Perguntas Frequentes sobre Cibersegurança

O que é cibersegurança e por que minha empresa precisa disso?

Cibersegurança é o conjunto de práticas, tecnologias e processos que protegem sistemas, redes e dados contra ataques, danos ou acesso não autorizado. Sua empresa precisa porque praticamente qualquer operação hoje depende de sistemas digitais — e onde há dados, há risco. Pequenas e médias empresas são alvos frequentes justamente porque tendem a ter defesas mais fracas que grandes corporações, enquanto possuem dados valiosos.

Minha empresa é pequena. Hackers realmente me atacariam?

Sim — e com frequência. A maioria dos ataques a PMEs não são direcionados: são automatizados. Robôs varrem a internet buscando sistemas vulneráveis 24 horas por dia. Se o seu servidor de e-mail, VPN ou site tem uma falha conhecida, ele será explorado independentemente do tamanho da sua empresa. Além disso, PMEs muitas vezes são atacadas como porta de entrada para grandes empresas da cadeia de suprimentos.

Qual é a diferença entre antivírus e cibersegurança?

O antivírus é uma ferramenta — e uma ferramenta que, sozinha, não é suficiente. Cibersegurança é uma disciplina completa que inclui proteção de endpoints, segurança de rede, gestão de identidade, monitoramento, resposta a incidentes, treinamento de pessoas, políticas e conformidade regulatória. É a diferença entre ter uma tranca e ter um sistema de segurança integrado.

Com que frequência as empresas brasileiras sofrem ataques cibernéticos?

O Brasil está consistentemente entre os países mais atacados do mundo. Em 2025, o Brasil registrou mais de 700 bilhões de tentativas de ataques cibernéticos. PMEs são alvos em mais de 40% dos casos documentados — e muitos ataques nunca são reportados publicamente.

O que é a LGPD na prática?

A LGPD (Lei Geral de Proteção de Dados, Lei nº 13.709/2018) é a lei brasileira que regula como empresas podem coletar, usar, armazenar e compartilhar dados pessoais. Na prática, isso significa que você precisa ter base legal para tratar dados de clientes e funcionários, informar as pessoas sobre como usa os dados, garantir que elas possam exercer direitos (acesso, correção, exclusão) e proteger esses dados contra vazamentos.

Minha empresa pode ser multada pela LGPD?

Sim. A ANPD (Autoridade Nacional de Proteção de Dados) já aplica sanções desde 2023. As multas vão de advertência até 2% do faturamento bruto, limitado a R$ 50 milhões por infração. Além da multa, a ANPD pode determinar a suspensão ou bloqueio do banco de dados — o que pode paralisar operações.

Quanto tempo leva para adequar minha empresa à LGPD?

Depende do tamanho e complexidade da operação. Para uma PME com até 50 funcionários e operações simples, um projeto de adequação básica leva entre 60 e 90 dias. Empresas maiores, com múltiplos sistemas e processamento de dados sensíveis (saúde, financeiro), podem levar de 4 a 6 meses para uma adequação completa.

Toda empresa precisa de um DPO (Encarregado de Dados)?

A LGPD exige que toda organização que processa dados pessoais designe um encarregado — mas não determina que seja um funcionário interno. Empresas pequenas podem contratar um DPO externo (DPO as a Service), que exerce a função por uma fração do custo de uma contratação CLT.

Minha empresa sofreu um vazamento de dados. O que devo fazer?

Entre em contato com um especialista imediatamente. A LGPD exige notificação à ANPD em prazo definido quando o vazamento representa risco aos titulares. Uma resposta bem documentada pode mitigar significativamente as sanções. A Black Ghost oferece suporte emergencial para incidentes de dados pessoais.

Tenho um site com formulário de contato. Preciso me adequar à LGPD?

Sim. Qualquer coleta de dados pessoais — mesmo um simples nome e e-mail — está sujeita à LGPD. Você precisa de política de privacidade acessível, aviso de cookies (se aplicável) e base legal para o tratamento (geralmente consentimento ou legítimo interesse).

O que é pentest (teste de invasão)?

Pentest (penetration testing) é um teste autorizado onde especialistas tentam invadir seus sistemas usando as mesmas técnicas de hackers reais. O objetivo é encontrar vulnerabilidades antes que pessoas mal-intencionadas o façam. Ao final, você recebe um relatório detalhado com os problemas encontrados e como corrigi-los.

Meu site tem SSL (cadeado verde). Isso significa que é seguro?

Não. O SSL/HTTPS apenas protege a comunicação entre o navegador do usuário e o servidor — impede que terceiros interceptem os dados em trânsito. Isso não significa que o site está livre de vulnerabilidades como SQL Injection, XSS, falhas de autenticação ou exposição de dados no servidor. Um site com HTTPS pode ser completamente vulnerável a um pentest.

Com que frequência devo fazer pentest?

