Seguro Cyber — Riscos Cibernéticos

Se a sua empresa guarda dados de clientes, emite boletos, vende on-line ou simplesmente para quando o sistema cai, ela tem um risco cibernético — independentemente do setor ou do porte. O seguro cyber existe para o momento em que a proteção técnica falha: quando o ataque já aconteceu, o servidor está criptografado, os dados vazaram ou o pagamento foi desviado. Ele cobre a resposta ao incidente e a responsabilização que vem depois.

O seguro cyber é uma das linhas do programa de seguros para empresas estruturado pela GVM. É central para o seguro de empresas de tecnologia e para o seguro do comércio e varejo, mas hoje é relevante para praticamente qualquer negócio. Abaixo, explicamos o risco real, o que a apólice cobre e o que exclui, e como escolher o limite e as coberturas certas.

O que é o seguro cyber empresarial

O seguro cyber (ou seguro de riscos cibernéticos) é a apólice que protege a empresa contra as consequências financeiras de incidentes digitais. Ele não impede o ataque — nenhum seguro faz isso. O que ele faz é pagar a conta do incidente e colocar, ao seu lado, uma equipe que sabe conduzir a crise.

Na prática, uma boa apólice cobre duas frentes:

• Perdas próprias (danos à própria empresa): o custo de responder ao incidente, recuperar os sistemas, reconstruir dados, notificar quem precisa ser notificado e repor o resultado perdido durante a paralisação.
• Responsabilidade civil (danos a terceiros): a defesa e a indenização quando clientes, fornecedores ou titulares de dados são prejudicados por um incidente ocorrido sob a sua guarda.

Essa dupla natureza é o que diferencia o cyber de uma apólice patrimonial comum. Ele acompanha o incidente do primeiro alerta até o encerramento das reclamações que possam surgir meses depois.

Por que a sua empresa está exposta: o risco real

O risco cibernético deixou de ser um problema só de grande empresa de tecnologia. Ele migrou para o comércio, a indústria, a saúde, os escritórios e os prestadores de serviço. A razão é simples: todo mundo passou a depender de sistemas e a guardar dados. Veja onde o incidente costuma nascer.

Ransomware e sequestro de dados

O ransomware é hoje um dos sinistros cyber mais frequentes e mais caros. Um código malicioso criptografa os arquivos e servidores da empresa, a operação para, e o criminoso pede resgate — geralmente em criptomoeda — para devolver o acesso. Em muitos casos, além de criptografar, o atacante copia os dados e ameaça publicá-los (a chamada dupla extorsão).

O prejuízo raramente é só o resgate. Some-se a isso os dias de operação parada, a perícia para entender o que aconteceu, a reconstrução dos sistemas e o risco de que dados vazados gerem responsabilização. É um evento que combina paralisação, extorsão e vazamento em um único incidente.

Vazamento de dados e responsabilidade sob a LGPD

Vazamento é a exposição não autorizada de dados. Pode vir de um ataque, de um erro interno ou de uma falha em um fornecedor. Quando envolve dados pessoais, entra a Lei Geral de Proteção de Dados (LGPD): a empresa que trata os dados é responsável e pode ser obrigada a comunicar os titulares afetados e a Autoridade Nacional de Proteção de Dados (ANPD), além de responder a reclamações e ações.

O ponto crítico é que você responde não apenas pelos seus próprios dados, mas pelos dados de terceiros que estão sob a sua guarda — os dados dos seus clientes. É aí que o custo de um incidente cresce, porque cada titular afetado é uma potencial reclamação.

Fraude por engenharia social e BEC (golpe do boleto e do e-mail)

Nem todo prejuízo cibernético envolve invasão de sistema. Boa parte do dinheiro se perde por engenharia social: o criminoso manipula uma pessoa. Os dois formatos mais comuns no Brasil são:

• Golpe do boleto: o e-mail de cobrança é interceptado ou falsificado e a empresa paga um boleto com dados bancários trocados. O dinheiro vai para o fraudador.
• BEC (Business Email Compromise): o criminoso invade ou imita o e-mail de um diretor, sócio ou fornecedor e ordena uma transferência urgente. O funcionário, achando que atende o chefe, paga.

São golpes que exploram pressa e confiança, não firewalls. Por isso as apólices que cobrem esse risco costumam exigir controles simples e eficazes, como a dupla verificação de qualquer alteração de dados bancários por um segundo canal.

