Assessment de Segurança de TI: Como Avaliar os Riscos do Seu Ambiente
Guia prático para avaliar a postura de segurança da sua empresa. 8 vetores de risco, framework de classificação por severidade e roadmap de remediação.
Segurança de TI não é um estado — é um processo contínuo. Mas como saber onde você está nesse processo? Como priorizar investimentos quando tudo parece urgente?
A resposta é um assessment estruturado: uma avaliação metodológica que classifica riscos por severidade e transforma a análise em um plano de ação executável.
Por Que Avaliar por Vetores de Risco
O erro mais comum em segurança é pensar em ferramentas isoladas: “temos antivírus”, “temos firewall”, “temos backup”. Ferramentas são componentes. O que importa é a postura de segurança — e ela se avalia por vetores de risco.
Um vetor de risco é uma área de exposição que, se explorada, resulta em impacto para o negócio. Avaliamos 8 vetores fundamentais:
Os 8 Vetores de Risco
1. Identidade e Acesso
O vetor mais crítico em PMEs. Com trabalho remoto e cloud, o perímetro tradicional (firewall) perdeu relevância. Hoje, identidade é o novo perímetro.
O que avaliar:
- MFA está implementado em todos os acessos críticos?
- Princípio de menor privilégio é aplicado?
- Existe processo de offboarding no mesmo dia?
- Senhas fortes são enforced (não apenas recomendadas)?
Por que é o #1: Uma credencial comprometida sem MFA dá acesso direto ao ambiente. 80% dos ataques bem-sucedidos começam por credenciais fracas ou roubadas.
2. Endpoint e Dispositivos
Cada notebook, desktop e celular que acessa seus sistemas é uma porta de entrada. Endpoints são o alvo preferido de ransomware.
O que avaliar:
- EDR (não apenas antivírus) está em todos os dispositivos?
- Patching tem ciclo definido (72h para críticos)?
- Criptografia de disco está ativa?
- Existe MDM para dispositivos móveis?
3. Email e Phishing
Email é o vetor de ataque mais utilizado no mundo. Phishing representa a porta de entrada para a maioria dos incidentes.
O que avaliar:
- SPF, DKIM e DMARC estão configurados?
- Proteção anti-phishing vai além do anti-spam básico?
- Existe programa de simulação de phishing?
- Usuários sabem reportar emails suspeitos?
4. Rede e Perímetro
A rede conecta tudo e, se não estiver segmentada, permite que um atacante se mova livremente pelo ambiente.
O que avaliar:
- Firewall tem regras revisadas recentemente?
- Rede está segmentada (VLANs, ACLs)?
- Acesso remoto é feito por VPN com MFA?
- Portas desnecessárias (como RDP) estão fechadas?
Alerta: RDP exposto na internet sem VPN é o vetor #1 de ransomware em empresas brasileiras. Se você tem RDP aberto, feche agora.
5. Dados e Backup
Dados são o ativo mais valioso. Perdê-los por falha de backup ou vazá-los por falta de criptografia pode acabar com um negócio.
O que avaliar:
- Backup segue a regra 3-2-1?
- Testes de restore são feitos mensalmente?
- Dados sensíveis são criptografados em repouso?
- Existe classificação de dados implementada?
6. Cloud e SaaS
Se usa Microsoft 365, AWS, Azure ou qualquer SaaS, a segurança cloud precisa ser gerenciada ativamente. O provedor protege a infraestrutura; você protege os dados e acessos.
O que avaliar:
- Contas admin de cloud têm MFA obrigatório?
- Logs de auditoria estão habilitados e monitorados?
- Shadow IT (SaaS não autorizados) é controlado?
- Permissões IAM são revisadas periodicamente?
7. Resposta a Incidentes
A questão não é se um incidente vai acontecer, mas quando. A diferença entre uma crise de 2 horas e uma de 2 semanas está na preparação.
O que avaliar:
- Existe plano de resposta documentado?
- O plano foi testado (tabletop exercise)?
- Monitoramento centralizado detecta anomalias?
- Existe lista de contatos de emergência atualizada?
8. Compliance e LGPD
Conformidade regulatória não é opcional. A LGPD exige medidas técnicas e organizacionais para proteger dados pessoais, e as multas podem chegar a 2% do faturamento.
