Pense no que a sua empresa guarda. Planta baixa de cada cliente com os pontos de acesso. A escala completa, que mostra qual posto fica com um vigilante só na madrugada de domingo. Senha de alarme, código de portão, contato do síndico, imagem de câmera. Dado pessoal de centenas ou milhares de funcionários e visitantes: CPF, endereço, foto, biometria às vezes. Tudo junto, num punhado de computadores e celulares — e é por isso que segurança da informação em empresa de segurança virou parte do serviço.
Isso não é um assunto de TI, e sim a continuação do que você vende. Quem consegue a escala de um cliente sabe a hora exata de agir, e quem consegue a base de contatos consegue se passar por você. A prestadora que protege os outros é, por definição, um alvo de alto valor — e costuma estar bem menos protegida do que os locais que vigia.
Segurança da informação na empresa de segurança: as portas que ficam abertas
Não estamos falando de ataque sofisticado. As entradas mais usadas são banais.
A senha colada no monitor da guarita. O sistema é acessado por vários vigilantes ao longo do dia, então alguém criou um acesso único, com uma senha fácil, e escreveu num papel para ninguém esquecer. A partir daí, todo registro perde valor probatório: não dá para saber quem fez o quê. É a falha mais comum e a mais fácil de corrigir — cada pessoa com o próprio acesso, sempre.
O ex-funcionário que ainda entra. Vigilante desligado há quatro meses cujo acesso ao aplicativo nunca foi cancelado. Supervisor que saiu para a concorrência e ainda recebe os relatórios no e-mail antigo. Cancelamento de acesso precisa fazer parte do processo de desligamento com a mesma seriedade da devolução do uniforme — no mesmo dia, com checklist assinado.
O celular do posto. Aparelho compartilhado, sem bloqueio de tela, com aplicativo logado e conversas de trabalho no histórico. Perdeu ou foi levado num assalto? Vai junto tudo o que estava aberto ali. Bloqueio obrigatório, sessão que expira e capacidade de derrubar o acesso daquele aparelho remotamente resolvem a maior parte disso.
O grupo de WhatsApp da operação. É onde circulam foto de ocorrência, endereço de cliente, escala e às vezes senha de alarme. É um canal fora do controle da empresa, com histórico no aparelho pessoal de cada um, que continua lá depois do desligamento.
O e-mail da administração. Um clique num anexo, e o mesmo computador que guarda contratos e planilha de folha vira a porta de entrada.
Acesso individual por pessoa não é burocracia: é o que permite saber quem consultou, quem alterou e quem registrou cada coisa.
O golpe que mais funciona contra empresa de segurança
É o mais simples: alguém se passa pelo gestor.
Chega uma mensagem no celular do supervisor, com o nome e às vezes a foto do responsável pela operação, dizendo que houve uma mudança urgente. Pode ser pedido de dados de um cliente, liberação de acesso, confirmação de escala ou instrução para transferir um pagamento. O texto tem pressa e desestimula a conferência: “estou em reunião, não consigo falar agora”.
Funciona porque explora exatamente a virtude do setor: obedecer rápido a quem tem autoridade.
A defesa é procedimental, não tecnológica:
- Regra de retorno. Pedido sensível recebido por mensagem só é atendido depois de retorno por um canal já conhecido — o número da agenda da empresa, não o número que enviou a mensagem.
- Lista curta do que nunca se pede por mensagem. Senha, código de alarme, dados de cliente, transferência. Se está na lista, a resposta padrão é ligar de volta.
- Autorização para desconfiar. O vigilante e o supervisor precisam saber, por escrito, que ninguém será repreendido por conferir. Sem isso, a hierarquia trabalha contra a segurança.
- Treinamento com exemplo real. Mostrar a mensagem que quase deu certo ensina mais do que qualquer cartilha.
Backup: o que você tem é uma esperança ou um plano?
Existem três estados possíveis, e a diferença entre eles é enorme.
Não tenho backup. Situação de risco existencial.
Tenho backup e nunca restaurei. É o caso mais comum e o mais perigoso, porque parece resolvido. Backup que nunca foi testado costuma falhar exatamente quando é necessário — o arquivo está corrompido, falta uma parte, ninguém sabe a senha da cópia.
