# MFA e gestão de acessos: guia prático para pequenas e médias empresas — Citeo > MFA, a autenticação multifator, exige mais de uma prova de identidade para entrar em um sistema, como senha e um código ou chave física. Para PMEs, o camin... Fonte: https://mail.citeo.com.br/artigo/mfa-e-gestao-de-acessos-para-pmes · Atualizado em 21/10/2026 [Início](https://mail.citeo.com.br) [Insights](https://mail.citeo.com.br/blog) [Segurança](https://mail.citeo.com.br/blog/seguranca) Segurança# MFA e gestão de acessos: guia prático para pequenas e médias empresas **Redação Citeo** Publicado em 18/10/2026 Revisado em 18/10/2026 6 min de leitura Resposta rápidaMFA, a autenticação multifator, exige mais de uma prova de identidade para entrar em um sistema, como senha e um código ou chave física. Para PMEs, o caminho prático é ativar MFA nas contas críticas primeiro, padronizar quem acessa o quê e revisar acessos sempre que alguém entra, muda de função ou sai. MFA, sigla de autenticação multifator, é a exigência de mais de uma prova de identidade para acessar um sistema: algo que a pessoa sabe, como a senha, combinado com algo que ela tem, como o celular ou uma chave física, ou algo que ela é, como a digital. Para pequenas e médias empresas, o caminho prático é ativar MFA primeiro nas contas mais críticas, definir quem pode acessar o quê e revisar acessos sempre que alguém entra, muda de função ou sai. Gestão de acessos é o conjunto de regras e rotinas que decide quem tem acesso a quais sistemas, com quais permissões, e por quanto tempo. MFA protege a porta. A gestão de acessos decide quem recebe a chave. ## Por que a senha sozinha não basta? Senhas vazam, são reutilizadas em vários serviços e podem ser obtidas por mensagens fraudulentas. Quando a única barreira é a senha, quem a obtém entra. O tema aparece em referências técnicas e regulatórias: - Na edição 2025 do OWASP Top 10, lista das categorias de risco mais críticas em aplicações web, "Authentication Failures" ocupa a posição A07. - No regulamento de comunicação de incidentes da ANPD, aprovado pela Resolução CD/ANPD nº 15/2024, incidentes que envolvem dados de autenticação em sistemas estão entre os critérios que podem caracterizar risco ou dano relevante aos titulares. - A LGPD (Lei 13.709/2018) obriga os agentes de tratamento a adotar medidas técnicas e administrativas para proteger dados pessoais de acessos não autorizados (art. 46). Em resumo: proteger contas não é só uma boa prática técnica. É parte de demonstrar cuidado com os dados que a empresa trata. ## Quais tipos de MFA existem? Nem todo segundo fator oferece a mesma proteção. A tabela compara os mais usados, em termos qualitativos. MétodoComo funcionaResistência a golpes de phishingFacilidade de usoCódigo por SMSCódigo enviado por mensagem de textoBaixa: o código pode ser interceptado ou entregue a um site falsoAltaCódigo em aplicativo autenticadorApp gera código temporário no celularMédia: o código ainda pode ser digitado em um site falsoAltaNotificação no aplicativoUsuário aprova o acesso no celularMédia: depende de o usuário recusar pedidos que não fezAltaChave de segurança física ou passkeyDispositivo ou credencial vinculada ao site legítimoAlta: a credencial não funciona em site falsoMédia a alta Qualquer MFA é melhor que nenhum. Para contas de administradores e de finanças, vale priorizar chaves físicas ou passkeys, que são vinculadas ao endereço verdadeiro do serviço. ## Por onde começar? PMEs raramente conseguem ativar MFA em tudo de uma vez. Uma ordem prática: 1. **E-mail corporativo.** Quem controla o e-mail consegue redefinir senhas de quase todos os outros sistemas. 2. **Contas de administrador** de nuvem, domínio, servidores, firewall e ferramentas de gestão. 