A Varredura conduziu, entre março e julho de 2026, uma pesquisa com 620 pequenas e médias empresas brasileiras que operam software próprio em produção. A amostra foi construída a partir da base ativa de clientes free-tier e de respondentes de survey aberto, ponderada por região e porte segundo dados SEBRAE 2025. Todas as respostas são auto-declaradas; achados técnicos vieram de varreduras autorizadas.

Este é o retrato do estado da segurança em PMEs brasileiras que operam software — o segmento que, segundo IBGE 2025, representa 27% do PIB nacional e emprega 52% da força de trabalho formal.

Metodologia resumida

• Universo: 620 empresas com 10 a 500 funcionários que operam ao menos uma aplicação web própria em produção.
• Distribuição por porte:

- 10 a 50 funcionários: 42% da amostra (261 empresas) - 50 a 200 funcionários: 38% (236 empresas) - 200 a 500 funcionários: 20% (123 empresas)

• Distribuição regional:

- São Paulo: 39% - Rio de Janeiro: 12% - Minas Gerais: 10% - Sul (RS, SC, PR): 21% - Nordeste: 11% - Outras regiões: 7%

Achados executivos

Números que resumem o cenário:

• 71% das PMEs não têm CISO ou equivalente (responsável formal por segurança). Sobe para 89% no segmento de 10 a 50 funcionários.
• 58% não têm backup testado nos últimos 12 meses. 22% têm backup, mas nunca fizeram restore. Só 20% testaram restore no último ano.
• 63% não fazem varredura de vulnerabilidade com frequência maior que anual.
• 44% não têm plano de resposta a incidente documentado.
• 31% já sofreram um incidente reconhecido nos últimos 24 meses.
• 12% já pagaram resgate em ransomware. Média de R$ 78 mil (mediana R$ 32 mil).

Top 5 falhas mais comuns

Consolidando varreduras autorizadas em 340 aplicações que abriram acesso para verificação:

| # | Falha | % das apps afetadas | |---|---|---| | 1 | Headers de segurança ausentes (HSTS, CSP, X-Frame-Options) | 78% | | 2 | Dependências com CVE crítica aberta > 90 dias | 61% | | 3 | Falta de rate limiting em endpoint de autenticação | 54% | | 4 | Verbose errors (stack trace) em produção | 49% | | 5 | SQL Injection em pelo menos um endpoint | 37% |

SSRF apareceu em 26% e JWT mal implementado em 24% — números consistentes com o relatório trimestral Q3 de 500 apps, mas ligeiramente melhores no segmento PME. Nossa hipótese é que PMEs têm menos integrações externas por app, o que reduz superfície SSRF.

Comparação por porte

Postura de segurança por faixa de funcionários:

| Prática | 10–50 | 50–200 | 200–500 | |---|---|---|---| | Tem CISO ou responsável formal | 11% | 32% | 68% | | MFA obrigatório no admin | 34% | 61% | 84% | | Log centralizado (SIEM ou equivalente) | 8% | 27% | 59% | | Varredura contínua de vulnerabilidade | 12% | 31% | 58% | | Plano de resposta a incidente escrito | 22% | 51% | 79% | | Backup testado nos últimos 12 meses | 18% | 44% | 71% | | DPO nomeado | 19% | 47% | 78% | | Awareness training anual | 26% | 55% | 82% |

O salto entre 10–50 e 200–500 é grande em quase todos os controles. A faixa 50–200 é onde a maturidade começa a se firmar — geralmente coincidindo com Série A/B ou com o primeiro contrato enterprise que exige assessment de segurança.

