Orçamento de Segurança para PMEs: Quanto Investir e Onde Priorizar

Toda conversa sobre segurança em empresa pequena chega no mesmo ponto: quanto isso vai custar. A pergunta é legítima e quase sempre recebe uma resposta ruim, porque o mercado responde com percentuais genéricos importados de estudos feitos com corporações que têm CISO, comitê de risco e um orçamento maior do que o faturamento anual de uma PME inteira. Esses números não servem de referência, e usá-los produz dois erros opostos e igualmente caros: gastar demais em ferramenta que ninguém opera, ou gastar de menos e descobrir o valor real do risco no dia do incidente.

Este artigo é sobre dinheiro, e só sobre dinheiro. Ele não vai listar quais controles implantar, isso já está no nosso checklist de segurança da informação para PMEs, nem discutir como escolher fornecedor, tema do artigo sobre os melhores serviços de cibersegurança para pequenas empresas no Brasil. Aqui o assunto é como chegar a um número defensável, o que se sabe com fonte sobre o custo de errar esse número e em que ordem gastar, para que cada real gasto reduza o máximo de risco possível.

Por que Não Existe um Número Pronto para PME

Comecemos pela honestidade: não há benchmark público de gasto com segurança para pequenas e médias empresas brasileiras. Existem benchmarks, e eles são úteis para calibrar ordem de grandeza, mas todos carregam o mesmo viés estrutural.

O Security Budget Benchmark Report 2025, produzido pela IANS Research em parceria com a Artico Search a partir de 587 respondentes, apurou que a segurança passou a representar 10,9% do gasto total de TI, contra 11,9% na edição anterior, com crescimento médio de orçamento de 4% ao ano. O detalhe que quase nunca acompanha a citação desse número é a composição da amostra: são CISOs. Ou seja, empresas que já têm um executivo dedicado a segurança, o que exclui por definição a esmagadora maioria das PMEs. O percentual descreve como uma organização madura distribui o próprio orçamento, não quanto uma empresa de 30 funcionários deveria gastar.

Do lado brasileiro, a referência mais sólida é a Pesquisa Anual do Uso de TI da FGVcia, da FGV EAESP, em sua 36ª edição, com 2.672 respostas válidas. Ela apurou gasto com TI equivalente a 10,0% do faturamento na média geral, com dispersão relevante entre setores: 13,6% em serviços, 5,4% na indústria e 4,5% no comércio. Repare que estamos falando de TI inteira, não de segurança. Segurança é uma linha dentro desse valor, e tratar os 10% como orçamento de segurança é um erro de leitura que já vi custar credibilidade em reunião de sócios.

A conclusão prática dos dois números é a mesma: eles servem para checar se a sua ordem de grandeza é absurda, não para definir o valor. Se a sua empresa gasta com TI algo muito distante do padrão do seu setor, vale entender por quê. Fora isso, o benchmark não decide nada.

Três Formas de Chegar ao Número, e a que Funciona para PME

Percentual do orçamento de TI

É o método mais citado e o mais frágil para empresa pequena, porque pressupõe que o orçamento de TI já esteja correto. Se a empresa subinveste em TI, aplicar um percentual sobre uma base subdimensionada apenas propaga o erro. Ele funciona quando já existe uma linha de TI estruturada e o objetivo é discutir a fatia relativa da segurança dentro dela.

Percentual do faturamento

Mais estável que o anterior, porque a receita é um número que o dono conhece bem e não depende de contabilidade interna de TI. Serve como teto de sanidade: se o valor proposto representa uma fração implausível do faturamento, a proposta está errada, para mais ou para menos. O limite do método é que ele ignora exposição. Uma loja virtual que processa cartão e uma serralheria com o mesmo faturamento não têm o mesmo risco, e não deveriam ter o mesmo orçamento.

Custo evitado, o método que recomendo

A conta que faz sentido para PME não parte do quanto gastar, parte do quanto dói. O exercício tem três perguntas e cabe em uma folha:

• O que precisa estar de pé para faturarmos amanhã? Sistema de vendas, e-mail, ERP, maquininha, o site. Liste o que trava a receita se sumir.
• Quanto custa um dia parado? Divida o faturamento mensal pelos dias úteis e some o custo de folha que continua correndo. É uma aproximação grosseira e ela já é suficiente para a decisão.
• Qual gasto reduz a chance de cada um desses eventos? Aqui o orçamento deixa de ser um percentual abstrato e vira uma lista de itens com preço e propósito.

