Recurso gratuito
O checklist de prontidão de TI para pequenas empresas
22 perguntas que toda pequena empresa de Pittsburgh e Cleveland deveria saber responder sobre a sua tecnologia. Cada uma tem uma resposta Verde, Amarela e Vermelha e um próximo passo. Reserve cerca de 20 minutos.
O checklist completo está nesta página, e a planilha de pontuação para impressão traz as mesmas perguntas com caixas de seleção.
Cerca de 20 minpara concluir
22 perguntasem 6 áreas
Com pontuaçãopara você saber o que corrigir primeiro
Plataformas abrangidas
Como funciona a avaliação
Clique na resposta que corresponde ao seu negócio hoje. Sua pontuação parcial aparece na seção Avalie-se.
Verde: você está bemAmarelo: vale corrigir em breveVermelho: resolva isto primeiro
1. Identidade e acesso
Uma senha roubada dá a um invasor acesso direto ao seu e-mail e aos seus arquivos. Estas quatro perguntas vêm primeiro porque as correções são baratas.
P1.A autenticação multifator é obrigatória para todos os usuários em todos os aplicativos da empresa?
VerdeMFA obrigatória no Microsoft 365 / Google, na VPN, no acesso remoto, no banco, nos aplicativos de negócio e em todas as contas de administrador. De preferência resistente a phishing (passkeys, FIDO2 ou correspondência de números).
AmareloMFA no e-mail, mas não nos outros aplicativos; ou MFA somente por SMS (vulnerável a phishing).
VermelhoMFA opcional ou desativada.
Próximo passo: A Microsoft e o Google incluem MFA sem custo adicional. Ative em todos os lugares nos próximos 30 dias.
P2.Os funcionários usam um gerenciador de senhas e a reutilização de senhas foi reduzida a zero?
VerdeGerenciador de senhas pago pela empresa (1Password, Bitwarden, Keeper, Dashlane) com um cofre compartilhado, e todos o usam.
AmareloAlgumas pessoas usam um gerenciador, outras reutilizam senhas ou as guardam em uma planilha.
VermelhoNenhum gerenciador, e é comum uma senha sazonal como Summer2024.
Próximo passo: Pague por um plano empresarial. Os planos gratuitos e pessoais não têm recuperação, compartilhamento por função nem logs de auditoria. Planeje de US$ 4 a US$ 8 por usuário por mês.
P3.Existe um processo formal de desligamento que revoga os acessos em até um dia útil?
VerdeUm checklist que desativa logins, revoga tokens, encaminha e-mails, troca segredos compartilhados e recolhe dispositivos, sempre feito no mesmo dia.
AmareloE-mail e Microsoft 365 são desligados, mas SaaS compartilhados, a VPN ou tokens antigos continuam ativos.
VermelhoEx-funcionários ainda podem ter acesso.
Próximo passo: Monte um checklist de desligamento de uma página esta semana. Todo aplicativo em que sua equipe já cadastrou alguém entra na lista.
P4.As contas de administrador seguem o privilégio mínimo e deixam de ser a mesma conta que uma pessoa usa para ler e-mail?
VerdeContas de administrador separadas para o domínio, o Microsoft 365, o firewall e assim por diante. O e-mail e a navegação do dia a dia usam uma conta sem privilégios. PIM ou acesso just-in-time usado sempre que possível.
AmareloGente demais é administrador global, ou uma única conta de administrador é usada para tudo.
VermelhoTodos são administradores na própria máquina, e o proprietário usa o administrador global para ler e-mails.
Próximo passo: No Microsoft 365, abra Usuários ativos, depois Funções de administrador, e reduza para um punhado de administradores globais. Crie contas de administrador dedicadas que não façam mais nada.
2. Backups e recuperação
Estas cinco perguntas cobrem a rapidez com que você volta a trabalhar se um servidor, um notebook ou seus dados de SaaS sumirem amanhã de manhã. Só conte um backup depois de ter restaurado a partir dele.
P5.Você faz backup dos seus dados de SaaS (Microsoft 365, Google Workspace, QuickBooks Online)?
VerdeUm backup de terceiros (Datto SaaS Protection, Afi, Dropsuite, Spanning) cobre todos os SaaS, com uma política de retenção que você revisou.
