O Instituto Nacional de Padrões e Tecnologia (NIST) divulgou novas orientações de cibersegurança para ajudar empreendedores que atuam sozinhos a se protegerem contra ameaças como phishing, ransomware e comprometimento de contas.
Publicado em 2 de novembro de 2026, o documento técnico NIST Cybersecurity White Paper 50 simplifica o Framework de Cibersegurança 2.0 e oferece ações práticas para empresas com infraestrutura de TI limitada.
A publicação, Cibersegurança para Pequenas Empresas: Empresas Sem Funcionários, é voltada a freelancers, prestadores de serviço independentes, empresários individuais e outros negócios sem funcionários remunerados além dos próprios donos. Suas recomendações também podem ajudar empresas com equipes muito pequenas e recursos técnicos limitados.
Diferentemente de uma lista de verificação de conformidade, o guia oferece um ponto de partida que os donos podem adaptar ao seu setor, aos seus recursos e às suas obrigações contratuais. Ele organiza as atividades em seis funções: Governar, Identificar, Proteger, Detectar, Responder e Recuperar.
Novas diretrizes do NIST
O NIST dá prioridade à autenticação e recomenda a autenticação multifator resistente a phishing sempre que estiver disponível, especialmente para e-mail, bancos, gerenciadores de senhas, armazenamento de arquivos sensíveis e serviços de nuvem essenciais para o negócio. A orientação prefere chaves de acesso (passkeys) ao uso de senhas e recomenda senhas fortes e únicas, com pelo menos 15 caracteres, quando elas ainda forem necessárias.
O documento explica que alguns métodos de autenticação multifator (MFA) ainda são suscetíveis a phishing. Por isso, a ativação de um fator adicional deve andar junto com a escolha cuidadosa dos mecanismos de autenticação, e não partir da premissa de que toda implementação oferece proteção equivalente.
Diante de mensagens suspeitas, os donos devem fazer uma pausa antes de clicar em links, baixar anexos, transferir recursos ou divulgar informações sensíveis. Verifique pedidos que envolvam alterações de faturas, dados bancários ou pagamentos urgentes usando informações de contato confiáveis, obtidas de forma independente da mensagem.
Essas precauções aliam conscientização a salvaguardas técnicas na prevenção mais ampla de ataques cibernéticos. O NIST também recomenda treinamento de conscientização em segurança pelo menos uma vez por ano e a revisão regular das permissões de contas, para evitar acessos desnecessários a ativos sensíveis do negócio.
O guia alerta que a exposição a ransomware vai além de arquivos e redes locais e alcança contas em nuvem e plataformas de software como serviço (SaaS). Suas recomendações defensivas combinam contas de usuário padrão, atualizações de software feitas com rapidez, execução apenas de aplicativos autorizados e software de detecção de malware mantido sempre atualizado.
Os donos devem configurar bloqueios de conta ou atrasos na autenticação para resistir à adivinhação automatizada de senhas. Produtos que bloqueiam domínios maliciosos conhecidos, endereços IP, portas e protocolos podem oferecer proteção adicional, complementando princípios consolidados de segurança de redes.
Os backups recebem atenção especial. O NIST recomenda múltiplas cópias, incluindo uma em um meio desconectado do dispositivo protegido, junto com salvaguardas que protejam e isolem dados importantes. Testes periódicos de restauração ajudam a verificar se essas cópias funcionarão durante um incidente real.
O guia também orienta as empresas a substituir sistemas sem suporte, alterar as senhas padrão de fabricantes e fazer o inventário de hardware, software, dados e serviços de terceiros essenciais.
Para detecção, os donos devem ativar os registros de atividade disponíveis, notificações de login, alertas de redefinição de senha e alertas de transações bancárias. O monitoramento de alterações em registros de domínio também pode ajudar a identificar atividades suspeitas que afetem os serviços do negócio.
Em caso de incidente, as medidas de contenção recomendadas incluem desconectar os dispositivos afetados, isolar sistemas comprometidos e revogar sessões. A recuperação deve evitar dispositivos e contas suspeitos. Antes de restabelecer as operações, os donos devem validar os backups e verificar as configurações de MFA, as sessões ativas, as permissões de compartilhamento de arquivos e as regras de encaminhamento de e-mails.
Um plano de resposta a incidentes preparado com antecedência deve documentar contatos, obrigações de notificação, evidências e opções de continuidade. A avaliação de seguro cibernético pode apoiar a recuperação financeira, mas o NIST ressalta que o seguro não substitui uma estratégia de cibersegurança. A publicação também traz planilhas editáveis e cenários hipotéticos para ajudar os donos a transformar recomendações em processos de negócio repetíveis.
