tecnicamente não seja culpa sua. A ausência de documentação vira argumento contra quem deveria proteger.

Este artigo apresenta um modelo funcional de Política de Segurança da Informação (PSI) simplificada, pensado para a realidade das pequenas e médias empresas. Você vai entender o que precisa conter, como apresentar para o cliente e como esse documento protege tanto o negócio do cliente quanto o seu.

O que é uma Política de Segurança da Informação?

Uma PSI é um documeto que define como a empresa protege seus dados, sistemas e acessos. Para PMEs, ela não precisa ter 80 páginas e sim precisa ser aplicável, compreensível e revisada periodicamente. 

Empresas de grande porte trabalham com frameworks robustos como ISO 27001, políticas de DLP, SOC interno, auditorias externas. Esse nível de formalização é importante, mas inaplicável para a maioria das PMEs sem área de TI estruturada.

A PSI simplificada não abre mão do rigor. Ela adapta o rigor à capacidade real do negócio, pois o objetivo é ter um documento que os colaboradores entendam, o gestor assine e o prestador de TI consiga auditar e atualizar anualmente.

Essa diferença entre o ideal e o aplicável é exatamente onde o MSP ou prestador de TI entra com valor estratégico: traduzindo boas práticas em linguagem e processos que o cliente consegue absorver.

Por que o MSP deve liderar esse processo e não esperar o cliente pedir

O cliente não vai acordar um dia e pedir uma política de segurança. Ele vai pedir isso depois que algo der errado, quando o custo, tanto financeiro quanto de reputação, já terá sido pago.

O que estrutura os melhores contratos de longo prazo é a postura consultiva: antecipar riscos, documentar processos e apresentar soluções antes do incidente. Há razões concretas para liderar esse processo:

Você tem visibilidade técnica que o dono da PME não tem. Sabe quais sistemas estão desatualizados, quem tem acesso privilegiado indevido, onde estão os pontos cegos.

PSI gera recorrência de serviço. Revisão anual, adequação à LGPD, atualização de cláusulas conforme o negócio cresce; tudo isso vira contrato.

Diferencia quem entrega resultado de quem entrega manutenção. O técnico que documenta e orienta vale mais do que o técnico que só conserta.

Reduz o seu passivo jurídico. Com a PSI assinada pelo cliente, fica documentado que você orientou, que o cliente foi informado e que as responsabilidades estão divididas.

A Starti apoia MSPs e prestadores de TI com soluções que tornam a proteção dos clientes mensurável e gerenciável.

O que uma PSI simplificada para PME precisa conter

Uma política de segurança funcional para PME deve cobrir oito áreas fundamentais. Não precisam ser documentos separados; podem e devem estar num único arquivo, com linguagem clara e exemplos aplicados ao contexto do negócio.

1. Classificação de dados

Define o que a empresa considera confidencial, de uso interno ou público. Para PMEs, os exemplos são diretos: dados de clientes, notas fiscais, contratos, dados de cartão, informações de RH. Sem essa classificação, todo dado é tratado da mesma forma — o que significa que dado crítico fica tão exposto quanto dado irrelevante.

2. Controle de acesso e autenticação

Quem acessa o quê, com base no princípio de menor privilégio. Inclui: política de senhas (tamanho mínimo, trocas periódicas), uso obrigatório de autenticação multifator (MFA) para sistemas críticos e e-mail, e processo de remoção de acesso quando um colaborador sai da empresa.

Na prática: ferramentas de firewall e DNS gerenciados permitem aplicar camadas de controle técnico além da política escrita, bloqueando acessos indevidos mesmo quando o usuário não segue a política.

3. Uso aceitável de sistemas e dispositivos

Define o que é permitido e proibido nos dispositivos corporativos e nas redes da empresa: uso de BYOD (dispositivos pessoais no ambiente de trabalho), acesso a redes externas não seguras, instalação de softwares não autorizados, uso de pendrives e mídias externas.

4. Gestão de incidentes de segurança

O que fazer quando algo dá errado. Define: canal de reporte de incidentes (quem o colaborador deve acionar), responsável técnico pelo atendimento, prazo máximo de resposta, e obrigação de comunicação ao titular do dado afetado; exigência direta da LGPD.

5. Backup e continuidade

Frequência dos backups, responsável pela execução, local de armazenamento (incluindo cópia offsite ou em nuvem), e periodicidade dos testes de restauração. Backup sem teste de restauração não é backup, é ilusão de segurança.

6. Atualização de sistemas e equipamentos

Política de aplicação de patches e atualizações de sistemas operacionais, softwares de terceiros e firmware de equipamentos de rede. Define prazo máximo para aplicação de atualizações críticas e responsável pelo processo.

