Um diagnóstico de TI é uma avaliação estruturada da infraestrutura, dos processos e dos riscos da empresa. Ele mapeia 12 pontos críticos, mostra onde você está exposto e entrega um plano priorizado por risco e esforço.
Resumo rápido
- Os 12 pontos do raio-x: o que se olha e o que costuma aparecer de errado.
- Como cada ponto se encaixa nas seis funções do NIST Cybersecurity Framework 2.0.
- Como o resultado vira plano priorizado por risco x esforço — e quando não chamar consultoria.
A cena que se repete em toda PME
Terça-feira, 9h. O sistema de emissão de notas cai. O gestor liga para o técnico que atende a empresa há anos. Ele não atende. Ninguém sabe a senha do servidor, se o backup rodou ou qual contrato cobre o equipamento.
Às 11h alguém descobre que a licença do antivírus venceu em março. Às 14h o sistema volta, sem explicação. Ninguém registra nada. Na semana seguinte, de novo.
O problema não é o técnico. É que a TI nunca foi medida. Sem inventário e sem registro, toda decisão é tomada no susto.
O custo de não saber
Não procure estatística: faça a conta. Divida o faturamento mensal pelas horas úteis do mês e você tem o custo da hora parada. Multiplique pelas horas de parada dos últimos 12 meses.
| Conta | Como calcular |
|---|---|
| Custo da hora parada | Faturamento mensal ÷ horas úteis do mês |
| Perda anual | Custo da hora × horas de parada no ano |
| Retrabalho | Chamados repetidos × tempo médio de atendimento |
| Exposição regulatória | Faturamento anual no Brasil × 2% (teto do art. 52 da LGPD, limitado a R$ 50 milhões) |
Some tudo. O número costuma superar o orçamento anual de TI, diluído em horas extras e prazos perdidos.
Você não precisa adivinhar esse número. O diagnóstico da Brazuca mapeia os 12 pontos e mostra, com evidência, onde sua empresa está exposta. Solicite seu diagnóstico gratuito.
Por que a TI da PME chega nesse ponto
A TI de uma empresa média cresce por camadas: um servidor, depois um sistema, depois a nuvem. Cada camada resolve o problema do momento e ninguém volta para olhar o conjunto.
Some um time enxuto, às vezes uma pessoa só, que passa o dia apagando incêndio. Trabalho preventivo não cabe na agenda de quem é interrompido a cada quinze minutos. Diagnóstico não é auditoria: é medir para decidir.
Como o diagnóstico é conduzido: 5 etapas
- Contexto de negócio. Quais sistemas param a operação e o que é inaceitável perder. Isso define o peso de cada achado.
- Coleta técnica. Ativos, configurações, versões, políticas e contratos. Inventário automatizado onde der, verificação manual onde não.
- Entrevistas. O risco aparece quando alguém diz “fazemos assim porque o sistema não deixa”.
- Classificação. Cada achado recebe nível de maturidade e nota de risco, pelas funções do NIST CSF 2.0.
- Plano priorizado. Apresentação à diretoria: o que fazer primeiro, o que espera e o que fica para o próximo ano.
Os 12 pontos do raio-x
O NIST Cybersecurity Framework 2.0 organiza a segurança em seis funções: Governar, Identificar, Proteger, Detectar, Responder e Recuperar. Cada ponto abaixo está ancorado na sua função.
1. Inventário de ativos e licenças — Identificar
O que se olha: equipamentos, sistemas, licenças e contratos, com responsável definido. O que costuma aparecer: planilha antiga, máquinas ativas que ninguém reconhece e software sem licença válida.
2. Backup e teste de restauração — Recuperar
O que se olha: o que é copiado, para onde vai e quando foi o último teste de restauração. O que costuma aparecer: backup nunca restaurado e cópia única na mesma rede da origem, o que a regra 3-2-1 evita.
3. Monitoramento e alertas — Detectar
O que se olha: o que é monitorado, quem recebe o alerta e em quanto tempo alguém age. O que costuma aparecer: alerta caindo num e-mail que ninguém abre. A IBM, no Cost of a Data Breach 2025, aponta ciclo médio global de 241 dias para identificar e conter uma violação.
4. Endpoint: antivírus e EDR — Proteger e Detectar
O que se olha: cobertura real do antivírus ou EDR (ferramenta que detecta e responde a ameaças no próprio computador) e a última atualização. O que costuma aparecer: licença paga e não instalada em parte da frota, sem console central.
5. Identidade, senhas e MFA — Proteger
O que se olha: quem acessa o quê, contas de ex-funcionários e uso de MFA (segundo fator de autenticação). O que costuma aparecer: conta administrativa genérica compartilhada e acesso remoto sem segundo fator.
6. Atualizações e fim de suporte — Identificar e Proteger
O que se olha: versões de sistemas e aplicações, quais passaram do fim de suporte do fabricante e a rotina de atualização. O que costuma aparecer: sistema crítico em versão sem suporte porque “o ERP só roda nela”. Risco assumido precisa estar registrado.
7. Rede e segmentação — Proteger
O que se olha: uso de VLANs (redes virtuais que separam o tráfego no mesmo equipamento físico), regras de firewall e Wi-Fi de visitantes. O que costuma aparecer: rede plana, em que o notebook do visitante enxerga o servidor.
8. Links de internet e redundância — Recuperar
O que se olha: quantos links existem, se são de operadoras distintas e se a troca é automática. O que costuma aparecer: link “redundante” que sai do mesmo poste do principal e chaveamento manual.
9. Servidores e virtualização — Proteger e Recuperar
O que se olha: servidores físicos e virtuais, idade do hardware, garantia e capacidade. O que costuma aparecer: servidor fora de garantia sustentando o sistema principal e ambiente sem virtualização, sem como mover a carga em uma falha.
