Em muitas pequenas empresas, a senha do e-mail está num papel colado no monitor, a do Instagram é a mesma de três funcionários e a da conta do banco ninguém sabe quem tem. Não é por descuido: é porque nunca se combinou uma regra. Uma política de senhas simples, de uma página, resolve a maior parte do problema.
Por que ter uma política escrita
Senhas fracas, repetidas ou compartilhadas estão por trás de muitos casos de invasão. Uma regra escrita traz benefícios práticos:
- Todos sabem o que é esperado, sem depender de quem entrou há mais tempo.
- Diminui o risco de vazamento e de acesso por ex-funcionários.
- Facilita a saída e a entrada de pessoas, porque os acessos estão organizados.
- Ajuda a mostrar cuidado diante de clientes e, se for o caso, da LGPD.
Não precisa de linguagem jurídica. Precisa ser curta, possível de cumprir e apoiada em ferramentas que facilitem a vida.
O que a política deve dizer
Estes são os pontos essenciais, na ordem em que valem mais:
- Acesso individual. Cada pessoa tem seu login. Nada de “usuário da loja” usado por todos.
- Senha longa e única. Mínimo de 12 a 14 caracteres, de preferência uma frase com várias palavras. Cada serviço tem uma senha diferente. Veja como criar uma senha forte.
- Gerenciador de senhas. A empresa adota uma ferramenta e todos guardam lá. Ninguém precisa memorizar mais que a senha mestra. Veja gerenciador de senhas: vale a pena.
- Verificação em duas etapas obrigatória em e-mail, sistema de gestão, banco, nuvem e redes sociais. Aplicativo autenticador ou chave de segurança é melhor do que SMS.
- Nada de senha por mensagem. Senhas não são enviadas por WhatsApp, e-mail ou foto. Se for preciso compartilhar, use a função de compartilhamento do gerenciador.
- Nada de papel e planilha aberta. Senhas não ficam em post-it, caderno em cima da mesa ou arquivo sem proteção.
- Trocar quando houver suspeita. Troca imediata se a senha vazou, foi digitada em site suspeito ou se o computador foi infectado.
- Cancelar acessos ao sair. Quando alguém deixa a empresa, o acesso é cancelado no mesmo dia.
Contas compartilhadas e redes sociais da empresa
O caso mais comum de senha compartilhada é o perfil da empresa nas redes. A saída é usar os recursos da própria plataforma:
- Dar permissões por pessoa, em vez de repassar o login do dono. Redes como Instagram e Facebook permitem ligar o perfil a uma conta empresarial com vários administradores e funções.
- Manter pelo menos dois administradores, para que a perda de uma conta não deixe a empresa sem acesso.
- Usar e-mail da empresa como contato de recuperação, e não o pessoal de um funcionário.
- Remover o acesso de quem sai e revisar a lista a cada poucos meses.
Para serviços sem esse recurso, como alguns sistemas antigos, guarde a senha no cofre compartilhado do gerenciador, que registra quem acessou.
Como implantar sem confusão
Uma regra que ninguém segue vale pouco. Para funcionar:
- Escolha a ferramenta. Um gerenciador de senhas com plano para equipes, ou, no mínimo, o recurso de cofre da sua suíte de trabalho. Teste com poucos usuários antes.
- Faça um levantamento das contas da empresa: e-mail, banco, sistema, nuvem, redes, domínio, fornecedores. Anote o que existe e quem administra, mas não as senhas na lista.
- Migre por prioridade: primeiro e-mail, banco, domínio e sistema; depois o resto.
- Troque as senhas antigas durante a migração, principalmente as que já foram compartilhadas.
- Ative a verificação em duas etapas junto. Veja verificação em duas etapas: o que é e como ativar.
- Treine em 30 minutos. Mostre como criar, salvar e preencher. A facilidade é o que mantém a regra viva.
- Revise a cada seis meses, ou quando entrar alguém novo.
Modelo curto para copiar
Você pode adaptar este texto e colocar em uma página:
- Cada pessoa usa apenas seu próprio acesso e não o compartilha.
- Todas as senhas são longas (mínimo de 12 caracteres), únicas e guardadas no gerenciador de senhas da empresa.
- A verificação em duas etapas é obrigatória no e-mail, no banco, no sistema de gestão e nas redes sociais.
- Senhas nunca são enviadas por mensagem ou e-mail, nem anotadas em papel ou planilha.
- Quem suspeitar que uma senha vazou deve trocá-la e avisar o responsável na mesma hora.
- O responsável cancela os acessos de quem sair da empresa no mesmo dia.
- O responsável revisa a lista de contas e permissões a cada seis meses.
Peça que cada funcionário leia, confirme por escrito e guarde uma cópia. Se tiver dúvida jurídica sobre o texto, consulte um advogado.
Quando algo dá errado
Defina antes o que fazer em caso de problema:
- Senha vazada ou digitada em site falso: trocar a senha, encerrar sessões, avisar o responsável e conferir se houve acesso indevido. Veja vazamento de dados: o que fazer.
- Conta invadida: seguir o roteiro de recuperação da plataforma e avisar clientes se mensagens suspeitas foram enviadas.
- Senha mestra esquecida: guarde a chave de recuperação do gerenciador num cofre físico ou em local acessível ao dono, para não travar a empresa.
- Funcionário que sai de forma conflituosa: corte os acessos imediatamente, antes ou durante a conversa.
O papel de quem manda
A política só funciona se o dono ou gestor der o exemplo. Se o chefe pede a senha por WhatsApp “só dessa vez”, a regra deixa de existir. Comece você mesmo: adote o gerenciador, ative a verificação em duas etapas nas contas do negócio e só então peça o mesmo à equipe. Em uma tarde, a maior parte do risco com senhas já foi resolvida.