7. Conscientização e treinamento

Frequência mínima de orientação aos colaboradores sobre segurança digital. Inclui temas prioritários: identificação de phishing, engenharia social, senhas seguras. Phishing simulado é uma boa prática — e um serviço adicional que o MSP pode oferecer.

8. Revisão e validade do documento

A PSI não é um documento para criar e esquecer. Precisa ter data de vigência (recomendado: revisão anual), responsável nomeado pela revisão e registro de todas as versões anteriores.

Parte dessas políticas exige suporte técnico para ser aplicada: controle de acesso por DNS, bloqueio de categorias, visibilidade de tráfego e proteção contra ameaças emergentes.

O Edge Protect (NGFW) e o Edge DNS da Starti entregam essa camada de proteção para os clientes das suas PMEs. Saiba como:

Modelo de Política de Segurança da Informação Simplificada

Use como base. Adapte ao segmento e ao porte do cliente. O importante é ter o documento assinado e revisado, não é necessário que seja perfeito na primeira versão.

POLÍTICA DE SEGURANÇA DA INFORMAÇÃO

[Nome da Empresa] | Versão 1.0 | [Data de Emissão]

1. Objetivo e Escopo

Esta Política de Segurança da Informação (PSI) estabelece as diretrizes para proteção das informações e dos ativos de tecnologia da [Nome da Empresa], aplicando-se a todos os colaboradores, prestadores de serviço e terceiros que acessem os sistemas da organização.

Objetivo: garantir a confidencialidade, integridade e disponibilidade das informações utilizadas pela empresa.

2. Classificação das Informações

As informações da empresa são classificadas em:

• Confidencial: dados de clientes, contratos, informações financeiras, dados de RH. Acesso restrito a pessoas expressamente autorizadas.
• Interno: informações operacionais, processos e comunicações internas. Acesso permitido a colaboradores.
• Público: materiais de marketing, informações institucionais divulgadas externamente.

3. Controle de Acesso e Autenticação

3.1 Todo acesso a sistemas deve ser realizado com credenciais individuais e intransferíveis.

3.2 Senhas devem ter no mínimo 12 caracteres, combinando letras maiúsculas, minúsculas, números e símbolos.

3.3 O uso de autenticação multifator (MFA) é obrigatório para e-mail corporativo e sistemas de gestão.

3.4 Acessos devem ser revisados semestralmente. Em caso de desligamento de colaborador, o acesso deve ser encerrado em até 24 horas.

3.5 O compartilhamento de senhas entre usuários é expressamente proibido.

4. Uso Aceitável de Sistemas e Dispositivos

4.1 Dispositivos corporativos devem ser utilizados exclusivamente para atividades relacionadas ao trabalho.

4.2 A instalação de softwares não autorizados é proibida. Novas instalações devem ser aprovadas pelo responsável de TI.

4.3 O uso de dispositivos pessoais (BYOD) para acesso a sistemas corporativos requer autorização prévia e configuração de segurança mínima (senha de bloqueio, criptografia ativada).

4.4 O acesso a redes Wi-Fi públicas para atividades corporativas é proibido sem uso de VPN.

5. Gestão de Incidentes de Segurança

5.1 Todo incidente de segurança (suspeita de invasão, perda de dispositivo, acesso indevido, malware) deve ser reportado imediatamente ao responsável de TI pelo canal: [definir canal — e-mail, WhatsApp, ramal].

5.2 O responsável de TI deve iniciar o atendimento em até [X horas] após o reporte.

5.3 Incidentes que envolvam dados pessoais de clientes ou colaboradores devem ser comunicados ao Encarregado de Dados (DPO ou responsável indicado) para avaliação de obrigação de notificação à ANPD, conforme a LGPD.

5.4 Todos os incidentes devem ser registrados, independentemente da gravidade.

6. Backup e Continuidade

6.1 Backups dos dados críticos devem ser realizados [diariamente / semanalmente — definir conforme o negócio].

6.2 Cópias de backup devem ser armazenadas em local separado dos dados originais (nuvem ou mídia offsite).

6.3 A integridade dos backups deve ser testada trimestralmente por meio de restauração controlada.

6.4 Responsável pelo processo de backup: [Nome / Cargo].

7. Atualização de Sistemas e Equipamentos

7.1 Sistemas operacionais, softwares e firmware de equipamentos de rede devem ser mantidos atualizados.

7.2 Atualizações de segurança classificadas como críticas devem ser aplicadas em até [X dias] após disponibilização.

7.3 Equipamentos sem suporte do fabricante devem ser substituídos ou isolados da rede principal.

7.4 Responsável pelo patch management: [Nome / Empresa de TI responsável].

8. Conscientização e Treinamento

8.1 Todos os colaboradores devem receber orientação sobre segurança digital no momento da contratação.

8.2 Treinamentos de reciclagem devem ocorrer ao menos [anualmente / semestralmente].

8.3 Temas prioritários: identificação de phishing e golpes por e-mail, uso seguro de senhas, engenharia social e proteção de dados.