3. **Sistemas financeiros e bancos**, incluindo as contas de quem aprova pagamentos. 4. **Acesso remoto**, como VPN e área de trabalho remota. 5. **Sistemas com dados de clientes**, como CRM, ERP e plataformas de atendimento. 6. **Ferramentas de colaboração**, como armazenamento de arquivos e chat. 7. **Demais sistemas**, conforme o risco. Comece pela diretoria e pela TI. Quem tem mais acesso deve ser o primeiro a adotar. ## Como organizar a gestão de acessos sem uma equipe grande? A gestão de acessos não exige software caro para começar. Exige rotina. - **Inventário de sistemas e donos.** Uma planilha com cada sistema, quem é o responsável e quem tem acesso. - **Contas nominais.** Cada pessoa com o seu usuário. Contas compartilhadas impedem saber quem fez o quê. - **Menor privilégio.** Cada pessoa recebe só o acesso de que precisa para a função. Permissão de administrador é exceção, não padrão. - **Contas de administrador separadas.** Quem administra sistemas usa uma conta comum para o dia a dia e outra, com MFA forte, para tarefas administrativas. - **Entrada, mudança e saída.** Um checklist para quando alguém é contratado, muda de área ou é desligado. A saída é o momento mais esquecido. - **Revisão periódica.** De tempos em tempos, cada dono de sistema confirma quem ainda precisa de acesso. - **Login único, quando possível.** Centralizar a autenticação em um provedor de identidade facilita aplicar MFA e desligar acessos de uma vez. - **Gerenciador de senhas corporativo.** Reduz reutilização de senhas e substitui planilhas e anotações. ## Que erros comprometem o MFA? Ativar o MFA é o começo. Alguns erros anulam boa parte do benefício: - Deixar exceções permanentes para "quem reclamou". - Manter contas antigas, de ex-funcionários ou de fornecedores, sem MFA e ativas. - Aceitar redefinição de MFA por telefone sem verificar a identidade de quem pede. - Usar o mesmo celular pessoal como único fator de várias pessoas. - Ignorar contas de serviço e integrações, que muitas vezes têm permissões amplas. - Não orientar os usuários a recusar pedidos de aprovação que eles não iniciaram. O último ponto se conecta ao treinamento contra golpes, tema do guia sobre [phishing e treinamento de funcionários](/artigo/phishing-como-treinar-funcionarios). ## Como medir se a implantação avançou? Sem números, o projeto de MFA costuma parar na metade. Acompanhe com a diretoria, mês a mês: - Percentual de contas com MFA ativo, separado por sistema. - Contas de administrador sem MFA (a meta é zero). - Contas ativas de pessoas que já saíram da empresa. - Exceções concedidas, com motivo e data de validade. - Tempo entre o desligamento de alguém e a desativação dos acessos. ## Como cobrar isso de fornecedores? Muitos acessos críticos estão nas mãos de terceiros: a software house que mantém o sistema, a agência que administra as redes sociais, o provedor de nuvem. Inclua nos contratos: - Obrigação de usar MFA em todos os acessos ao seu ambiente. - Contas nominais por profissional do fornecedor, nunca uma conta genérica. - Aviso imediato quando alguém da equipe do fornecedor sair do projeto. - Direito de revisar e revogar acessos a qualquer momento. Se você contrata desenvolvimento de software, pergunte também se o sistema entregue oferece MFA aos seus próprios usuários. Veja as perguntas sugeridas no guia do [OWASP Top 10 para gestores](/artigo/owasp-top-10-para-gestores). ## Próximo passo Se a sua empresa precisa de ajuda para implantar MFA, login único ou revisão de acessos, compare as [empresas de cibersegurança](/empresas/cyber) e consulte os [rankings](/rankings) da categoria. Se você oferece esse tipo de serviço, [crie ou