O que avaliar:
- Inventário de dados pessoais está documentado?
- DPO (Encarregado) está nomeado?
- Existe plano de resposta a vazamento de dados?
- Gestão de consentimento está implementada?
Classificação por Severidade
Após avaliar cada vetor, classifique o risco em 4 níveis:
Crítico (score < 4/10) — Vulnerabilidade ativa que pode ser explorada imediatamente. Requer ação na semana 1. Exemplos: sem MFA, RDP exposto, sem backup offsite.
Alto (score 4-6/10) — Controles insuficientes com exposição significativa. Ação em 1-3 meses. Exemplos: antivírus sem EDR, rede sem segmentação, DMARC não configurado.
Moderado (score 7-8/10) — Controles implementados com espaço para melhoria. Ação em 3-12 meses. Exemplos: MFA sem Conditional Access, backup sem teste automatizado.
Baixo (score > 8/10) — Postura forte com controles maduros. Manter e evoluir continuamente.
O Roadmap de Remediação
A classificação por severidade se transforma naturalmente em um roadmap de 3 fases:
Fase 1: Imediato (Semana 1-2)
Trate todos os vetores classificados como Críticos. São as vulnerabilidades que podem ser exploradas hoje. Ações típicas:
- Habilitar MFA em todos os acessos
- Fechar portas RDP/SSH expostas
- Implementar backup offsite
- Atualizar sistemas com patches críticos pendentes
Fase 2: Curto Prazo (1-3 meses)
Trate os vetores classificados como Alto. São melhorias significativas que reduzem a superfície de ataque:
- Migrar de antivírus para EDR
- Segmentar a rede com VLANs
- Configurar SPF/DKIM/DMARC
- Documentar plano de resposta a incidentes
Fase 3: Médio Prazo (3-12 meses)
Evolua os vetores classificados como Moderado. São investimentos estratégicos em maturidade:
- Implementar SIEM ou MDR para monitoramento 24x7
- Programa completo de compliance LGPD
- Zero Trust (ZTNA, Conditional Access)
- Pentests e simulações regulares
Autoassessment vs. Assessment Profissional
Ambos têm valor, para momentos diferentes:
Autoassessment (como o Assessment de Segurança online) é ideal para:
- Primeiro diagnóstico rápido (5 minutos)
- Identificar lacunas óbvias
- Comunicar riscos para a diretoria
- Acompanhamento trimestral da evolução
Assessment profissional é recomendado quando:
- O autoassessment revelou múltiplos vetores críticos
- A empresa está em setor regulado (financeiro, saúde)
- Há suspeita de incidente recente
- Preparação para certificação (ISO 27001, SOC 2)
Próximos Passos
- Faça o assessment — Use o Assessment de Segurança para ter uma visão inicial dos riscos em 5 minutos
- Use o checklist — O Checklist de Segurança detalha os controles específicos por categoria
- Priorize — Foque nos vetores críticos primeiro. Perfeição é inimiga do progresso em segurança
- Reavalie — Repita o assessment trimestralmente para medir evolução
A segurança que importa não é a que está no slide — é a que está implementada. Comece pelo que é urgente, evolua para o que é estratégico.
Perguntas frequentes
Qual a diferença entre assessment de segurança e pentest?
Assessment avalia controles e processos de segurança através de perguntas e verificação — identifica lacunas na postura de defesa. Pentest testa tecnicamente se as defesas funcionam, tentando explorar vulnerabilidades reais. O assessment diz o que falta; o pentest valida o que existe.
Com que frequência devo fazer um assessment de segurança?
Formalmente, pelo menos uma vez por ano. Recomendamos trimestral para empresas com dados sensíveis ou em setores regulados. Adicionalmente, sempre que houver mudança significativa no ambiente (migração cloud, nova aplicação, aquisição).
Preciso contratar uma consultoria para fazer o assessment?
O autoassessment (como nossa ferramenta gratuita) é um bom ponto de partida para identificar lacunas óbvias. Para um diagnóstico profissional com análise técnica, recomendações customizadas e validação prática, uma consultoria especializada agrega valor significativo.