Phishing e roubo de credenciais

O phishing é a porta de entrada de grande parte dos incidentes. Um e-mail ou uma página falsa captura a senha de um funcionário, e o invasor passa a ter acesso legítimo aos sistemas, à caixa de e-mail e, às vezes, à rede inteira. A partir daí, o mesmo acesso pode virar um ransomware, um vazamento ou um BEC. Combater o phishing é barato; remediar o que ele causa, não.

Interrupção dos sistemas e lucros cessantes digitais

Quando os sistemas caem por causa de um ataque, a operação para — e o faturamento junto. Para um e-commerce, cada hora fora do ar é venda que não volta. Para uma indústria, um sistema de produção parado é linha parada. Para uma transportadora, é entrega travada.

Essa perda de faturamento durante a indisponibilidade é o equivalente digital dos lucros cessantes: a apólice cyber repõe o resultado que a empresa deixou de gerar e as despesas extras para retomar a operação, conforme as condições contratadas.

O que o seguro cyber cobre

As coberturas variam entre seguradoras, mas uma apólice completa costuma reunir os itens abaixo. O detalhe fino — limites, sublimites e franquias — é o que a GVM confere no clausulado antes de você contratar.

Custos de resposta a incidente

Esta é, muitas vezes, a cobertura mais valiosa. No momento do incidente, a apólice dá acesso a uma equipe de resposta pré-contratada, que costuma incluir:

• Perícia forense: especialistas que investigam como o ataque entrou, o que foi acessado e como conter.
• Apoio jurídico: advogados especializados em proteção de dados e resposta a incidentes.
• Recuperação e contenção: suporte técnico para restabelecer os sistemas com segurança.
• Coordenação da crise: alguém experiente conduzindo as decisões nas primeiras horas.

Para a maioria das empresas, montar tudo isso do zero, no meio de uma crise, é impossível. A apólice entrega esse time pronto.

Notificação a titulares e à ANPD

Quando o incidente envolve dados pessoais, a LGPD pode exigir comunicação aos titulares afetados e à ANPD. Isso tem custo operacional: identificar quem foi afetado, redigir as comunicações, montar canais de atendimento e, em alguns casos, oferecer monitoramento de crédito aos titulares. A apólice cobre esses custos, conforme as condições.

Responsabilidade civil por dados de terceiros (LGPD)

É a frente que responde pelas reclamações e ações de clientes, fornecedores e titulares prejudicados pelo incidente. Cobre a defesa (custos com advogados e processos) e a indenização eventualmente devida. Como você responde pelos dados que guarda, essa cobertura tende a ganhar peso conforme cresce o volume de clientes.

Extorsão cibernética (ransomware)

Endereça o episódio de extorsão: a gestão da negociação por especialistas, a perícia, a recuperação dos dados e as perdas associadas, conforme os limites e as condições da apólice. A decisão sobre pagar ou não um resgate é sempre delicada e envolve aspectos legais — por isso a experiência da equipe de resposta faz diferença.

Interrupção de negócios

Repõe o lucro cessante — o resultado que a empresa deixaria de obter — e as despesas extras durante o período em que a operação ficou indisponível por causa de um ataque coberto. Funciona a partir de um período de carência (as primeiras horas costumam não contar) e de um período máximo de indenização — parâmetros que definimos conforme o quanto a sua operação depende dos sistemas.

Fraude eletrônica e engenharia social

Cobre perdas financeiras diretas por golpes como o do boleto, o BEC e transferências fraudulentas induzidas por engenharia social. Costuma vir com limite próprio e requisitos de controle. É uma cobertura que precisa ser lida com atenção, porque nem toda apólice a inclui de forma ampla — e é justamente onde muita empresa perde dinheiro.

Gestão de crise e reputação

Um incidente relevante vira notícia e chega aos clientes. Esta cobertura apoia a comunicação, as relações públicas e as ações para conter o dano à imagem — algo que, para negócios que dependem de confiança, pode valer mais do que a perda financeira imediata.

