Um levantamento rápido na maioria das empresas brasileiras de pequeno e médio porte revela uma resposta comum à pergunta "quantos computadores vocês têm": ninguém sabe. Tem o notebook da dona, o computador de mesa do financeiro que às vezes fica ligado, a impressora que de repente vira servidor de dados, o notebook do estagiário que saiu há três anos e continua na rede, o celular do vendedor que estava registrado no sistema de distribuição, que pode estar em São Paulo ou em um hotel na Argentina. Não há lista. Não há atualização. Não há certeza.

Essa ausência de inventário é um dos maiores riscos de segurança que uma empresa pode ter — e é também o que nenhum ataque precisa de grande sofisticação para explorar. Segundo o relatório de 2025 da Verizon sobre violações de dados, na Europa, no Oriente Médio e na África as violações que começaram por invasão de sistema saltaram para 53% — quase o dobro dos 27% do ano anterior. Parte delas entra por uma máquina que ninguém sabia que existia, ou que foi esquecida no canto da sala de servidores.

O efeito é cascata. Sem saber quantos dispositivos tem, a empresa não consegue dizer em quanto tempo consegue atualizá-los. Não consegue dizer se um computador novo entra com antivírus instalado ou não. Não consegue dizer se uma senha compartilhada entre dez máquinas de um único funcionário continua rodando dois anos depois que ela saiu. Não consegue dizer se aquele servidor que alguém ligou em 2022 "só para testar" ainda está ali, sem senhas fortes, sem backup, aberto para qualquer um da rede acessar. Não consegue impedir o que não consegue ver.

O risco de uma máquina invisível

O primeiro efeito de não saber o que existe é não conseguir proteger. Segundo o Catálogo de Vulnerabilidades Exploradas da CISA, mais de 1.700 vulnerabilidades estão sendo ativas e deliberadamente exploradas hoje — o número cresce todos os meses. Cada uma delas é uma porta aberta, mas a porta só funciona se existe uma máquina dela para entrar. Uma máquina que não está no inventário, que ninguém está atualizando, que ninguém está monitorando.

Isso não é negligência. Pessoas competentes e bem-intencionadas trabalham em TI de empresas com centos de funcionários sem ter, em lugar nenhum, uma lista central de máquinas. O que acontece é que o lugar onde essa lista deveria estar é ocupado por "como" — como fazer para arrumar a impressora, como acessar o sistema antigo, como colocar a senha de novo porque alguém esqueceu. O inventário fica para depois, sempre.

O dano de uma máquina invisível aparece quando ela vira a ponte de entrada. A Sophos, em seu relatório de 2026 sobre sequestro de dados — o ataque em que um programa embaralha os arquivos da empresa e cobram resgate para devolver —, mediu que o custo médio de recuperação de um ataque bem-sucedido é de US$ 1,7 milhão. Não é só o dinheiro do resgate — é a hora que a equipe gasta tentando descobrir o que aconteceu, é a produção que para, é o cliente que chama desconfiado porque recebeu um e-mail estranho vindo do domínio da empresa, é o retrabalho de tudo que estava sendo feito quando o sistema caiu.

A vulnerabilidade é pior em empresas que cresceram rápido. Aquele servidor que o sócio ligou em 2019 "só para armazenar os arquivos antigos" continua ali, com uma senha que ele pediu para o primo do primo, sem backup, sem monitoramento, sem ninguém realmente responsável por ele. Aquele notebook que era do diretor de TI que saiu em 2023 foi dado para o trainee, que depois veio para outra pessoa, que agora trabalha remoto e ninguém tem certeza em qual máquina a conta dela está ativa.

Num cenário assim, o ataque não precisa ser sofisticado. Não precisa de zero-day. Precisa só de paciência para procurar a máquina que ninguém está prestando atenção.

Por que o jeito comum não resolve

A reação natural é "vamos fazer um inventário" — alguém passa um fim de semana com um levantamento manual, lista 147 máquinas, envia para as chefias. Três meses depois, 40 delas mudaram de lugar, cinco saíram da empresa e foram substituídas por 12 outras, e a lista continua dizendo 147. O inventário virou um papel.

O jeito comum costuma ser também contar só com o que está na nota fiscal: "temos 32 computadores porque a nota fiscal tem 32". Mas entre a nota fiscal de 2018 e agora, máquinas foram dadas para outras áreas, emprestadas que viraram permanentes, trocadas, ligadas só para teste e esquecidas. A nota fiscal é um ponto fixo no tempo. O parque real é dinâmico.

Outro caminho comum é deixar essa responsabilidade com uma pessoa só. "João cuida do inventário." João sai de férias, João cai de moto, João consegue um emprego melhor, e ninguém mais sabe onde está a informação ou se ela era confiável. E mesmo que João fosse imortal, uma pessoa só não consegue manter atualizado em real-time um inventário correto de 500 máquinas, especialmente quando máquinas novas entram, antigas saem, senhas mudam, acessos são revogados e tudo isso em horários diferentes.

