MFA, a autenticação multifator, exige mais de uma prova de identidade para entrar em um sistema, como senha e um código ou chave física. Para PMEs, o caminho prático é ativar MFA nas contas críticas primeiro, padronizar quem acessa o quê e revisar acessos sempre que alguém entra, muda de função ou sai.
MFA, sigla de autenticação multifator, é a exigência de mais de uma prova de identidade para acessar um sistema: algo que a pessoa sabe, como a senha, combinado com algo que ela tem, como o celular ou uma chave física, ou algo que ela é, como a digital. Para pequenas e médias empresas, o caminho prático é ativar MFA primeiro nas contas mais críticas, definir quem pode acessar o quê e revisar acessos sempre que alguém entra, muda de função ou sai.
Gestão de acessos é o conjunto de regras e rotinas que decide quem tem acesso a quais sistemas, com quais permissões, e por quanto tempo. MFA protege a porta. A gestão de acessos decide quem recebe a chave.
Por que a senha sozinha não basta?
Senhas vazam, são reutilizadas em vários serviços e podem ser obtidas por mensagens fraudulentas. Quando a única barreira é a senha, quem a obtém entra.
O tema aparece em referências técnicas e regulatórias:
- Na edição 2025 do OWASP Top 10, lista das categorias de risco mais críticas em aplicações web, "Authentication Failures" ocupa a posição A07.
- No regulamento de comunicação de incidentes da ANPD, aprovado pela Resolução CD/ANPD nº 15/2024, incidentes que envolvem dados de autenticação em sistemas estão entre os critérios que podem caracterizar risco ou dano relevante aos titulares.
- A LGPD (Lei 13.709/2018) obriga os agentes de tratamento a adotar medidas técnicas e administrativas para proteger dados pessoais de acessos não autorizados (art. 46).
Em resumo: proteger contas não é só uma boa prática técnica. É parte de demonstrar cuidado com os dados que a empresa trata.
Quais tipos de MFA existem?
Nem todo segundo fator oferece a mesma proteção. A tabela compara os mais usados, em termos qualitativos.
| Método | Como funciona | Resistência a golpes de phishing | Facilidade de uso |
|---|---|---|---|
| Código por SMS | Código enviado por mensagem de texto | Baixa: o código pode ser interceptado ou entregue a um site falso | Alta |
| Código em aplicativo autenticador | App gera código temporário no celular | Média: o código ainda pode ser digitado em um site falso | Alta |
| Notificação no aplicativo | Usuário aprova o acesso no celular | Média: depende de o usuário recusar pedidos que não fez | Alta |
| Chave de segurança física ou passkey | Dispositivo ou credencial vinculada ao site legítimo | Alta: a credencial não funciona em site falso | Média a alta |
Qualquer MFA é melhor que nenhum. Para contas de administradores e de finanças, vale priorizar chaves físicas ou passkeys, que são vinculadas ao endereço verdadeiro do serviço.
Por onde começar?
PMEs raramente conseguem ativar MFA em tudo de uma vez. Uma ordem prática:
- E-mail corporativo. Quem controla o e-mail consegue redefinir senhas de quase todos os outros sistemas.
- Contas de administrador de nuvem, domínio, servidores, firewall e ferramentas de gestão.
- Sistemas financeiros e bancos, incluindo as contas de quem aprova pagamentos.
- Acesso remoto, como VPN e área de trabalho remota.
- Sistemas com dados de clientes, como CRM, ERP e plataformas de atendimento.
- Ferramentas de colaboração, como armazenamento de arquivos e chat.
- Demais sistemas, conforme o risco.
Comece pela diretoria e pela TI. Quem tem mais acesso deve ser o primeiro a adotar.
Como organizar a gestão de acessos sem uma equipe grande?
A gestão de acessos não exige software caro para começar. Exige rotina.
- Inventário de sistemas e donos. Uma planilha com cada sistema, quem é o responsável e quem tem acesso.
- Contas nominais. Cada pessoa com o seu usuário. Contas compartilhadas impedem saber quem fez o quê.
- Menor privilégio. Cada pessoa recebe só o acesso de que precisa para a função. Permissão de administrador é exceção, não padrão.
- Contas de administrador separadas. Quem administra sistemas usa uma conta comum para o dia a dia e outra, com MFA forte, para tarefas administrativas.
- Entrada, mudança e saída. Um checklist para quando alguém é contratado, muda de área ou é desligado. A saída é o momento mais esquecido.
- Revisão periódica. De tempos em tempos, cada dono de sistema confirma quem ainda precisa de acesso.