O que o seguro cyber normalmente não cobre

Nenhum seguro cobre tudo, e conhecer as exclusões evita frustração no sinistro. Em regra, ficam de fora:

• Atos dolosos e fraude do próprio segurado — o seguro protege contra o crime de terceiros, não o patrocina.
• Falhas conhecidas e não corrigidas — vulnerabilidades que a empresa já sabia que existiam e não tratou, conforme a apólice.
• Danos ao hardware físico — servidor queimado, notebook roubado e afins são objeto do seguro de equipamentos, não do cyber.
• Incidentes anteriores à vigência — eventos já ocorridos ou conhecidos na contratação.
• Perda de valor de mercado ou multas quando a lei veda a transferência — alguns tipos de penalidade não podem, por natureza, ser segurados.
• Guerra e infraestrutura de terceiros fora do escopo — conforme as definições e exclusões de cada clausulado.

Essas linhas variam de seguradora para seguradora. Ler a exclusão junto com a cobertura é parte do trabalho de estruturação — e é o que separa uma apólice que responde de uma que decepciona.

Para quem serve o seguro cyber

A resposta curta é: qualquer empresa que dependa de dados e sistemas. A resposta útil é olhar setor a setor, porque a exposição muda de formato.

E-commerce e varejo digital

Processam pagamentos, guardam dados de clientes e vivem de estar no ar. Um ataque que derruba a loja é faturamento perdido em tempo real, e um vazamento de dados de cartão gera responsabilização imediata. É um dos perfis de maior exposição, e o cyber conversa diretamente com o seguro para comércio e varejo.

Saúde: clínicas, laboratórios e hospitais

Tratam dados de saúde, que a LGPD classifica como sensíveis — a categoria de maior responsabilidade. Um vazamento de prontuários ou exames tem peso legal e reputacional elevado, e a paralisação de sistemas afeta o atendimento. São alvos frequentes de ransomware justamente porque não podem ficar parados.

Serviços profissionais e escritórios

Escritórios de advocacia, contabilidade, arquitetura e consultoria guardam informações confidenciais de muitos clientes em um só lugar. São alvos atraentes e, com frequência, têm defesas mais leves. O cyber costuma andar junto com a responsabilidade civil profissional e empresarial.

Tecnologia, SaaS e provedores digitais

Além do próprio risco, essas empresas guardam dados e operam sistemas de outras empresas — o que multiplica a responsabilidade. Um incidente pode afetar toda a base de clientes de uma vez. É o perfil para quem o cyber é praticamente obrigatório, tema central do seguro para empresas de tecnologia.

Indústria, transportadoras e logística

A digitalização levou o risco cyber ao chão de fábrica e à cadeia logística. Sistemas de produção, rastreamento e roteirização parados significam prejuízo direto. E há a exposição financeira ao golpe do boleto na relação com fornecedores. Um incidente pode paralisar tanto quanto um sinistro físico.

Em comum, todas essas empresas têm um ponto de dor: se os sistemas caem ou os dados vazam, o negócio sente na hora. Se esse é o caso da sua, o cyber merece estar no programa.

Cyber e a LGPD: como as duas coisas se conectam

Muita gente confunde estar em conformidade com a LGPD com estar protegido financeiramente. São coisas diferentes e complementares.

• A conformidade (o programa de LGPD) é o que a empresa faz para reduzir a chance de um incidente e cumprir a lei: mapear dados, definir bases legais, nomear encarregado, adotar controles.
• O seguro cyber é o que responde quando, apesar de tudo, o incidente acontece: paga a resposta, a notificação e a responsabilização.

O seguro não substitui o programa de conformidade — e, na verdade, um bom programa ajuda a conseguir melhores condições no seguro. Eles trabalham juntos: a conformidade diminui a frequência; o seguro cobre a severidade. Uma empresa madura tem os dois.

Vale lembrar que a responsabilidade dos administradores por decisões de gestão — inclusive sobre segurança da informação e proteção de dados — é assunto do seguro de D&O, que complementa o cyber quando a discussão chega ao nível dos diretores.

Quanto custa e o que influencia o prêmio

Não existe preço de tabela para o seguro cyber, e desconfie de quem cravar um valor sem conhecer a sua operação. O prêmio depende do perfil de risco. Os principais fatores que a seguradora avalia são:

• Porte e faturamento — dimensionam o impacto potencial de um incidente.
• Volume e sensibilidade dos dados — quantos registros você guarda e se há dados pessoais, sensíveis ou de pagamento.
• Setor de atuação — saúde, financeiro, e-commerce e tecnologia concentram risco.
• Maturidade de segurança — controles como MFA, backup segregado e testado, EDR e gestão de acessos reduzem o risco percebido e o prêmio.
• Limite, franquia e coberturas — quanto de proteção você contrata e como o risco é dividido entre você e a seguradora.