reivindique o perfil gratuito](/cadastro) e mostre os projetos que já entregou. ## Fontes - [OWASP — OWASP Top 10:2025](https://top10.owasp.org/2025/) — categoria A07:2025 Authentication Failures - [OWASP — Introdução ao Top 10:2025](https://top10.owasp.org/2025/0x00_2025-Introduction/) — renomeação da categoria de falhas de identificação e autenticação - [Mattos Filho — ANPD publica regulamento de comunicação de incidente de segurança](https://www.mattosfilho.com.br/unico/regulamento-incidente-seguranca/) — dados de autenticação em sistemas como critério de risco ou dano relevante - [Cescon Barrieu — ANPD aprova o Regulamento de Comunicação de Incidente de Segurança](https://cesconbarrieu.com.br/anpd-aprova-o-regulamento-de-comunicacao-de-incidente-de-seguranca/) — lista de critérios de risco da Resolução CD/ANPD nº 15/2024 - [Planalto — Lei nº 13.709/2018 (LGPD)](https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm) — dever de proteger dados pessoais de acessos não autorizados (art. 46) **Encontre cybersegurança verificadas**Compare nota, avaliações verificadas e score, e fale direto com a empresa pela Citeo. [Ver empresas ](https://mail.citeo.com.br/empresas/cyber) [Comparar empresas lado a lado](https://mail.citeo.com.br/comparar) ## Perguntas frequentes ### MFA por SMS ainda vale a pena? Vale mais do que não ter MFA nenhum. Mas códigos por SMS podem ser interceptados ou entregues a sites falsos, então não são a melhor opção para contas críticas. Para administradores e finanças, prefira chaves físicas ou passkeys. ### Qual a diferença entre MFA e verificação em duas etapas? Na prática do dia a dia, os termos são usados como sinônimos. Tecnicamente, MFA pressupõe fatores de tipos diferentes, como senha e celular. O que importa para a empresa é que o segundo fator seja independente da senha. ### O MFA atrapalha a produtividade? Exige alguns segundos a mais no login, e o impacto diminui com login único e dispositivos confiáveis. O custo de uma conta invadida, como fraude, parada ou vazamento, costuma ser muito maior do que o atrito do segundo fator. ### Preciso de ferramenta paga para gestão de acessos? Para começar, não. Uma planilha de sistemas e donos, contas nominais, MFA nas contas críticas e um checklist de entrada e saída já resolvem boa parte dos problemas. Ferramentas de identidade passam a compensar quando o número de pessoas e sistemas cresce. ### O que fazer quando um funcionário sai da empresa? Desative as contas no mesmo dia, revogue sessões ativas, remova dispositivos de MFA vinculados, troque senhas compartilhadas que ele conhecia e transfira a propriedade de arquivos. Ter isso em um checklist evita esquecimentos. ## Leia também [](https://mail.citeo.com.br/artigo/backup-3-2-1-e-recuperacao-de-desastres) Segurança### [Backup 3-2-1 e recuperação de desastres: o mínimo que toda empresa precisa](https://mail.citeo.com.br/artigo/backup-3-2-1-e-recuperacao-de-desastres) 18 de out · 5 min de leitura [](https://mail.citeo.com.br/artigo/bug-bounty-vale-a-pena) Segurança### [Programa de bug bounty vale a pena? Quando faz sentido e como começar](https://mail.citeo.com.br/artigo/bug-bounty-vale-a-pena) 18 de out · 5 min de leitura [](https://mail.citeo.com.br/artigo/comunicacao-de-incidente-a-anpd) Segurança### [Comunicação de incidente de segurança à ANPD: prazos e o que informar](https://mail.citeo.com.br/artigo/comunicacao-de-incidente-a-anpd) 18 de out · 6 min de leitura [](https://mail.citeo.com.br/artigo/incidentes-de-seguranca-no-brasil-dados) Segurança### [Incidentes de segurança no Brasil: o que mostram os dados públicos](https://mail.citeo.com.br/artigo/incidentes-de-seguranca-no-brasil-dados) 18 de out · 6 min de leitura