Política de segurança da informação para pequena empresa: modelo simples em 10 regras

Atualizado em 3 de novembro de 2026 · Leitura de 5 min

Edson Feitosa de Oliveira Junior Fundador e Engenheiro Líder · PruPru Digital Services

Quando se fala em política de segurança da informação, muita gente pensa em documentos enormes, cheios de normas técnicas, feitos para grandes empresas. Para um escritório de cinco ou vinte pessoas, isso não funciona: ninguém lê e nada muda. O que funciona é um documento curto, com regras claras, que caiba em uma ou duas páginas e seja explicado pessoalmente para a equipe.

A proposta deste guia é exatamente essa: dez regras que cobrem os riscos mais comuns de pequenas empresas, com a explicação de por que cada uma existe. Adapte à sua realidade, imprima, explique e peça para cada pessoa assinar.

Por que ter uma política escrita

• Deixa claro o que é esperado. Sem regra escrita, cada funcionário age como acha melhor.
• Ajuda a cumprir a LGPD, que exige medidas de segurança proporcionais aos dados tratados. Veja o básico da LGPD para pequenas empresas.
• Dá base para cobrar quando alguém descumpre.
• Facilita o treinamento de quem chega.

As 10 regras da política de segurança da informação

1. Cada pessoa tem o seu próprio login

Nada de senha compartilhada no computador, no sistema ou no e-mail. Logins individuais mostram quem fez o quê e permitem bloquear o acesso de uma pessoa sem afetar as outras. Veja conta de administrador ou padrão.

2. Senhas longas e um gerenciador de senhas

Senhas com pelo menos 12 caracteres, diferentes para cada serviço, guardadas em um gerenciador de senhas. Nada de post-it no monitor ou planilha chamada "senhas.xlsx". O porquê está em senha forte e gerenciador de senhas.

3. Verificação em duas etapas obrigatória

Em e-mail, redes sociais da empresa, banco, sistema de gestão e domínio. O passo a passo está em como ativar a verificação em duas etapas.

4. Ninguém instala programas por conta própria

Programas só são instalados pelo responsável de TI ou com autorização dele. Nada de software pirata, que é uma das principais portas de entrada de vírus.

5. Atualizações não são adiadas indefinidamente

Windows, navegadores e programas são atualizados assim que possível. Computadores com sistema sem suporte são substituídos com data definida. Veja fim do suporte ao Windows 10.

6. Desconfie antes de clicar

Links e anexos inesperados, mesmo de contatos conhecidos, são confirmados por outro canal antes de abrir. Pedidos de pagamento, troca de dados bancários de fornecedores ou transferências urgentes são sempre confirmados por telefone com um número já conhecido. Reveja como identificar e-mail de phishing.

7. Arquivos da empresa ficam em local da empresa

Documentos de trabalho ficam na pasta compartilhada ou na nuvem da empresa, não no WhatsApp pessoal, no pendrive particular ou no Google Drive pessoal do funcionário. Isso garante backup e evita perder tudo quando alguém sai.

8. Backup automático e testado

Os dados importantes têm backup diário automático, com uma cópia fora do escritório. Uma vez por mês, alguém testa a restauração de um arquivo. Veja backup automático na nuvem.

9. Dados de clientes só para quem precisa

Cada pessoa acessa apenas os dados de que precisa para o próprio trabalho. Planilhas com CPF, endereços ou dados de saúde de clientes não circulam por e-mail ou WhatsApp sem necessidade.

10. Incidentes são comunicados na hora

Clicou em um link suspeito? Perdeu o celular da empresa? Recebeu um pedido estranho? Avise imediatamente, sem medo de punição. Um incidente comunicado em cinco minutos é muito mais fácil de conter do que um descoberto uma semana depois.

Como apresentar para a equipe

1. Faça uma reunião curta, de 30 minutos, explicando cada regra com exemplos reais, como golpes que aconteceram com conhecidos.
2. Explique o porquê. Regras sem justificativa parecem burocracia e são ignoradas.
3. Dê os meios. Se a regra é usar gerenciador de senhas, instale e ensine. Se é salvar na pasta compartilhada, mostre onde fica.
4. Peça a assinatura de cada pessoa em uma cópia impressa.
5. Inclua na integração de novos funcionários.

Complementos importantes

• Uso de celulares pessoais: se funcionários acessam e-mail ou sistemas da empresa pelo celular pessoal, exija bloqueio de tela e atualizações. Para empresas maiores, vale considerar gerenciamento de dispositivos móveis.
• Saída de funcionários: tenha um checklist de acessos a remover. Veja acessos quando um funcionário sai da empresa.
• Trabalho remoto: Wi-Fi doméstico com senha forte e, quando for o caso, VPN. Veja VPN para pequenas empresas.

Revise uma vez por ano

Reserve uma data no calendário, como o início do ano, para revisar a política: novos sistemas, novos riscos, regras que não estão sendo seguidas. Uma política viva, revisada e lembrada vale mais que um documento perfeito esquecido na gaveta. Para medir onde a empresa está hoje, faça o checklist de segurança digital.

Perguntas frequentes