{"id":32423,"date":"2026-09-09T16:41:29","date_gmt":"2026-09-09T16:41:29","guid":{"rendered":"https:\/\/www.dataroad.pt\/servicos-it\/zero-trust-pme-4-passos\/"},"modified":"2026-09-09T16:41:29","modified_gmt":"2026-09-09T16:41:29","slug":"zero-trust-pme-4-passos","status":"publish","type":"post","link":"https:\/\/www.dataroad.pt\/es\/manutencao-informatica\/zero-trust-pme-4-passos\/","title":{"rendered":"Zero Trust em 4 passos para PME: sem jarg\u00e3o e sem or\u00e7amento de banco"},"content":{"rendered":"

“Zero Trust” aparece em todas as apresenta\u00e7\u00f5es de fabricantes de seguran\u00e7a e quase sempre com um pre\u00e7o de seis d\u00edgitos agarrado. Para uma PME portuguesa isso soa a coisa de banco ou de multinacional. N\u00e3o \u00e9. Zero Trust \u00e9 uma ideia simples \u2014 n\u00e3o confiar em ningu\u00e9m s\u00f3 porque est\u00e1 dentro da rede<\/strong> \u2014 e a maior parte dos passos faz-se com ferramentas que a empresa j\u00e1 paga. Este artigo traduz o conceito em quatro passos concretos, pela ordem em que fazem sentido numa empresa com 10 a 200 postos.<\/p>\n

O modelo antigo: o castelo com fosso<\/h2>\n

Durante vinte anos a seguran\u00e7a das empresas funcionou como um castelo: uma firewall \u00e0 entrada, e quem estivesse dentro da rede podia circular livremente. Funcionava quando todos trabalhavam no escrit\u00f3rio, em computadores da empresa, com servidores no bastidor. Hoje as pessoas trabalham de casa, o e-mail e os ficheiros est\u00e3o no Microsoft 365, os fornecedores ligam-se \u00e0 rede e os telem\u00f3veis acedem a tudo. O “dentro” deixou de existir. Quando um atacante entra com as credenciais de um colaborador \u2014 que \u00e9 como a maioria dos ataques come\u00e7a \u2014 o castelo n\u00e3o o det\u00e9m, porque para a rede ele \u00e9 um utilizador leg\u00edtimo.<\/p>\n

O modelo Zero Trust em uma frase<\/h2>\n

Cada acesso \u00e9 verificado: quem \u00e9 o utilizador, que equipamento est\u00e1 a usar, de onde, a que recurso quer chegar e se precisa mesmo dele. N\u00e3o uma vez, \u00e0 entrada, mas em cada pedido. Parece pesado, mas a maioria da verifica\u00e7\u00e3o \u00e9 autom\u00e1tica e invis\u00edvel para quem trabalha.<\/p>\n

Passo 1 \u2014 Identidade: saber quem \u00e9 quem<\/h2>\n

Sem identidade fi\u00e1vel n\u00e3o h\u00e1 Zero Trust. O passo concreto \u00e9 ativar a autentica\u00e7\u00e3o multifator<\/a> em todas as contas, come\u00e7ando pelo Microsoft 365, e limpar as contas de quem j\u00e1 saiu da empresa. Depois, reduzir o n\u00famero de administradores a duas ou tr\u00eas pessoas identificadas e acabar com contas partilhadas. Custo: zero em licen\u00e7as na maioria dos planos do Microsoft 365; o trabalho \u00e9 organizar e comunicar. \u00c9 tamb\u00e9m o passo com mais retorno: com MFA ativa, uma password roubada por phishing deixa de ser suficiente para entrar.<\/p>\n

Passo 2 \u2014 Equipamentos: s\u00f3 entram os que a empresa conhece<\/h2>\n

Um port\u00e1til pessoal sem antiv\u00edrus, com Windows sem atualiza\u00e7\u00f5es, n\u00e3o deve aceder ao e-mail da empresa da mesma forma que um posto gerido. O passo concreto \u00e9 ter um invent\u00e1rio dos equipamentos da empresa, garantir que todos t\u00eam prote\u00e7\u00e3o de postos ativa e atualiza\u00e7\u00f5es em dia, e condicionar o acesso aos dados a equipamentos que cumpram esses requisitos. Em Microsoft 365, isto faz-se com pol\u00edticas de acesso condicional; em redes locais, com a autentica\u00e7\u00e3o dos equipamentos no Wi-Fi e nas tomadas de rede. Postos ainda em Windows 10 sem suporte s\u00e3o o primeiro problema a resolver \u2014 veja o que fazer com o fim do suporte ao Windows 10<\/a>.<\/p>\n

