Requisitos mínimos de seguradoras: multifator, backup, EDR e outros controles
Veja os controles de segurança que seguradoras costumam exigir para aceitar um seguro cyber, como implantá-los com baixo custo e como comprovar cada um na subscrição.
As seguradoras de riscos cibernéticos não aceitam qualquer empresa em qualquer condição. Os controles mais cobrados são autenticação multifator (MFA), backup isolado e testado, proteção de endpoints com EDR, gestão de atualizações e plano de resposta a incidentes, além de treinamento e segregação de acessos. Quem tem esses itens tende a ter propostas mais fáceis de obter e condições melhores. Este guia explica por que cada requisito existe, como implementá-lo sem gastar muito e como comprová-lo. Os requisitos exatos variam por seguradora; use esta lista como referência de preparação, não como garantia.
Por que as seguradoras exigem controles
Perdas cibernéticas se concentram em poucos vetores recorrentes: credenciais comprometidas, phishing, falhas sem atualização e ransomware que apaga backups. Os controles abaixo interrompem esses vetores. Para a seguradora, exigir controles é uma forma de selecionar riscos e reduzir a frequência e a gravidade dos sinistros. Para a empresa, são também as medidas de maior retorno em segurança.
Os principais requisitos
1. Autenticação multifator (MFA). Exigida em e-mail corporativo, acesso remoto (VPN, área de trabalho remota), contas administrativas e acessos privilegiados, além de sistemas na nuvem. Um segundo fator evita que a senha vazada, por si só, dê acesso. Prefira aplicativos autenticadores ou chaves de segurança a SMS, que é mais fraco. Muitas ferramentas de e-mail e nuvem já incluem MFA sem custo adicional.
2. Backup isolado e testado. Cópias regulares, com pelo menos uma versão fora da rede principal ou imutável, protegida contra alteração e exclusão. Pergunte-se: se todos os servidores forem criptografados hoje, em quanto tempo recupero? Faça teste de restauração periódico e registre o resultado. Backup nunca testado é aposta.
3. Proteção de endpoints (EDR) ou antivírus de nova geração. Implantada em estações e servidores, com console central e monitoramento. Algumas seguradoras exigem EDR gerenciado ou MDR em empresas maiores. Veja serviços gerenciados de segurança.
4. Gestão de patches e vulnerabilidades. Rotina de atualização para sistemas operacionais, aplicativos e dispositivos de borda (firewalls, VPNs, roteadores), com prazo para correções críticas. Muitas invasões exploram falhas conhecidas com correção disponível.
5. Filtro de e-mail e proteção contra phishing. Bloqueio de anexos e links maliciosos, autenticação de domínio (SPF, DKIM, DMARC) e sinalização de e-mails externos.
6. Segmentação de rede e privilégio mínimo. Evita que uma conta ou máquina invadida dê acesso a tudo. Contas administrativas separadas das contas de uso diário.
7. Plano de resposta a incidentes. Documento com papéis, contatos, decisões e passos, testado ao menos em simulação simples. Inclui o contato da seguradora e do corretor.
8. Treinamento de conscientização. Treinamentos periódicos e simulações de phishing, com registro de participação.
9. Procedimento contra fraude de pagamento. Dupla checagem por telefone ou outro canal conhecido antes de alterar dados bancários ou fazer transferências fora do padrão.
10. Gestão de fornecedores e acessos de terceiros. Controle e revisão de acessos de prestadores, com MFA e registro.
Tabela: requisito, esforço e como comprovar
| Requisito | Esforço típico | Como comprovar na subscrição |
|---|---|---|
| MFA em e-mail e acesso remoto | Baixo a médio | Captura de tela da política, relatório de usuários com MFA |
| Backup isolado | Médio | Descrição da arquitetura e relatório de último teste de restauração |
| EDR/antivírus | Baixo a médio | Relatório do console com cobertura de dispositivos |
| Gestão de patches | Médio | Política, relatório de vulnerabilidades e de aplicação |
| Filtro de e-mail | Baixo | Configuração e relatório de bloqueios |
| Segmentação e privilégio mínimo | Médio a alto | Diagrama de rede e revisão de contas privilegiadas |
| Plano de resposta | Baixo | Documento versionado, lista de contatos e registro de simulação |
| Treinamento | Baixo | Lista de presença e relatórios de simulação |
| Controle de pagamentos | Baixo | Procedimento escrito e treinamento |
Como implantar com orçamento limitado
- Comece por MFA e backup. São os de maior efeito por real investido e, muitas vezes, os mais exigidos.
- Aproveite recursos já licenciados. Plataformas de e-mail e de produtividade costumam incluir MFA, políticas de acesso condicional e filtros.
- Padronize atualizações com ferramentas de gerenciamento e janelas de manutenção.
- Documente enquanto implanta. Cada política e relatório vira evidência futura.
- Priorize por risco: primeiro sistemas que sustentam a receita e que guardam dados sensíveis.
O que fazer quando faltam requisitos
- Ser transparente: declarar a lacuna e apresentar plano com prazos pode ser melhor do que declarar o que não existe.
- Pedir condições temporárias: algumas seguradoras aceitam com prazo para implantar o controle.
- Aceitar condições mais restritivas: sublimites ou franquias maiores, até a regularização.
- Buscar outra seguradora ou produto mais adequado ao seu porte.
O que você declara integra o contrato: declarações inexatas podem comprometer a cobertura (Lei nº 15.040/2024). Veja como preencher o questionário de subscrição.
Requisitos e LGPD
A LGPD impõe a adoção de medidas de segurança técnicas e administrativas aptas a proteger os dados pessoais (art. 46). Os controles acima ajudam a demonstrar essa diligência. Para boas práticas, referências como ABNT NBR ISO/IEC 27001 e 27002, o NIST Cybersecurity Framework e os controles CIS são pontos de partida comuns, e o CERT.br publica cartilhas em português.
Quando procurar ajuda profissional
Consultores de segurança podem avaliar o ambiente e priorizar controles; corretores informam o que cada seguradora costuma exigir; advogados ajudam a redigir declarações e cláusulas de garantia.
Perguntas frequentes
Sem MFA consigo seguro?
Pode ser difícil, ou com condições restritivas. É um dos requisitos mais comuns.
Backup em nuvem já basta?
Depende. Se a cópia na nuvem está acessível com as mesmas credenciais da rede invadida, pode ser apagada. O isolamento e a imutabilidade são o ponto-chave.
Pequenas empresas precisam de EDR?
Muitas seguradoras aceitam antivírus de nova geração para pequenas empresas, mas EDR é cada vez mais pedido. Pergunte ao corretor.
Preciso de certificação ISO 27001?
Não é exigência geral, mas pode ajudar em empresas maiores ou em contratos específicos.