Tenho backup, restaurei e sei quanto tempo leva. Isso é um plano.
Três características fazem a diferença: a cópia precisa estar fora do alcance da rede do dia a dia (senão o mesmo ataque leva o original e a cópia), precisa ser automática (memória humana não é agenda) e precisa ser testada com periodicidade combinada, com o tempo de restauração anotado. Vale escrever, também, quanto trabalho você aceita perder — uma hora, um dia — porque isso define a frequência.
O dia em que o sistema for sequestrado
Vale escrever um plano curto, de uma página, e deixá-lo impresso. Impresso, sim: se o sistema está inacessível, um plano guardado dentro dele não serve para nada.
Ele precisa responder:
- Quem decide. Uma pessoa, com um substituto nomeado.
- O que se desliga primeiro para conter a propagação, e quem tem autoridade para desligar.
- Como a operação continua no papel. Quais postos, quais telefones, qual escala impressa, onde estão as chaves. Uma empresa de segurança não pode parar porque o sistema parou.
- Quem se comunica com clientes, com que mensagem e em quanto tempo. Silêncio destrói contrato mais rápido do que o incidente.
- Quem se comunica com os titulares dos dados e com as autoridades. No Brasil, o marco de proteção de dados é a LGPD e a autoridade é a ANPD; há deveres de comunicação em caso de incidente, cujos detalhes evoluem e dependem do caso. Combine isso previamente com assessoria jurídica — este texto não é orientação jurídica.
- Nunca improvisar sobre pagar resgate. Essa decisão precisa ter posição definida antes, com jurídico e direção.
Uma cópia impressa da escala da semana é o plano de contingência mais barato que existe — e o mais esquecido.
Higiene mínima, na ordem em que rende mais
Se você só puder fazer poucas coisas, faça estas, nesta ordem:
- Acesso individual para todo mundo. Fim do usuário compartilhado na guarita.
- Cancelamento de acesso no dia do desligamento, com responsável nomeado.
- Verificação em duas etapas no e-mail da administração e nos sistemas críticos.
- Backup automático, fora da rede, restaurado uma vez para valer.
- Permissão por função. O vigilante do posto não precisa enxergar a escala inteira da empresa nem a base de clientes. Quanto menos gente vê tudo, menor o estrago de um acesso comprometido.
- Celular do posto com bloqueio e sessão que expira.
- Regra de retorno para pedido sensível, treinada com exemplos.
- Registro de quem acessou o quê, para que uma investigação seja possível.
Boa parte disso não custa dinheiro — custa decisão e disciplina. E é o mesmo raciocínio que você já aplica no mundo físico: controle de acesso, registro, segregação de função e plano de contingência. A diferença é que na guarita todo mundo entende por que a porta fica trancada, e no sistema quase ninguém questiona por que a senha é a mesma para dez pessoas.
Um sistema de operação bem desenhado ajuda: com o aplicativo para vigilantes cada pessoa entra com o próprio acesso, o controle de ponto fica ligado a quem realmente fichou, e o portal do cliente substitui o envio de planilha por e-mail — que é, hoje, um dos maiores vazadores de dado do setor.
Perguntas frequentes
Empresa pequena precisa se preocupar com isso? Precisa, e às vezes mais. Ataque em massa não escolhe alvo por tamanho, e a empresa pequena costuma ter menos capacidade de sobreviver a uma semana parada.
Usar WhatsApp na operação é errado? É um canal prático e difícil de eliminar, mas não deve ser o lugar onde ficam dados de cliente, escala e evidência. O caminho realista é combinar o que pode circular ali e mover o registro oficial para um sistema com acesso controlado.
Com que frequência devo testar o backup? Combine uma periodicidade e cumpra. O importante é que exista pelo menos uma restauração real feita, com o tempo cronometrado e anotado.
O que fazer quando um vigilante é desligado? Cancelar o acesso no mesmo dia, junto com a devolução de material, e registrar isso num checklist. Acesso esquecido é o vetor mais silencioso que existe.
Se hoje a sua operação roda em planilha, grupo de mensagem e senha compartilhada, o primeiro passo não é comprar antivírus: é dar acesso individual a cada pessoa e deixar registro de tudo o que acontece. O CGuardPro nasceu com essa lógica.