Passo 3 \u2014 Rede: dividir para conter<\/h2>\n

Se um posto for comprometido, o atacante n\u00e3o deve conseguir chegar ao servidor de fatura\u00e7\u00e3o, \u00e0s c\u00e2maras ou ao TPA. O passo concreto \u00e9 segmentar a rede em VLANs: postos, servidores, visitantes, impressoras e c\u00e2maras em redes separadas, com a firewall a decidir o que passa entre elas. Explic\u00e1mos como se faz no artigo sobre VLANs e segmenta\u00e7\u00e3o de rede<\/a>. Numa PME com switches ger\u00edveis e firewall gerida, isto \u00e9 configura\u00e7\u00e3o, n\u00e3o compra. \u00c9 tamb\u00e9m o passo que mais reduz o estrago de um ransomware: em vez de cifrar tudo, cifra um segmento.<\/p>\n

Passo 4 \u2014 Acesso m\u00ednimo: cada um s\u00f3 ao que precisa<\/h2>\n

O comercial n\u00e3o precisa de escrever na pasta da contabilidade; o estagi\u00e1rio n\u00e3o precisa de ser administrador do seu port\u00e1til; o fornecedor de software de gest\u00e3o n\u00e3o precisa de acesso permanente \u00e0 rede toda. O passo concreto \u00e9 rever as permiss\u00f5es das pastas partilhadas e do SharePoint, retirar direitos de administrador local aos utilizadores e substituir a VPN aberta por acessos a aplica\u00e7\u00f5es espec\u00edficas, com registo. Fal\u00e1mos disto no artigo a VPN j\u00e1 n\u00e3o chega<\/a>. \u00c9 o passo mais trabalhoso porque mexe em h\u00e1bitos \u2014 e por isso deve ser o \u00faltimo, quando os outros j\u00e1 est\u00e3o a funcionar.<\/p>\n

O que fica de fora (e porqu\u00ea)<\/h2>\n

Zero Trust “completo” inclui coisas como an\u00e1lise de comportamento, micro-segmenta\u00e7\u00e3o por aplica\u00e7\u00e3o e verifica\u00e7\u00e3o cont\u00ednua de postura dos equipamentos. S\u00e3o \u00fateis, s\u00e3o caras e, numa PME, o retorno \u00e9 pequeno enquanto os quatro passos acima n\u00e3o estiverem feitos. A ordem importa: MFA sem segmenta\u00e7\u00e3o protege as contas mas n\u00e3o a rede; segmenta\u00e7\u00e3o sem MFA protege a rede mas n\u00e3o as contas.<\/p>\n

Quanto tempo demora<\/h2>\n

Passo 1: uma a duas semanas, sobretudo comunica\u00e7\u00e3o com os utilizadores. Passo 2: duas a quatro semanas, dependendo do estado do parque. Passo 3: uma interven\u00e7\u00e3o na rede, normalmente fora de horas, mais alguns dias de ajustes. Passo 4: um trabalho cont\u00ednuo, feito departamento a departamento. Nos nossos contratos de ciberseguran\u00e7a gerida<\/a> estes passos s\u00e3o a base do plano \u2014 e ficam por escrito, com o estado de cada um no relat\u00f3rio mensal.<\/p>\n

Perguntas frequentes<\/h2>\n

Zero Trust \u00e9 um produto que se compra?<\/h3>\n

N\u00e3o. \u00c9 uma forma de desenhar os acessos. H\u00e1 produtos que ajudam, mas os passos essenciais \u2014 MFA, invent\u00e1rio de equipamentos, segmenta\u00e7\u00e3o de rede e acesso m\u00ednimo \u2014 fazem-se com ferramentas que a maioria das empresas j\u00e1 tem.<\/p>\n

Vai atrasar o trabalho das pessoas?<\/h3>\n

Bem feito, quase n\u00e3o se nota: o MFA pede confirma\u00e7\u00e3o uma vez por dia por equipamento, e o acesso condicional \u00e9 invis\u00edvel quando o equipamento cumpre os requisitos. O que as pessoas notam \u00e9 quando deixam de conseguir instalar programas por conta pr\u00f3pria \u2014 e isso \u00e9 intencional.<\/p>\n

Uma empresa com 15 postos precisa disto?<\/h3>\n

Precisa dos passos 1 e 3 com certeza: MFA e uma rede de visitantes separada. Os passos 2 e 4 escalam com a dimens\u00e3o e com a sensibilidade dos dados que trata.<\/p>\n

A NIS2 exige Zero Trust?<\/h3>\n

N\u00e3o usa o termo, mas exige gest\u00e3o de acessos, autentica\u00e7\u00e3o multifator e segmenta\u00e7\u00e3o como medidas de gest\u00e3o de risco. Quem seguir estes quatro passos fica com grande parte do trabalho t\u00e9cnico feito. Veja se a sua empresa est\u00e1 abrangida pela NIS2<\/a>.<\/p>\n

Quer saber em que passo est\u00e1 a sua empresa?<\/h2>\n

Fazemos o levantamento dos acessos, da rede e dos equipamentos e entregamos um plano por escrito, com prioridades e prazos. Veja a nossa ciberseguran\u00e7a gerida para empresas<\/strong><\/a> ou ligue 211 459 950.<\/p>\n