- Login único, quando possível. Centralizar a autenticação em um provedor de identidade facilita aplicar MFA e desligar acessos de uma vez.
- Gerenciador de senhas corporativo. Reduz reutilização de senhas e substitui planilhas e anotações.
Que erros comprometem o MFA?
Ativar o MFA é o começo. Alguns erros anulam boa parte do benefício:
- Deixar exceções permanentes para "quem reclamou".
- Manter contas antigas, de ex-funcionários ou de fornecedores, sem MFA e ativas.
- Aceitar redefinição de MFA por telefone sem verificar a identidade de quem pede.
- Usar o mesmo celular pessoal como único fator de várias pessoas.
- Ignorar contas de serviço e integrações, que muitas vezes têm permissões amplas.
- Não orientar os usuários a recusar pedidos de aprovação que eles não iniciaram.
O último ponto se conecta ao treinamento contra golpes, tema do guia sobre phishing e treinamento de funcionários.
Como medir se a implantação avançou?
Sem números, o projeto de MFA costuma parar na metade. Acompanhe com a diretoria, mês a mês:
- Percentual de contas com MFA ativo, separado por sistema.
- Contas de administrador sem MFA (a meta é zero).
- Contas ativas de pessoas que já saíram da empresa.
- Exceções concedidas, com motivo e data de validade.
- Tempo entre o desligamento de alguém e a desativação dos acessos.
Como cobrar isso de fornecedores?
Muitos acessos críticos estão nas mãos de terceiros: a software house que mantém o sistema, a agência que administra as redes sociais, o provedor de nuvem. Inclua nos contratos:
- Obrigação de usar MFA em todos os acessos ao seu ambiente.
- Contas nominais por profissional do fornecedor, nunca uma conta genérica.
- Aviso imediato quando alguém da equipe do fornecedor sair do projeto.
- Direito de revisar e revogar acessos a qualquer momento.
Se você contrata desenvolvimento de software, pergunte também se o sistema entregue oferece MFA aos seus próprios usuários. Veja as perguntas sugeridas no guia do OWASP Top 10 para gestores.
Próximo passo
Se a sua empresa precisa de ajuda para implantar MFA, login único ou revisão de acessos, compare as empresas de cibersegurança e consulte os rankings da categoria. Se você oferece esse tipo de serviço, crie ou reivindique o perfil gratuito e mostre os projetos que já entregou.
Fontes
- OWASP — OWASP Top 10:2025 — categoria A07:2025 Authentication Failures
- OWASP — Introdução ao Top 10:2025 — renomeação da categoria de falhas de identificação e autenticação
- Mattos Filho — ANPD publica regulamento de comunicação de incidente de segurança — dados de autenticação em sistemas como critério de risco ou dano relevante
- Cescon Barrieu — ANPD aprova o Regulamento de Comunicação de Incidente de Segurança — lista de critérios de risco da Resolução CD/ANPD nº 15/2024
- Planalto — Lei nº 13.709/2018 (LGPD) — dever de proteger dados pessoais de acessos não autorizados (art. 46)
Compare nota, avaliações verificadas e score, e fale direto com a empresa pela Citeo.
Perguntas frequentes
MFA por SMS ainda vale a pena?
Vale mais do que não ter MFA nenhum. Mas códigos por SMS podem ser interceptados ou entregues a sites falsos, então não são a melhor opção para contas críticas. Para administradores e finanças, prefira chaves físicas ou passkeys.
Qual a diferença entre MFA e verificação em duas etapas?
Na prática do dia a dia, os termos são usados como sinônimos. Tecnicamente, MFA pressupõe fatores de tipos diferentes, como senha e celular. O que importa para a empresa é que o segundo fator seja independente da senha.
O MFA atrapalha a produtividade?
Exige alguns segundos a mais no login, e o impacto diminui com login único e dispositivos confiáveis. O custo de uma conta invadida, como fraude, parada ou vazamento, costuma ser muito maior do que o atrito do segundo fator.
Preciso de ferramenta paga para gestão de acessos?
Para começar, não. Uma planilha de sistemas e donos, contas nominais, MFA nas contas críticas e um checklist de entrada e saída já resolvem boa parte dos problemas. Ferramentas de identidade passam a compensar quando o número de pessoas e sistemas cresce.
O que fazer quando um funcionário sai da empresa?
Desative as contas no mesmo dia, revogue sessões ativas, remova dispositivos de MFA vinculados, troque senhas compartilhadas que ele conhecia e transfira a propriedade de arquivos. Ter isso em um checklist evita esquecimentos.