Como gerenciar senhas e acessos no escritório contábil?

As causas reais dos vazamentos

Quase todos os vazamentos de dados que acontecem em escritórios contábeis não são ataques sofisticados de hackers — são falhas humanas e técnicas basicas que poderiam ser evitadas com práticas simples: senha fraca, credencial compartilhada, backup sem criptografia, funcionario que caiu em phishing, documento enviado para o destinatario errado. Essas são as vulnerabilidades que uma politica de segurança prática pode eliminar ou reduzir drasticamente.

Política de senhas fortes

O escritório deve ter uma politica escrita e treinada com toda a equipe. Senhas devem:

• ter no mínimo 12 caracteres (idealmente 16 ou mais), combinando letras maiusculas e minusculas, números e caracteres especiais;
• não conter nome do usuario, data de nascimento, nome do escritório ou qualquer informação facilmente adivinhavel;
• ser únicas para cada sistema — nunca reutilizar a mesma senha;
• ser trocadas quando ha suspeita de comprometimento.

E, contrariando o que muita gente pensa, não precisam ser trocadas em intervalos fixos (a troca periodica sem motivo gera senhas progressivamente mais fracas, pois as pessoas simplificam para lembrar). A melhor abordagem e usar um gerenciador de senhas — LastPass, Bitwarden, 1Password — que gera e armazena senhas complexas e únicas para cada sistema, exigindo do usuario apenas uma senha mestra forte.

Autenticação em dois fatores (2FA)

E obrigatoria para qualquer sistema que contenha dados de clientes. O 2FA (ou MFA) adiciona uma segunda camada de verificação além da senha — geralmente um código de seis digitos gerado por aplicativo (Google Authenticator, Microsoft Authenticator) ou enviado por SMS. Mesmo que um atacante obtenha a senha, não conseguira acessar o sistema sem o segundo fator.

Devem ter 2FA habilitado: sistemas de gestão contábil, plataformas de folha, e-mail corporativo, Google Drive, OneDrive e portal e-CAC com procuração. A resistência da equipe ao 2FA e real, mas cede rapidamente após um incidente ou após treinamento adequado que explique o risco.

Gestão de credenciais compartilhadas

Um dos maiores problemas dos escritórios contábeis e o uso de credenciais compartilhadas — um único login e senha que varios funcionarios usam. Além de ser ma prática de segurança (impossibilita rastrear quem fez o que), pode violar os termos de uso de varios sistemas.

A solução ideal e criar contas individuais para cada usuario em todos os sistemas. Quando o sistema não permite multiplos usuarios (limitação que o escritório deve reportar ao fornecedor e considerar na compra), deve ao menos:

• controlar quem tem a credencial;
• alterar a senha imediatamente quando um funcionario com acesso e desligado;
• manter registro de quem a utilizou e quando.

Backups seguros e a regra 3-2-1

Toda estrategia de segurança inclui backup — não apenas contra ransomware, mas também contra falhas de hardware, exclusao acidental e desastres fisicos. O backup adequado segue a regra 3-2-1:

• 3 copias dos dados;
• em 2 tipos de midia diferentes;
• sendo 1 offsite (fora do escritório).

Na prática: dados no computador/servidor (copia 1), backup em HD externo (copia 2, midia diferente) e backup em cloud (copia 3, offsite). Os backups devem ser criptografados — especialmente os externos e em cloud. Ferramentas como o VeraCrypt permitem criar volumes criptografados; serviços como Backblaze B2 e Wasabi oferecem backup criptografado a baixo custo. O backup deve ser testado periodicamente — restaurar e verificar se os dados são recuperaveis. Um backup que nunca foi testado e um backup não confiavel.

Descarte seguro de documentos

Tanto fisicos quanto digitais:

• Documentos fisicos com dados pessoais (folhas de pagamento impressas, extratos, declarações de IR) nunca devem ser jogados no lixo ou reciclagem. Devem ser destruidos com fragmentadora de corte cruzado (nivel P-4 ou superior). Grandes volumes podem contratar serviços de destruição documental certificada.
• Documentos digitais — deletar o arquivo não é suficiente: o dado continua no disco ate ser sobrescrito. Usar ferramentas como Eraser (Windows) ou o recurso de apagamento seguro do sistema. Equipamentos a descartar ou vender devem passar por formatação segura com sobrescrita multipla ou, se muito antigos, destruição fisica do disco.

Treinamento de equipe

E o investimento de menor custo e maior retorno em toda a estrategia de segurança. A maioria dos incidentes começa com um funcionario que não sabia o que não devia fazer. O treinamento deve cobrir:

• reconhecer e-mails de phishing (com exemplos reais);
• não clicar em links suspeitos nem abrir anexos de remetentes desconhecidos;
• não usar pendrives de origem desconhecida;
• proteger a tela de visitantes;
• usar senhas fortes e 2FA;
• saber o que fazer ao detectar um incidente (a quem reportar, como documentar).

O treinamento não precisa ser longo — sessoes mensais de 15 a 20 minutos, com exemplos praticos e atuais, são mais eficazes do que um treinamento anual longo que as pessoas esquecem em duas semanas.

Auditoria básica de acessos

Pelo menos trimestralmente, o responsável pela segurança deve revisar quem tem acesso a que sistemas e dados:

• ha funcionarios com acessos excessivos para sua função?
• ha ex-funcionarios com acessos ainda ativos?
• ha contas dormentes que não foram usadas ha meses?
• ha usuarios compartilhando credenciais?

Essa auditoria simples, documentada em uma planilha, e o controle de detetive mais basico que o escritório pode ter. A auditoria periodica aumenta a chance de identificar comportamentos anomalos antes que causem dano.

Segurança é cultura, não lista de regras

Por fim, um ponto cultural importante: segurança de dados não é responsabilidade apenas do sócio ou do responsável de TI — e responsabilidade de todos no escritório. Uma equipe que entende o por que das regras, e não apenas o que deve fazer, e muito mais propensa a seguir os procedimentos mesmo sob pressão. Quando um funcionario recebe um e-mail urgente pedindo que envie imediatamente um arquivo de folha, e tem o treinamento adequado, ele questiona antes de enviar. Esse questionar salva o escritório de um incidente. Cultura de segurança se constroi com lideranca pelo exemplo e com educação continua — não com listas de regras que ninguem le.