AmareloVocê presume que a Microsoft ou o Google são o seu backup. A retenção nativa deles é limitada e não protege contra uma exclusão deliberada.
VermelhoNenhum tipo de backup de SaaS.
Próximo passo: Escolha qualquer backup de SaaS de boa reputação e ative-o esta semana. Os preços costumam ficar entre US$ 3 e US$ 6 por usuário por mês.
P6.Seus backups ficam em pelo menos um local que você não consegue acessar com o seu login normal?
VerdeVocê segue a regra 3-2-1: três cópias, dois tipos de mídia, uma externa ou imutável (S3 Object Lock, Wasabi Immutability, Datto).
AmareloVocê tem backups externos, mas eles podem ser acessados com as mesmas credenciais de administrador da produção.
VermelhoOs backups ficam no mesmo servidor, NAS ou domínio dos dados que protegem.
Próximo passo: Adicione um destino imutável ou isolado da rede (air-gapped). Um invasor que obtenha seu login de administrador pode apagar qualquer backup ao qual esse login tenha acesso.
P7.Quando foi o seu último teste de restauração bem-sucedido, e não apenas o último backup?
VerdeNos últimos 90 dias, um arquivo ou uma VM de verdade foi restaurado para verificar se o backup funciona.
AmareloOs backups rodam toda noite, mas ninguém restaurou a partir deles no último ano.
VermelhoVocê não sabe quando, nem se, os backups chegaram a ser testados.
Próximo passo: Agende um teste de restauração trimestral de um arquivo crítico, uma máquina completa e um conjunto de dados na nuvem. Coloque na agenda como uma tarefa recorrente.
P8.Você conhece o seu RTO (quanto tempo pode ficar fora do ar) e o seu RPO (quantos dados pode se dar ao luxo de perder)?
VerdeCada sistema crítico tem um RTO e um RPO por escrito, acordados com o proprietário do negócio, e os backups são dimensionados para atingir ambos.
AmareloVocê tem uma noção, mas nada escrito ou verificado.
VermelhoNunca foi discutido. Em uma interrupção, você improvisaria.
Próximo passo: Pergunte a cada chefe de departamento: se isto sumisse às 9h, qual é o prazo máximo para você tê-lo de volta? As respostas são o seu RTO. Depois confira se os seus backups rodam com frequência suficiente para cumprir cada RPO.
P9.Se o seu local principal ficasse 48 horas sem energia e sem internet, o negócio continuaria funcionando?
VerdeEquipe capaz de trabalhar remotamente, sistema telefônico na nuvem e etapas de failover documentadas.
AmareloParte da equipe poderia trabalhar remotamente, mas os sistemas principais (unidades compartilhadas, aplicativo de negócio, telefones) ficariam fora do ar.
VermelhoVocês parariam de operar até o local voltar.
Próximo passo: Escreva um plano de continuidade de uma página: quem liga para quem, o que os clientes ouvem ao telefone e de onde a equipe trabalha.
3. Segurança de endpoints e de e-mail
Cinco perguntas sobre os dispositivos que sua equipe usa e o e-mail que chega a eles.
P10.Todo notebook, desktop e servidor executa algo além do antivírus nativo?
VerdeEDR gerenciado (SentinelOne, CrowdStrike, Huntress ou Defender for Business com uma pessoa acompanhando os alertas) em 100% dos endpoints.
AmareloO Defender ou outro antivírus está ativo, mas ninguém revisa os alertas.
VermelhoApenas o antivírus embutido, ou algumas máquinas sem nada.
Próximo passo: Faça o inventário de todos os endpoints e confirme que há um EDR moderno e uma pessoa acompanhando os alertas. Confira os servidores e o notebook do proprietário, que são fáceis de esquecer.
P11.Os sistemas operacionais e os aplicativos de terceiros recebem patches dentro de um prazo definido?
VerdeUma ferramenta de gerenciamento de patches com política: patches críticos em 7 dias, os demais em 30, e um relatório mensal de conformidade.
AmareloO sistema operacional se atualiza sozinho, mas os aplicativos de terceiros (Adobe, Java, navegadores) ficam para trás.
VermelhoOs patches são aplicados quando alguém percebe.
Próximo passo: Escolha uma ferramenta de gerenciamento de patches (NinjaOne, PDQ, Intune, Action1) e defina uma política. Inclua navegadores e outros aplicativos de terceiros junto com o sistema operacional.
