9h12 de uma manhã comum: alguém do financeiro abre um anexo que parecia vir do contador, e o antivírus não acusa nada. Segundo o Global Threat Report 2026 da CrowdStrike, o tempo médio que um invasor leva para sair da primeira máquina e começar a se espalhar — o breakout time — caiu para 29 minutos em 2025, com o caso mais rápido em 27 segundos. Às 9h41, portanto, o problema já não é um notebook: é o servidor de arquivos, o sistema de gestão e o backup que estava no mesmo switch. A PME é o alvo preferencial dessa aritmética por um motivo estrutural — ela quase sempre opera uma rede plana, em que todo dispositivo conversa com todos os outros sem barreira no caminho.

Movimentação lateral: o que decide o tamanho do estrago

Quase toda discussão de segurança em PME gira em torno de impedir a entrada. É necessário, mas insuficiente: o State of Ransomware 2026 da Sophos aponta que 79% dos ataques de ransomware começaram por identidade — credencial vazada, sessão roubada, MFA contornado. Contra credencial válida, o portão não ajuda.

O que vem depois da entrada é a movimentação lateral: o invasor usa o equipamento comprometido como base para mapear a rede, descobrir servidores e compartilhamentos, colher credenciais e chegar ao que interessa — dados e backup. O Global Incident Response Report 2026 da Unit 42 mostra o quanto essa fase acelerou: entre o quarto mais rápido das intrusões, a exfiltração aconteceu em 72 minutos, contra 285 minutos no ano anterior. A janela de reação encolheu para pouco mais de uma hora.

A rede plana é um prédio sem portas corta-fogo

Nenhum engenheiro projeta um prédio apostando que não haverá incêndio: ele instala portas corta-fogo, que não evitam o fogo — apenas impedem que um andar queimando leve o edifício inteiro. Segmentação de rede é isso aplicado à TI.

Numa rede plana, o notebook do estagiário, a câmera de R$ 200, a impressora do corredor, o Wi-Fi de visitante e o servidor com o banco de dados ocupam o mesmo espaço lógico. Na prática, o pior dispositivo da rede define a segurança de todos os outros. E ele raramente é um computador: é o aparelho que ninguém atualiza, com senha de fábrica e firmware de 2019.

Todo mundo concorda, quase ninguém faz

Em julho de 2026 o Gartner publicou a pesquisa Reimagining Network Microsegmentation, e o resultado explica por que o tema vive em segundo plano: 95% dos líderes de segurança concordam que a microssegmentação é fundamental, mas só 9% protegem mais de 80% dos sistemas críticos. A intenção é unânime; a execução é rara.

O motivo é compreensível: segmentar mexe em roteamento, firewall, sistemas legados e naquela integração que ninguém documentou. Do outro lado, o M-Trends 2026 da Mandiant mediu em 22 segundos o repasse mediano entre quem vende o acesso inicial e quem opera o ransomware — em 2022 eram mais de oito horas.

Onde a PME erra ao achar que já segmentou

Nos diagnósticos que a Trinity TI faz no Rio de Janeiro, “nossa rede já é segmentada” costuma significar apenas que existem VLANs no switch. VLAN sem regra de filtragem organiza o endereçamento, não contém ninguém — é levantar as paredes e deixar as portas escancaradas. Os erros mais frequentes:

• VLANs sem ACL: as redes existem, mas o tráfego entre elas é livre em qualquer porta.
• Wi-Fi de visitante no mesmo domínio de broadcast da rede administrativa, só com SSID diferente.
• Backup acessível por SMB de qualquer estação — justamente o que o ransomware procura.
• Câmeras, catracas e impressoras na rede dos usuários, sem inventário e sem atualização.
• Acesso remoto que cai na rede toda, em vez de cair só no sistema que a pessoa usa.

Como proteger sua empresa na prática

1. Inventarie o que está conectado hoje

Não existe segmentação sem inventário, e é por isso que o controle 1 do CIS Controls v8 vem antes de tudo: você precisa da lista de ativos conectados — inclusive os que não são computadores — antes de decidir o que separar de quê. Uma varredura de rede e as tabelas ARP e DHCP do roteador entregam esse mapa em poucas horas.

2. Comece por três zonas, não por trinta

Microssegmentação completa é projeto de meses; o ganho maior vem no início, com três zonas: servidores e backup, estações de trabalho e dispositivos não gerenciados (câmeras, impressoras, IoT, Wi-Fi de visitante). Só isso já tira do caminho o pivô mais comum.

3. Filtre o tráfego entre as zonas e negue por padrão

É aqui que a segmentação passa a existir. O controle 12 do CIS Controls v8 e o Anexo A 8.22 da ISO/IEC 27001:2022, que trata de segregação de redes, apontam para a mesma prática: negação padrão entre zonas, liberando só as portas necessárias. Documente cada exceção com dono e prazo, ou ela vira permanente.

4. Isole o backup de propósito

O backup precisa ficar em um segmento que as estações não alcançam, com credencial própria e cópia imutável ou offline. Se a conta do desktop consegue apagar o backup, não existe plano de recuperação — existe uma cópia esperando a vez de ser criptografada.

5. Monitore o tráfego lateral, não só a borda

Com as zonas definidas, toda tentativa de atravessá-las vira alerta de alta qualidade: estação varrendo portas de servidor, câmera conversando com o controlador de domínio, acesso SMB fora do horário. Em 29 minutos de janela, detectar a movimentação lateral vale mais do que detectar a entrada.

A pergunta não é mais “fomos invadidos?”

Em agosto de 2026, a Itaguaí Construções Navais confirmou um ataque de ransomware ao seu ambiente de TI. Casos assim mostram que ninguém sério promete que a invasão não vai acontecer. A pergunta virou até onde ela chega — e isso é decidido pela arquitetura da rede meses antes do incidente, não pela ferramenta comprada depois.

🔐 Se um computador da sua empresa fosse comprometido agora, até onde o invasor chegaria? Fale com os especialistas da Trinity TI e receba um diagnóstico da sua rede com o mapa de zonas e o plano para isolar o backup.