10. Service desk e registro de chamados — Responder
O que se olha: como o usuário pede ajuda, se o chamado é registrado e se há prazo acordado. O que costuma aparecer: suporte por WhatsApp e corredor, sem histórico. Sem registro não há causa-raiz — no ITIL 4, incidente e problema são práticas distintas.
11. LGPD e dados pessoais — Governar
O que se olha: quais dados pessoais a empresa trata, onde ficam, quem acessa e se há encarregado. O que costuma aparecer: planilhas de clientes em pastas abertas para todos. O checklist de LGPD na prática ajuda a começar.
12. Documentação e dependência de pessoas — Governar
O que se olha: há documentação de rede, senhas custodiadas e procedimentos escritos? O que acontece se a pessoa-chave sair amanhã? O que costuma aparecer: todo o conhecimento na cabeça de uma pessoa — o risco mais barato de corrigir e o mais ignorado.
Níveis de maturidade: onde sua empresa está
Cada ponto recebe um nível. A régua, em cinco deles:
| Ponto | Inicial | Controlado | Gerenciado |
|---|---|---|---|
| Inventário | Planilha antiga ou nada | Lista atualizada à mão | Automatizado, com responsável |
| Backup | Nunca testado | Cópia externa, teste esporádico | Teste periódico com evidência |
| Monitoramento | Quem avisa é o usuário | Alertas nos itens críticos | Painéis, limites e plantão |
| Identidade | Senhas compartilhadas, sem MFA | Contas nominais e MFA externo | Revisão periódica de acessos |
| Service desk | Pedido informal, sem registro | Chamados em ferramenta | Prazos, indicadores e causa-raiz |
Do diagnóstico ao plano: risco x esforço
Uma lista de 40 problemas não ajuda ninguém. O valor está na priorização: cada achado recebe nota de risco e de esforço.
- Risco alto, esforço baixo: esta semana. Ativar MFA, fechar contas de ex-funcionários, isolar o Wi-Fi de visitantes.
- Risco alto, esforço alto: vira projeto com orçamento e prazo. Troca de servidor, segmentação, migração de sistema legado.
- Risco baixo, esforço baixo: entra na rotina de manutenção.
- Risco baixo, esforço alto: fica registrado como risco aceito, com data para revisão.
No fim o gestor recebe três coisas: o mapa de maturidade dos 12 pontos, os achados com evidência e o plano em ondas. Documento de decisão, não relatório técnico.
Checklist de autoavaliação
- Não existe lista atualizada de equipamentos e licenças.
- Ninguém restaurou um backup de verdade nos últimos seis meses.
- Quem descobre que um serviço caiu é o usuário, não um alerta.
- Há senhas administrativas compartilhadas entre pessoas.
- Algum sistema crítico roda em versão fora do suporte do fabricante.
- A rede é plana: qualquer dispositivo conectado enxerga os servidores.
- Você não sabe dizer quais dados pessoais a empresa guarda e onde.
- Se a pessoa-chave de TI sair amanhã, ninguém assume sem sofrimento.
Marcou 3 ou mais? A empresa está no nível inicial na maioria dos pontos. Marcou 6 ou mais? O risco já não é técnico: é de continuidade.
Quando chamar uma consultoria — e quando não chamar
Chame quando:
- A empresa cresceu e a TI não foi revista desde então.
- Você precisa decidir um investimento relevante sem base de comparação.
- Um cliente, um seguro ou uma auditoria passou a exigir evidência de controle.
- Houve um incidente e você quer saber se pode se repetir.
Não chame quando:
- O problema é pontual e já identificado: uma impressora, um cabo. Isso é suporte, não consultoria.
- Você já tem um diagnóstico recente e o plano não foi executado. Execute primeiro.
- Não há disposição da diretoria para agir. Diagnóstico sem decisão vira PDF na gaveta.
Descubra em quais dos 12 pontos sua empresa está exposta
O diagnóstico de TI da Brazuca avalia os 12 pontos, classifica a maturidade de cada um e entrega um plano priorizado.
Sem compromisso. Resposta em até 1 dia útil.
Perguntas frequentes
Quanto custa um diagnóstico de TI?
O diagnóstico inicial da Brazuca é gratuito e sem compromisso. Ele cobre os 12 pontos e entrega o mapa de maturidade e o plano priorizado. Investimento só entra na conversa depois, quando você decide o que executar.
Já tenho TI interna. Faz sentido mesmo assim?
Faz, e é onde costuma render mais. O diagnóstico não substitui o time interno: dá munição. Quem opera o dia a dia raramente tem tempo de levantar tudo e apresentar à diretoria. O relatório vira o argumento que o time já queria fazer.
Quanto tempo leva e atrapalha a operação?
A coleta é feita em horário comercial, com leitura de configurações e entrevistas curtas. Nenhuma mudança é aplicada em produção. O prazo depende do tamanho do parque e é combinado antes de começar.
Sou obrigado a contratar depois?
Não. O relatório é seu e pode ser executado pelo seu time, por outro fornecedor ou por nós. A consultoria em tecnologia entra só se você quiser apoio na execução.
O ponto de partida é medir
Nenhuma empresa tem os 12 pontos no nível gerenciado, e não precisa ter. O objetivo não é nota máxima: é saber onde você está, quais riscos aceitou sem perceber e o que resolver primeiro.
A diferença entre uma TI que sustenta o crescimento e uma que atrapalha raramente é orçamento. É saber onde investir.
Agende seu diagnóstico de TI gratuito
Os 12 pontos avaliados, o nível de maturidade da sua empresa e um plano de ação. Sem jargão e sem obrigação de contratar.
Sem compromisso. Resposta em até 1 dia útil.