Como referência, no mínimo uma vez por ano. Porém, idealmente, você deveria fazer pentest após mudanças significativas nos sistemas (novo módulo, migração de cloud, novo ERP), antes de lançamentos importantes, após incidentes de segurança e quando exigido por compliance (LGPD, PCI-DSS, contratos com grandes clientes).

Qual é a diferença entre pentest e vulnerability assessment (VA)?

O vulnerability assessment é uma varredura automatizada que lista potenciais vulnerabilidades com base em assinaturas conhecidas. O pentest vai além: um profissional humano analisa os resultados, filtra falsos positivos, encadeia vulnerabilidades e tenta explorar os problemas encontrados — mostrando o impacto real. O VA responde 'o que pode ser vulnerável'. O pentest responde 'o que realmente pode ser explorado e com que impacto'.

Quanto custa um pentest?

O investimento varia conforme o escopo. Aplicações web simples começam a partir de R$ 3.500. Testes de infraestrutura, ambientes cloud e projetos de red team custam mais. Pense assim: o custo de um pentest é uma fração do custo médio de um incidente real — que no Brasil supera R$ 1,35 milhão para médias empresas.

O que é ransomware?

Ransomware é um tipo de malware que criptografa os arquivos da empresa e exige pagamento (geralmente em criptomoeda) para liberar a chave de descriptografia. Grupos criminosos modernos também roubam os dados antes de criptografar e ameaçam publicá-los caso o resgate não seja pago ('double extortion').

Devo pagar o resgate em caso de ransomware?

Nossa recomendação é: não pague sem antes consultar especialistas. Motivos: pagar não garante que você receberá a chave, mesmo com a chave os sistemas precisam ser reconstruídos de forma segura, empresas que pagam frequentemente são atacadas novamente e pode haver implicações legais dependendo do grupo criminoso.

Fazer backup é suficiente para me proteger de ransomware?

Backups são essenciais, mas não suficientes sozinhos. Os grupos de ransomware modernos buscam e destroem backups antes de acionar a criptografia. A proteção adequada inclui backups imutáveis, separados da rede principal (air-gapped), testados regularmente, combinados com detecção precoce (EDR) e segmentação de rede.

Em quanto tempo uma empresa se recupera de um ataque de ransomware?

Sem planejamento prévio: entre 15 e 30 dias para retomar operações básicas, e meses para recuperação completa. Com um plano de resposta a incidentes adequado, backups testados e suporte especializado: de 48 horas a 7 dias.

Quanto custa uma consultoria de cibersegurança?

Varia muito conforme o serviço. Como referência:

• Adequação LGPD (projeto): R$ 5.000 a R$ 25.000 (dependendo do porte)
• DPO as a Service (mensal): a partir de R$ 800/mês
• Pentest de aplicação web: a partir de R$ 3.500
• Monitoramento SOC (mensal): a partir de R$ 890/mês para PMEs
• Resposta a incidentes: sob consulta (urgência define o investimento)

Cibersegurança é só para empresas grandes?

Absolutamente não. PMEs são as que mais sofrem com ataques e as que menos estão preparadas. A Black Ghost foi criada especificamente para atender PMEs com serviços de qualidade enterprise a preços acessíveis.

Como funciona um projeto de cibersegurança com a Black Ghost?

Etapas típicas de um projeto:

• Diagnóstico inicial gratuito (chamada de 30-60 minutos)
• Proposta personalizada com escopo, entregáveis, prazo e investimento
• Assinatura de NDA e acordo de autorização (no caso de pentest)
• Execução do projeto com comunicação direta com o responsável técnico
• Entrega dos relatórios e reunião de apresentação
• Suporte pós-entrega para remediação

A Black Ghost atende fora de Belo Horizonte?

Sim. A maioria dos nossos projetos é realizada remotamente. Para projetos que requerem presença física, atendemos Minas Gerais e, mediante consulta, outros estados.

O que é phishing e como me proteger?

Phishing é uma tentativa de enganar pessoas para que cliquem em links maliciosos ou forneçam credenciais e dados sensíveis, geralmente via e-mail, SMS ou WhatsApp. Para se proteger: desconfie de urgência excessiva, verifique o domínio do remetente, nunca insira senhas em links recebidos por e-mail sem verificar a URL e use autenticação multifator (MFA) em todas as contas importantes.

O que é MFA e por que é tão importante?

MFA (Autenticação Multifator) exige que você prove sua identidade de mais de uma forma — geralmente senha + código temporário. Mesmo que sua senha seja roubada ou vazada, o atacante não consegue acessar sua conta sem o segundo fator.

Meus funcionários são um risco de segurança?

Sim — e não por maldade, mas por desconhecimento. A maioria dos incidentes tem algum elemento humano: um funcionário clicou em phishing, usou uma senha fraca ou conectou um HD pessoal infectado. Treinamentos de conscientização regulares, combinados com tecnologia (MFA, EDR, filtros de e-mail), reduzem drasticamente esse risco.