P12.O e-mail recebido passa por um filtro que detecta phishing e falsificação de identidade, além do filtro nativo do provedor?
VerdeMimecast, Proofpoint, Avanan, IRONSCALES ou similar, com a proteção contra falsificação de identidade ativada.
AmareloApenas o filtro padrão do Microsoft 365 ou do Gmail, e alguns phishings óbvios ainda chegam às caixas de entrada.
VermelhoNenhuma filtragem avançada de e-mail; e-mails falsos que se passam pelo CEO chegam.
Próximo passo: Ative as políticas avançadas antiphishing que a sua licença já inclui (Microsoft 365 Business Premium ou superior) ou adicione um gateway de e-mail seguro dedicado. Planeje de US$ 3 a US$ 5 por usuário por mês.
P13.Você tem SPF, DKIM e DMARC configurados no seu domínio de envio?
VerdeOs três configurados. O DMARC está em p=reject ou p=quarantine, e você monitora os relatórios agregados.
AmareloSPF e DKIM estão configurados, mas o DMARC está em p=none (apenas relatórios).
VermelhoNenhum dos três configurado, ou o SPF tem o erro clássico de +all ou ?all.
Próximo passo: Verifique o seu domínio em mxtoolbox.com. Sem uma política DMARC aplicada, outras pessoas podem enviar e-mails que parecem vir do seu domínio.
P14.A criptografia de disco completo está ativada em todos os notebooks?
VerdeBitLocker (Windows) ou FileVault (Mac) ativado em 100% dos notebooks, com as chaves de recuperação guardadas no Entra ID, no Intune ou no Jamf.
AmareloAtivado na maioria dos notebooks, mas sem um cofre central de chaves de recuperação.
VermelhoNão ativado, ou desconhecido.
Próximo passo: Qualquer pessoa que encontre um notebook sem criptografia pode ler os arquivos dele. O BitLocker e o FileVault já vêm no Windows e no macOS, e uma única política os ativa.
4. Rede e acesso remoto
Esta seção cobre o firewall, como a rede é dividida e como os funcionários se conectam de fora do escritório.
P15.Seu firewall é moderno, tem suporte e é revisado pelo menos uma vez por ano?
VerdeUm firewall de geração atual (Fortinet, Palo Alto, SonicWall, Meraki, OPNsense) com licença ativa, prevenção de intrusões ligada e regras revisadas anualmente.
AmareloExiste um firewall, mas a licença venceu e as regras não foram revisadas.
VermelhoRoteador doméstico, firewall em fim de vida ou regras padrão nunca configuradas.
Próximo passo: Um firewall em fim de vida deixa de receber atualizações de segurança. Confirme que o modelo ainda tem suporte e renove as licenças.
P16.Dispositivos de visitantes, IoT (câmeras, termostatos, impressoras) e notebooks de funcionários ficam em redes separadas?
VerdeSegmentado: uma VLAN de produção, uma VLAN de IoT e uma rede de visitantes com isolamento de clientes. As impressoras ficam em uma VLAN própria.
AmareloExiste uma rede de visitantes, mas os dispositivos IoT compartilham a rede principal.
VermelhoTudo em uma única rede plana.
Próximo passo: Em uma rede plana, um termostato comprometido pode alcançar o seu servidor de arquivos. Com pontos de acesso atuais e um switch gerenciável, segmentar um pequeno escritório leva cerca de uma tarde.
P17.Como os funcionários se conectam ao trabalho remotamente, e esse método é seguro?
VerdeSingle sign-on mais acesso zero trust (Cloudflare Access, Tailscale, Twingate) ou uma VPN moderna com MFA. Nenhum RDP aberto para a internet.
AmareloVPN antiga apenas com usuário e senha.
VermelhoRDP ou uma ferramenta remota exposta à internet com credenciais compartilhadas.
Próximo passo: Feche hoje qualquer porta RDP aberta para a internet e coloque o acesso remoto atrás de uma VPN ou de uma ferramenta zero trust com MFA.
5. Resposta a incidentes e ativos
Estas três perguntas cobrem o que você faz na primeira meia hora de um incidente, se a equipe consegue identificar um phishing e se você sabe quais equipamentos possui.
