Quase todas as empresas com mais de dez postos têm equipamento que ninguém sabe bem para que serve, contas de utilizador de pessoas que já saíram e uma cópia de segurança que “deve estar a funcionar”. Uma auditoria ao parque informático não precisa de um consultor externo nem de uma semana de trabalho: precisa de uma lista, de duas ou três horas e de honestidade nas respostas. Esta é a lista que usamos quando entramos numa empresa nova. Pode usá-la sozinho ou pedir-nos que a façamos consigo.
Antes de começar: o que é uma auditoria ao parque informático
É um levantamento sistemático do que a empresa tem (equipamentos, software, contas, ligações), do estado em que está e do que falta para trabalhar com segurança. Não é um relatório de vulnerabilidades técnico — é um retrato que um gestor consegue ler e que serve de base para decidir onde investir. Se a resposta a uma pergunta for “não sei”, anote-a como está: é essa a informação útil.
1. Inventário de equipamentos
- Lista de todos os computadores, portáteis, servidores, impressoras, switches, access points e firewalls, com marca, modelo, número de série e localização.
- Idade de cada equipamento. Regra prática: portáteis e postos com mais de 5 anos e servidores com mais de 6 são candidatos a substituição planeada, não a reparação de urgência.
- Equipamentos em garantia ou com contrato de suporte do fabricante — e a data em que terminam.
- Equipamento que existe fisicamente mas não aparece em nenhuma lista. Aparece sempre.
2. Sistemas operativos e software
- Versão do sistema operativo em cada posto e servidor. Postos ainda em Windows 10 estão sem atualizações de segurança gratuitas desde outubro de 2025 — veja o que fazer no nosso artigo sobre o fim do suporte ao Windows 10.
- Servidores em versões sem suporte (Windows Server 2012 e anteriores, ou 2016 com fim de suporte em janeiro de 2027).
- Licenciamento: que licenças de Microsoft 365, antivírus, software de gestão e outras existem, quantas estão atribuídas e quantas se pagam sem uso.
- Software instalado pelos utilizadores sem autorização (ferramentas de acesso remoto, gestores de ficheiros na cloud pessoais, conversores online).
3. Cópias de segurança
- O que é copiado: servidores, postos, e-mail e ficheiros do Microsoft 365, bases de dados do software de gestão.
- Com que frequência, para onde e quantas versões ficam guardadas. Se só existe uma cópia no mesmo edifício, não existe cópia.
- Data do último teste de restauro com sucesso. Se nunca foi feito, marque-o como o primeiro ponto a resolver.
- Quem recebe o alerta quando uma cópia falha — e se alguém o lê.
Se este bloco ficou com respostas fracas, comece por aqui: veja como funciona o backup gerido com testes de restauro.
4. Contas e acessos
- Lista de utilizadores ativos no domínio e no Microsoft 365. Compare-a com a lista de colaboradores atuais: as diferenças são contas a desativar hoje.
- Quem tem permissões de administrador nos postos, nos servidores e no Microsoft 365. Deve ser um número pequeno e conhecido.
- Autenticação multifator ativa em todas as contas com acesso a e-mail e ficheiros — sem exceções para a direção.
- Contas partilhadas (a “conta da receção”, o “utilizador da loja”) e quem sabe as passwords delas.
- Acessos de fornecedores externos: quem entra na sua rede, com que credenciais e se ainda precisa de o fazer.
5. Rede e ligação à Internet
- Esquema da rede, mesmo que desenhado à mão: onde está o bastidor, que switches existem, como chega a Internet e por onde passa o Wi-Fi.
- Bastidor arrumado e etiquetado, ou um emaranhado de cabos que ninguém quer tocar. A resposta diz muito sobre o tempo que uma avaria demora a resolver.
- Rede de visitantes separada da rede da empresa. Equipamentos sensíveis (servidores, câmaras, TPA) em segmentos próprios.
- Ligação de Internet: operador, débito contratado, se existe uma segunda ligação de reserva e quanto tempo a empresa aguenta sem Internet.
6. Segurança
- Firewall: marca, modelo, se está atualizada, quem a gere e quando foi revista a configuração pela última vez.
- Proteção de postos e servidores: que produto, se está ativo em todos os equipamentos e quem recebe os alertas.
- Proteção de e-mail contra phishing e faturas alteradas — o tipo de fraude mais comum nas empresas portuguesas.
- Plano de resposta a incidentes: se um posto for cifrado por ransomware às 9h de segunda, quem faz o quê nos primeiros 30 minutos?
Para aprofundar este bloco use a nossa checklist de cibersegurança para PME.
7. Documentação e contratos
- Passwords de administração dos equipamentos (firewall, switches, servidores, router do operador) guardadas num local seguro e conhecido por mais do que uma pessoa.
- Contratos em vigor: operador de Internet, licenças, suporte informático. Prazos, fidelizações e o que está e não está incluído.
- Se a informática é feita por um fornecedor externo: existe SLA por escrito? Sabe o que acontece se ele desaparecer amanhã? Veja o que exigir num contrato de IT.
8. Pessoas
- Quem é o ponto de contacto interno para a informática e o que acontece quando está de férias.
- Quando foi a última sessão de sensibilização para phishing e segurança. Se a resposta é “nunca”, é o investimento mais barato com melhor retorno da lista.
- Procedimento de entrada e saída de colaboradores: criar e desativar contas, recolher equipamento, revogar acessos.
What to do with the result
Ordene as falhas em três grupos: o que expõe a empresa a parar (cópias sem teste, servidor sem suporte, uma única Internet), o que expõe a empresa a um ataque (sem MFA, contas antigas ativas, firewall sem gestão) e o que custa dinheiro sem retorno (licenças a mais, equipamento a reparar em vez de substituir). Os dois primeiros grupos resolvem-se em semanas; o terceiro paga o resto. Se preferir que façamos o levantamento consigo, é exatamente isto que inclui a nossa IT consultancy for businesses: visita ao local e relatório escrito com prioridades, antes de qualquer proposta.
Frequently Asked Questions
Quanto tempo demora uma auditoria ao parque informático?
Para uma empresa entre 10 e 50 postos, o levantamento no local demora meio dia e o relatório fica pronto em poucos dias. Empresas com vários escritórios ou servidores próprios podem precisar de mais visitas.
Preciso de ferramentas especiais?
Não para começar. Uma folha de cálculo e acesso aos equipamentos chegam. Ferramentas de inventário automático ajudam em parques grandes, mas não substituem as perguntas sobre backups, acessos e contratos.
Com que frequência se deve repetir?
Uma vez por ano no mínimo, e sempre que há uma mudança grande: mudança de escritório, novo software de gestão, fusão, saída do responsável de informática. Num contrato de IT gerido o inventário é mantido atualizado de forma contínua.
A auditoria é a mesma coisa que uma auditoria de segurança?
Não. Uma auditoria de segurança (testes de intrusão, análise de vulnerabilidades) é mais profunda e mais técnica. Esta checklist é o passo anterior: saber o que existe e em que estado está. Sem ela, a auditoria de segurança fica incompleta.
Quer o levantamento feito por quem faz isto todas as semanas?
Visitamos a sua empresa, percorremos esta lista consigo e entregamos um relatório escrito com o que está em risco e por que ordem resolver. Sem compromisso. Veja a nossa IT consultancy for businesses ou ligue 211 459 950.
