Quem é MEI ou trabalha por conta própria acumula funções que, em uma empresa maior, seriam três departamentos: você vende, você emite a nota, você paga o fornecedor e sem nunca ter escolhido isso, você também é o responsável de TI do seu negócio. O problema é que ninguém entregou um manual dessa última função.
A boa notícia? A maior parte dos incidentes que travam a operação de um negócio pequeno não vem de ataque sofisticado, vem de decisões de acesso tomadas no automático, em um dia corrido. Na prática, segurança da informação em empresa pequena é gestão de chaves. E você tem quatro.
O certificado digital é uma chave, não um arquivo
O certificado digital é o que dá validade jurídica à identidade da sua empresa no mundo eletrônico: é ele que assina suas notas fiscais e autoriza você a agir em nome do CNPJ nos sistemas do governo. Ele existe em dois formatos
É um arquivo (normalmente .pfx) instalado no computador ou hospedado em nuvem. Cômodo de usar em vários lugares e, exatamente por isso, duplicável em segundos por qualquer pessoa que o receba, logo a senha não deve ser compartilhada com qualquer pessoas e deve ser uma senha forte.
Fica guardado dentro de um dispositivo físico (token USB ou cartão). Menos prático na rotina, porém ninguém o leva embora sem levar o objeto o que torna o acesso visível.
Agora faça uma conta rápida. Se você já enviou o arquivo do A1 com a senha por WhatsApp para o contador, para um funcionário e para o técnico que formatou seu notebook, existem três cópias da assinatura digital da sua empresa circulando fora do seu controle neste momento. E nenhuma delas para de funcionar quando a relação com aquela pessoa termina.
Como resolver: Se seu certificado estiver comprometido não se resolve trocando a senha. Ele precisa ser revogado e um novo precisa ser emitido e nesse intervalo você não emite nota. O controle prático e quase ninguém faz: manter uma anotação de quem recebeu acesso ao certificado e por qual canal, para saber o que revogar no dia em que algo der errado.
Os golpes que usam a linguagem fiscal contra você
A fraude que mais atinge pequenos negócios não parece fraude. Ela parece obrigação. Vale conhecer a sequência, porque ela é quase sempre a mesma:
A defesa não exige conhecimento técnico exige duas regras fixas, daquelas que você aplica sem pensar:
Acessar o portal do governo clicando no link que chegou na mensagem. Nem conferir se “o site parece certo”, endereço parecido é o mínimo que um golpe entrega.
Abrir o e-CAC, o portal da SEFAZ ou o sistema da prefeitura digitando o endereço você mesmo, e verificar lá se a pendência existe de verdade. Se existir, ela vai estar no portal.
O parente próximo desse golpe é o boleto alterado: fornecedor real, e-mail quase idêntico ao real, dados bancários trocados. A regra aqui é igualmente simples confirme dados de pagamento por telefone, usando um número que já estava na sua agenda. Nunca o número que veio na mensagem.
Senha compartilhada: o problema não é confiança, é rastreabilidade
Em quase todo negócio pequeno existe uma senha que “todo mundo usa”. Funciona bem até o dia em que uma nota é cancelada indevidamente, um preço é alterado ou um lançamento financeiro desaparece e não há como saber quem fez, porque o sistema registrou uma única identidade fazendo tudo.
A questão não é desconfiar da sua equipe. É que, sem rastreabilidade, você não consegue nem investigar um erro honesto nem demonstrar a sua própria diligência se houver contestação. E há um detalhe que costuma passar batido: para revogar o acesso de uma pessoa, é preciso que aquela pessoa tenha um acesso próprio a ser revogado. Senha compartilhada não se revoga, se reescreve para todo mundo, e alguém sempre continua com a antiga anotada.
O princípio que resolve a maior parte disso é o do mínimo necessário: cada pessoa enxerga só o que a função dela exige. Algo assim:
| Quem | Emitir nota | Ver financeiro | Alterar cadastro fiscal |
|---|---|---|---|
| Você (dono) | ✓ | ✓ | ✓ |
| Quem atende no balcão | ✓ | ✕ | ✕ |
| Ajudante de fim de semana | ✓ | ✕ | ✕ |
LGPD: sim, ela também vale para o seu CNPJ
A LGPD (Lei Geral de Proteção de Dados) regula como qualquer pessoa ou empresa trata dados pessoais de terceiros, e não abre exceção por porte. Se você emite nota fiscal, você trata dados pessoais: nome, CPF e endereço do seu cliente estão ali, por definição.
O que muda para o negócio pequeno é o nível de exigência, não a aplicação da lei. A ANPD (Autoridade Nacional de Proteção de Dados) prevê um tratamento simplificado para agentes de pequeno porte, com obrigações proporcionais ao tamanho da operação.
Já o princípio que sobrevive a qualquer mudança de norma, esse vale internalizar: guarde o mínimo de dados, pelo menor tempo necessário, no menor número de lugares possível. A planilha de clientes com CPF salva no desktop, no pen drive e no WhatsApp com você mesmo é o oposto exato disso e é o cenário mais comum que existe.
Autodiagnóstico de 6 perguntas
Como proteger os acessos da sua empresa sem perder tempo
Repare no que quase todas as respostas difíceis têm em comum: elas são difíceis porque a operação está espalhada. A nota em um lugar, o financeiro numa planilha, o cadastro do cliente no celular, o certificado num pen drive. Cada cópia extra é uma superfície de risco a mais e uma chance a mais de você não conseguir responder quem acessou o quê.
Com o Registre Tudo, você reduz esse espalhamento concentrando a operação em um só lugar: emissão de NF-e, NFC-e e NFS-e com poucos cliques e o certificado configurado no sistema em vez de circulando por conversas; estoque integrado às vendas e compras, sem planilhas paralelas guardando dados duplicados; e finanças organizadas de forma descomplicada, com o histórico do negócio centralizado.
Se hoje você não conseguiria responder de cabeça “quem tem acesso ao meu certificado e ao meu sistema de emissão?”, esse é o ponto de partida. Proteja os acessos da sua empresa conhecendo o Registre Tudo e comece organizando sua operação em um só lugar, no seu ritmo.