Esse é o mesmo raciocínio que quantificação de risco cibernético formaliza em empresas grandes, com metodologia e modelagem estatística, e que discutimos no artigo sobre ROI de cibersegurança e como justificar investimentos. Em uma PME, a versão de uma folha entrega quase todo o valor da versão sofisticada, a um custo próximo de zero.

Quanto Custa Não Gastar: os Números que Têm Fonte

Aqui é preciso cuidado dobrado, porque é justamente nesta seção que o mercado despeja estatísticas assustadoras sem procedência. Vamos aos dados que resistem a verificação, com as ressalvas que cada um exige.

O Cost of a Data Breach Report da IBM, edição de 2025, apurou custo médio de R$ 7,19 milhões por violação de dados no Brasil, contra R$ 6,75 milhões no ano anterior. Esse número circula muito em apresentação comercial para PME, e usá-lo desse jeito é desonesto: a amostra da IBM é composta por organizações de grande porte, e o valor reflete equipes jurídicas, notificação em massa, consultoria de resposta e perda de negócio em escala que uma empresa de 40 pessoas simplesmente não tem. Cite o número pelo que ele é, um retrato do custo em grandes organizações, e não como se fosse a sua conta.

O recorte mais próximo da realidade de PME vem do State of Ransomware da Sophos, edição de 2025, com 3.400 líderes de TI e segurança em 17 países, restrito a organizações de 100 a 5.000 funcionários. Entre as organizações com receita de até US$ 250 milhões, a demanda mediana de resgate ficou abaixo de US$ 350 mil. O custo médio de recuperação, já sem contar o resgate, foi de US$ 1,53 milhão, com queda relevante frente aos US$ 2,73 milhões do ano anterior. E 53% das organizações se recuperaram em até uma semana, enquanto 18% levaram mais de um mês.

Há ainda o custo regulatório, e ele merece uma correção de expectativa. A LGPD prevê multa de até 2% do faturamento no Brasil no último exercício, limitada a R$ 50 milhões por infração. Esse teto é o número que aparece em toda apresentação de vendas. A realidade da fiscalização é outra: a primeira sanção pecuniária aplicada pela ANPD, publicada em julho de 2023, foi contra a Telekall Infoservice, uma microempresa, e totalizou R$ 14.400, somando duas multas de R$ 7.200. O detalhe relevante para o leitor deste artigo não é o valor baixo, é o fato de a primeira empresa multada no país ter sido uma microempresa. O risco regulatório de PME não é ser multada em R$ 50 milhões, é ser fiscalizada sem ter o básico documentado. Tratamos o que a lei efetivamente exige de empresa pequena no guia de adequação à LGPD para pequenas empresas.

A Estatística que Todo Mundo Repete e Ninguém Consegue Provar

Se você já recebeu proposta de segurança, quase certamente leu que 60% das pequenas empresas fecham as portas em seis meses depois de um ataque cibernético. O número aparece em slide de fornecedor, em matéria de portal e em post de LinkedIn, sempre atribuído a alguma entidade respeitável.

Ele não se sustenta. Em maio de 2022, a National Cybersecurity Alliance, entidade a quem a estatística é mais frequentemente atribuída, publicou uma nota afirmando textualmente que o dado não foi gerado por pesquisa da organização e que ela não consegue verificar a fonte original. A entidade removeu todas as referências ao número do próprio site e desaconselha o uso. Rastreando a origem, chega-se a um dado de terceiros de 2011, sem metodologia publicada.

O ponto não é que o risco seja pequeno. É que ele não precisa de exagero para justificar orçamento. Os números da Sophos e o histórico de fiscalização da ANPD bastam, e têm a vantagem de sobreviver a uma pergunta difícil na reunião de sócios.

Onde Vai o Primeiro Real: a Ordem por Custo Evitado

Com o método definido e o custo do erro dimensionado, resta a pergunta que decide o orçamento: em que ordem gastar. A sequência abaixo é ordenada por risco reduzido por real gasto, não por sofisticação técnica.