8.4 A participação nos treinamentos deve ser registrada e documentada.

9. Sanções e Responsabilidades

O descumprimento desta política poderá resultar em medidas disciplinares conforme a gravidade da infração, incluindo advertência formal, suspensão ou desligamento, sem prejuízo de responsabilização civil ou criminal quando aplicável.

10. Vigência e Revisão

Esta política entra em vigor na data de sua aprovação e deve ser revisada anualmente ou sempre que ocorrerem mudanças significativas nos sistemas, processos ou legislação aplicável.

Próxima revisão programada: [Data].Responsável pela revisão: [Nome / Cargo / Empresa de TI].

Aprovado por: _________________________________ Data: //________

Como apresentar esse documento para o cliente PME?

O cliente PME não se recusa à PSI porque discorda do conteúdo; ele simplesmente nunca parou para pensar no assunto. O técnico que sabe introduzir o tema sem soar alarmista ou burocrático tem vantagem real.

Quando apresentar:

• Onboarding de novo cliente: melhor momento. Define o relacionamento como consultivo desde o início.
• Renovação de contrato: revisão da PSI como parte do pacote de serviço.
• Pós-incidente: o cliente já está sensibilizado, o documento chega como solução, não como crítica.
• Mudanças relevantes no negócio do cliente: nova sede, contratações, mudança de sistema.

Como introduzir o tema:

A abertura mais eficiente é pelo risco concreto: "Você sabe o que acontece se um colaborador clica num link de phishing e criptografa seus arquivos? Quem aciona? O que você faz nas próximas duas horas?" A PSI responde exatamente a essas perguntas.

Como documentar que o cliente foi orientado:

Envie a PSI por e-mail com registro de recebimento. Solicite assinatura digital ou física. Guarde o histórico de versões. Essa documentação protege você em caso de questionamento futuro — é a diferença entre "eu orientei" e "eu posso provar que orientei".

Revisão anual como serviço recorrente:

A PSI não é entregue uma vez e esquecida. Ofereça revisão anual como parte do contrato: atualização de cláusulas, adequação a mudanças regulatórias, revisão de acessos e senhas. É um serviço de alto valor percebido com custo de execução baixo.

Próximo passo: use o modelo hoje

Você tem um modelo completo nas mãos, o próximo passo é agir.

Adapte o modelo ao próximo cliente que você atender. Apresente na próxima renovação de contrato. Inclua a revisão anual da PSI no seu catálogo de serviços. Você vai se diferenciar dos concorrentes que ainda não fazem isso, e vai construir relações mais sólidas com os clientes que ficam.

Quer levar segurança estruturada para seus clientes PME?

A Starti oferece as ferramentas técnicas — do firewall ao DNS — para o prestador de TI que trabalha com processos sérios e documentação. 

Perguntas frequentes sobre PSI

Uma PME é obrigada a ter uma Política de Segurança da Informação?

Não há uma lei que exija explicitamente o documento chamado "PSI". Mas a LGPD obriga toda empresa que trata dados pessoais a adotar medidas técnicas e administrativas de proteção; e a PSI é exatamente isso. Na prática, não ter a documentação aumenta o risco jurídico e a vulnerabilidade operacional.

Qual o tamanho ideal de uma PSI para PME?

Não há um número de páginas correto. Uma PSI eficaz para PME tem entre 4 e 10 páginas já é suficiente para cobrir os pontos críticos sem criar um documento que ninguém lê. Clareza e aplicabilidade valem mais do que extensão.

Com que frequência a PSI deve ser revisada?

A revisão anual é o mínimo recomendado. Além disso, deve ser atualizada sempre que houver mudança significativa nos sistemas, nos processos do negócio ou na legislação aplicável; como atualizações na LGPD ou novas resoluções da ANPD.

O prestador de TI pode ser responsabilizado por não ter orientado o cliente sobre PSI?

Depende do contrato e da natureza do serviço prestado. Em contratos de gestão de TI ou MSSP, a ausência de orientação sobre segurança pode ser entendida como negligência. A PSI funciona como documentação de que o prestador cumpriu seu papel consultivo; protegendo ambos os lados.

A Starti Group é referência em cibersegurança, proteção de borda, gerenciamento e infraestrutura para PMEs e MSPs no Brasil. Com a vertical Vituax by Starti, o grupo passa a oferecer infraestrutura de nuvem privada de ponta a ponta para o mercado corporativo — com o suporte consultivo que os hyperscalers globais não entregam.