P18.Existe um plano de resposta a incidentes por escrito que cabe em uma única página?
VerdeSim: contatos, uma árvore de decisão, quem liga para a seguradora de risco cibernético, quem fala com os clientes e onde o plano fica guardado. Revisado anualmente.
AmareloExiste um plano, mas ninguém o lê há dois anos.
VermelhoNenhum plano.
Próximo passo: Escreva o plano em uma página, com os itens listados em Verde, guarde uma cópia impressa e revise-o uma vez por ano.
P19.Os funcionários fizeram um treinamento de conscientização sobre phishing nos últimos 12 meses?
VerdeSim, com uma plataforma de boa reputação (KnowBe4, Hoxhunt, Wizer, Curricula), e a taxa de cliques em simulações vem caindo.
AmareloTreinamento único na contratação, nada desde então.
VermelhoNenhum treinamento.
Próximo passo: O treinamento não precisa ser uma aula de um dia inteiro. Use vídeos mensais de cinco minutos com uma simulação de phishing avaliada.
P20.Você tem um inventário de ativos completo e atualizado (quem tem qual notebook, quais servidores existem, o que está na nuvem)?
VerdeUm inventário mantido automaticamente por um RMM ou MDM (Intune, NinjaOne, Jamf), atualizado em tempo real.
AmareloUma planilha que alguém atualiza uma vez por ano.
VermelhoVocê descobre quais ativos tem olhando ao redor.
Próximo passo: Escolha um RMM ou MDM e deixe que ele monte o inventário para você.
6. Fornecedores e documentação
Duas perguntas: as empresas que guardam seus dados e o conhecimento que vive na cabeça de uma única pessoa.
P21.Se um fornecedor importante (plataforma de contabilidade, ferramenta de compartilhamento de arquivos, CRM) sofresse uma violação neste fim de semana, você saberia quais dados ele guarda para você?
VerdeVocê tem uma lista curta dos principais fornecedores, os dados que cada um guarda e uma cópia do relatório de segurança mais recente deles.
AmareloVocê confia nos seus fornecedores, mas nunca perguntou nada a eles por escrito.
VermelhoVocê não tem lista. Um fornecedor sofre uma violação e você descobre pelo noticiário.
Próximo passo: Escolha os três fornecedores mais sensíveis em termos de dados e peça a cada um o relatório de segurança mais recente. Se um fornecedor não conseguir apresentá-lo, registre isso como um risco.
P22.Se a única pessoa que sabe como toda a TI funciona faltasse amanhã, outra pessoa conseguiria descobrir?
VerdeO que é importante (onde estão os sistemas, como entrar, para quem ligar) está escrito em um lugar onde um colega consegue encontrar, e é atualizado quando algo muda.
AmareloUm engenheiro ou o proprietário é o ponto único de falha de como tudo funciona.
VermelhoUma pessoa sabe e nada está escrito.
Próximo passo: Reserve uma hora por mês para registrar por escrito o que só uma pessoa sabe sobre a TI.
Avalie-se
Suas respostas Verde, Amarelo e Vermelho nas 22 perguntas são contadas aqui conforme você clica.
Você respondeu 0 de 22. Clique na resposta que corresponde à sua situação em cada pergunta acima.
0Verde
0Amarelo
0Vermelho
0/22Respondidas
18 ou mais Verdes: você está em boa forma. Continue assim com testes de restauração trimestrais, patches mensais e uma revisão anual das políticas.
11 a 17 Verdes: o básico já está quase todo lá. Escolha os três Amarelos mais sérios e resolva-os em 90 dias.
Menos de 11 Verdes, ou qualquer Vermelho nas perguntas P1, P5, P6, P10 ou P14: corrija primeiro qualquer Vermelho nessas cinco perguntas, depois o restante dos Vermelhos e então os Amarelos.
Peça uma segunda opinião
A KawaConnect oferece uma conversa gratuita de prontidão de TI para pequenas empresas do oeste da Pensilvânia e do nordeste de Ohio. Passe suas respostas conosco e diremos o que corrigiríamos primeiro e quanto custa, aproximadamente. Para ajuda contínua, veja nosso serviço de TI gerenciada.
Agende uma conversa gratuita sobre prontidãoBaixar a planilha de pontuação0 / 22 respondidasVer minha pontuação