Primeiro, o que já está pago e desligado. É a única linha do orçamento com retorno infinito, porque o custo marginal é zero. Autenticação multifator, políticas de compartilhamento e bloqueio de encaminhamento externo de e-mail já vêm nos planos de Microsoft 365 e Google Workspace que a empresa assina, e na maioria das PMEs estão desativados. A Microsoft aponta que a autenticação multifator moderna bloqueia mais de 99% das tentativas de acesso não autorizado, e o próprio Digital Defense Report de 2025 mostra que 97% dos ataques a identidade são tentativas de senha por força bruta ou password spray, exatamente a classe de ataque que o segundo fator neutraliza. Detalhamos o que ligar em cada ambiente no artigo sobre segurança em Microsoft 365 e Google Workspace para PMEs.

Segundo, backup que já foi testado. O custo de armazenamento em nuvem para backup é hoje da ordem de poucos dólares por terabyte ao mês em provedores como Backblaze B2 e Wasabi, e o Veeam Backup & Replication tem edição gratuita para até dez cargas de trabalho. O gasto relevante aqui não é a licença, é o tempo de alguém montar e testar a restauração, e é justamente esse tempo que costuma ficar de fora do orçamento. Como fazer isso sem equipe de TI é o tema do artigo sobre backup para PMEs.

Terceiro, o canal por onde o ataque entra. Na prática de PME brasileira, é o e-mail e o WhatsApp do financeiro. Proteção de e-mail, verificação de mudança de dados bancários e treinamento de quem paga boleto custam pouco e endereçam o vetor mais frequente de perda financeira direta.

Quarto, ferramenta nova. EDR, gateway de e-mail avançado, monitoramento gerenciado. São bons investimentos e vêm depois, porque exigem operação contínua. Comprar detecção sem ter quem responda ao alerta produz custo sem redução de risco.

Quinto, transferência de risco. Seguro cibernético cobre o impacto financeiro residual, aquilo que sobra depois que a prevenção fez o trabalho dela. Contratar apólice antes dos itens anteriores inverte a lógica e tende a sair mais caro, porque as seguradoras avaliam controles na precificação. Discutimos o produto em detalhe no artigo sobre seguro cibernético.

Sobre preços de referência: o Google publica os valores do Workspace em reais na página oficial de planos, com Business Starter a R$ 40,90, Business Standard a R$ 81,80 e Business Plus a R$ 128,40 por usuário ao mês no compromisso anual. Para Microsoft 365, os valores em real variam por compromisso e por reajuste recente, e a única fonte confiável é a página oficial de preços no momento da compra. Preços de EDR, gateway de e-mail e treinamento no mercado brasileiro raramente são publicados em tabela e dependem de cotação por volume.

O Erro de Orçamento Mais Caro em PME

Não é gastar pouco. É comprar ferramenta sem orçar quem opera. Uma solução de detecção que ninguém acompanha gera alerta que ninguém lê, e o custo é dobrado: paga-se a licença e mantém-se o risco, com o agravante de a empresa acreditar que está protegida. Em orçamento de PME, toda linha de ferramenta deveria vir acompanhada de uma linha de operação, seja uma fração do tempo de alguém interno, seja um contrato de serviço gerenciado.

O segundo erro mais caro é orçar apenas uma vez. Licença renova, contrato reajusta, a empresa cresce e muda de exposição. Um orçamento de segurança que não é revisitado anualmente vira uma foto desatualizada de um risco que se moveu.

Perguntas Frequentes

Conclusão

Orçamento de segurança para PME não se resolve com percentual copiado de estudo corporativo. Resolve-se com três perguntas simples, o que trava a receita, quanto custa um dia parado e o que reduz a chance disso acontecer, e com disciplina de sequência: primeiro o que já está pago e desligado, depois backup testado, depois o canal por onde o dinheiro escapa, e só então ferramenta nova acompanhada de quem a opere. Os dados verificáveis bastam para sustentar a conversa, sem precisar da estatística assustadora que ninguém consegue provar. E, se um único número tiver de ficar deste artigo, que seja este: a primeira empresa multada pela ANPD no Brasil foi uma microempresa. O regulador não espera a empresa crescer para cobrar o básico.