A maturidade de segurança é o fator sobre o qual a empresa tem mais controle. Controles básicos bem implantados podem ser a diferença entre uma proposta aceita e uma recusa — e, quando aceita, entre um prêmio caro e um justo.

Os requisitos de segurança que as seguradoras pedem

O seguro cyber é o ramo em que a subscrição mais evoluiu nos últimos anos. Hoje, cotar passa por responder a um questionário de segurança. Os controles que aparecem com mais frequência como condição ou como fator de preço são:

• Autenticação multifator (MFA) para acessos remotos, e-mail e sistemas críticos.
• Backup segregado e testado, de preferência com uma cópia isolada da rede (offline ou imutável).
• EDR/antivírus de nova geração nos endpoints e servidores.
• Gestão de atualizações (patches) para fechar vulnerabilidades conhecidas.
• Controle de acessos privilegiados e remoção de contas de ex-funcionários.
• Plano de resposta a incidentes e treinamento contra phishing.
• Dupla verificação de pagamentos para conter o golpe do boleto e o BEC.

Preencher esse questionário sozinho é onde muita empresa tropeça: uma resposta imprecisa pode encarecer ou até inviabilizar a apólice. A GVM traduz o questionário, aponta as lacunas que barram a aceitação e ajuda você a chegar à cotação em melhores condições.

Se quiser saber de antemão como a sua operação seria vista pela subscrição, o diagnóstico de risco digital percorre esses mesmos controles em poucos minutos e mostra onde estão as lacunas antes de a seguradora perguntar.

Como funciona um sinistro cyber, passo a passo

Saber o que acontece na hora do incidente ajuda a entender o valor da apólice. Em linhas gerais, o fluxo é:

1. Detecção e acionamento. A empresa identifica o incidente e aciona a central de resposta da seguradora — em regra, disponível 24 horas. Quanto antes, melhor.
2. Contenção e forense. A equipe especializada entra para conter o ataque, preservar evidências e entender a extensão do dano.
3. Decisões críticas. Com o apoio jurídico e técnico, define-se a estratégia: recuperação por backup, negociação, notificações necessárias.
4. Notificações. Se houver dados pessoais envolvidos, comunicam-se titulares e ANPD nos prazos da LGPD.
5. Recuperação e retomada. Reconstrução dos sistemas e retorno seguro à operação.
6. Indenização. A apólice cobre os custos de resposta, as perdas de interrupção e a responsabilização por terceiros, conforme as condições e os limites contratados.

Se quiser ver o fluxo geral de um sinistro empresarial em detalhe, escrevemos um guia sobre como funciona um sinistro passo a passo. O princípio vale para o cyber: avisar rápido e documentar bem acelera tudo.

Como a GVM estrutura o seu seguro cyber

O seguro cyber é técnico, e o clausulado varia bastante entre seguradoras — duas apólices com o mesmo nome podem cobrir coisas diferentes. O trabalho da corretora é justamente esse: ler o que está escrito e alinhar a apólice ao seu risco real.

Com a GVM, o processo costuma seguir estes passos:

• Diagnóstico da exposição. Entendemos o seu setor, o volume e o tipo de dados, a dependência de sistemas e os controles já existentes.
• Apoio no questionário de segurança. Traduzimos as perguntas, apontamos lacunas e ajudamos a apresentar a empresa da melhor forma possível às seguradoras.
• Cotação com o mercado certo. Levamos o risco às seguradoras especializadas em cyber e comparamos limites, coberturas, sublimites, franquias e exclusões — não só o preço.
• Estruturação do programa. Encaixamos o cyber junto às demais linhas empresariais, evitando sobreposições e lacunas com o patrimonial, o D&O e a responsabilidade civil.
• Acompanhamento no incidente. No sinistro, ficamos ao seu lado na relação com a seguradora, do aviso à indenização.

Se a sua empresa depende de dados e de sistemas — e hoje quase toda depende — vale colocar o risco cibernético na mesa. Fale com a GVM: analisamos a sua exposição, orientamos o questionário de segurança e cotamos com as seguradoras certas, sem cravar preço antes de entender o seu risco. Entre em contato e receba uma proposta de seguro cyber desenhada para o seu negócio.