A diferença entre um inventário que existe no papel e um que existe na prática é um. Um sistema que avisa quando uma máquina nova entra na rede. Um log que mostra quem está acessando o quê. Uma lista que se atualiza sozinha, porque é derivada de quem realmente está usando, não de quem deveria estar usando segundo a planilha de 2021.

O que precisa existir na prática

Um controle de inventário de ativos que funciona de verdade precisa de alguns mecanismos verificáveis.

Um registro automático de tudo que entra na rede. Quando uma máquina nova é ligada ou um celular se conecta ao WiFi pela primeira vez, o sistema sabe — não porque alguém preencheu um formulário, mas porque a rede vê. Quem é, qual é o endereço IP, qual é o nome, qual é o sistema operacional, qual é o histórico de acessos. Nenhuma máquina fica invisível por acaso.

Um proprietário claro para cada ativo. Aquele servidor ali é responsabilidade de quem? Daquele notebook? Do celular que estava aqui e agora ninguém sabe onde foi? Sem dono não há responsável; sem responsável não há atualização nem monitoramento.

Uma atualização contínua quando máquinas saem ou entram. Quando alguém sai da empresa, o que acontece com o notebook dele? É apagado? É reciclado? É vendido? Quem avisa o sistema? Se ninguém avisar, a máquina continua no inventário e na rede por anos, e quando um invasor encontra ela, encontra uma máquina oficial da empresa, com acesso ao domínio, com arquivos antigos ali dentro.

Um mapa de cada máquina — sistema operacional, software instalado, permissões que tem, quem está usando agora. Assim é possível saber em minutos quais máquinas têm uma vulnerabilidade específica do Windows, ou qual delas está rodando uma versão descontinuada da Adobe, ou qual tem uma licença vencida de antivírus, ou qual tem acesso a dados sensíveis.

Uma lista de quem acessa o quê. Não para vigiar, mas para entender: qual máquina acessa bancos de dados? Qual acessa a pasta de contrato com cliente? Qual está se comunicando com um serviço na nuvem que ninguém sabe? Quando um alarme soa, esse mapa diz onde procurar.

É assim que a Skills IT trabalha: com um registro automático de cada dispositivo que entra, um proprietário definido, atualização contínua conforme máquinas saem e entram da empresa, e um mapa claro do que cada uma acessa. Não é vigilância — é visibilidade.

O que muda quando a empresa sabe o que tem

Quando a empresa passa a ter inventário real, o ganho não é abstrato. A primeira coisa que muda é o tempo de resposta. Quando um alerta de segurança soa dizendo "existe uma máquina aqui com vulnerabilidade X", a empresa não fica horas tentando descobrir qual é. O mapa diz em minutos: máquina, local, quem usa, o que ela acessa.

O segundo ganho é orçamentário. Sem inventário, a empresa renova licenças "no chute" — compra 20 porque tem 19 máquinas conhecidas mais umas que podem estar ali. Com inventário, sabe exatamente: 47 máquinas, 47 licenças, renovação em ano X, preço mensal Z, sem sobra nem falta. O custo fica previsível.

O terceiro, talvez o mais importante: a equipe consegue trabalhar. Em vez de gastar hora atrás de hora investigando qual máquina causou um problema, descobrir que era uma que não estava no inventário, e ter de refazer toda a investigação, a equipe encontra respostas rápido. Menos tempo no apagador de incêndio, mais tempo em trabalho de verdade.

Segundo o relatório de 2025 da IBM sobre o custo das violações de dados, o custo médio global de uma violação ficou em US$ 4,44 milhões, abaixo dos US$ 4,88 milhões do ano anterior — uma queda de 9%, e ainda assim uma conta que nenhuma empresa de porte médio absorve sem dor. O inventário não derruba esse número sozinho, mas é o que encurta o tempo entre "algo aconteceu" e "já sabemos onde foi" — e tempo, nessa conta, é dinheiro.

Três perguntas para levar à próxima reunião

Antes de esperar por um ataque, vale perguntar agora:

  1. Existe um registro atualizado de cada computador, servidor e celular que a empresa tem? Se ninguém sabe responder em cinco minutos "temos 47 máquinas, aqui estão elas todas", não existe.

  2. Quando uma máquina é comprada, ligada pela primeira vez ou é retirada de serviço, quem avisa? Se é "a gente tira nota" ou "João sabe", é porque não existe um sistema automatizado. Se é um sistema, ele é confiável — ou precisa ser?

  3. Se um alarme de segurança chegar dizendo "máquina tal está rodando um software vulnerável", quanto tempo leva para encontrar a máquina? Se a resposta é mais de uma hora, a empresa está na mão de sorte — porque quanto mais tempo leva, mais tempo o invasor tem para fazer o que quiser.