Comparação regional

Média ponderada de controles adotados (de 20 controles-base):

| Região | Média de controles | PMEs com CISO | |---|---|---| | São Paulo | 11.2 | 34% | | Sul (RS, SC, PR) | 10.6 | 31% | | Rio de Janeiro | 9.8 | 28% | | Minas Gerais | 9.4 | 24% | | Nordeste | 8.1 | 19% | | Outras | 7.9 | 17% |

São Paulo lidera, com o Sul logo atrás. Nordeste tem a menor adoção — mas também o maior crescimento ano contra ano (+27%, contra +11% da média nacional). Atribuímos ao aumento de investimento em polos tecnológicos regionais (Porto Digital, Cadu Amaral, etc.) e programas SEBRAE de digitalização.

Incidentes reportados

31% da amostra reconheceu um incidente nos últimos 24 meses. Tipos:

| Tipo | % dos incidentes | |---|---| | Phishing bem-sucedido | 34% | | Vazamento por credencial exposta | 21% | | Ransomware | 16% | | Comprometimento de fornecedor (supply chain) | 12% | | Web app comprometida (SQLi, RCE, etc) | 9% | | Insider (mal-intencionado ou negligente) | 5% | | Outros | 3% |

Custo médio declarado do incidente: R$ 187 mil para PMEs 10–50, R$ 640 mil para 50–200, R$ 2.1 milhões para 200–500.

Notificação à ANPD: apenas 41% dos incidentes que envolveram dado pessoal foram notificados no prazo de 3 dias úteis. Em 34% dos casos, a empresa admitiu não ter identificado o incidente como reportável.

Uso de código gerado por IA

Perguntamos sobre adoção de assistentes de IA no desenvolvimento:

• 74% dos times de dev usam Copilot, Cursor, Claude Code ou equivalente ao menos uma vez por semana.
• 51% usam diariamente.
• 19% têm política escrita sobre uso de IA em desenvolvimento.
• 8% têm processo específico de revisão para código AI-assisted.

O gap entre uso (74%) e governança (19%) é o dado mais preocupante da pesquisa. Confirma o que abordamos em 12 vulnerabilidades de vibe coding.

LGPD nas PMEs

• 68% afirmam estar "em conformidade" com a LGPD.
• 34% têm DPO nomeado e visível no site.
• 41% têm política de privacidade atualizada nos últimos 12 meses.
• 28% têm registro de tratamento (art. 37) documentado.
• 19% já receberam solicitação de titular (art. 18) e a atenderam no prazo.

A distância entre auto-percepção (68%) e evidências operacionais (19–41%) sugere que boa parte considera "ter política" como sinônimo de "estar em conformidade" — o que a ANPD tem deixado claro que não é. Para o mapeamento operacional, veja o checklist LGPD de 15 pontos.

Orçamento de segurança

Média de gasto em segurança como % do faturamento:

| Porte | % do faturamento | |---|---| | 10–50 funcionários | 0.4% | | 50–200 funcionários | 1.2% | | 200–500 funcionários | 2.7% | | Benchmark Gartner (global) | 5.7% |

PMEs brasileiras gastam substancialmente menos que a média global. A boa notícia: 42% declararam intenção de aumentar o orçamento em 2027, com foco em varredura contínua, MFA e treinamento.

Recomendações práticas para PMEs 10–50

Se você está na faixa mais vulnerável, comece por cinco itens de alto retorno:

1. MFA obrigatório em todos os acessos administrativos. Custo zero, elimina 80% dos vetores de credencial.
2. Backup testado com restore documentado a cada 90 dias.
3. Varredura automatizada semanal dos endpoints públicos.
4. Política de resposta a incidente em uma página — quem liga para quem, prazos ANPD, cópia offline.
5. Awareness training de 30 minutos por trimestre. Não precisa ser sofisticado.

Esses cinco itens elevam qualquer PME acima da mediana da amostra em menos de 30 dias de trabalho.

Metodologia completa e dados agregados disponíveis para pesquisadores acadêmicos mediante solicitação.

A Varredura roda no seu app em minutos, gera relatório equivalente ao deste estudo em 24 horas, e monitora continuamente — sem tocar em código-fonte. Rode agora.