Atualizações: porque é que o “depois faço” sai caro

7 min de leitura · DataRoad

As atualizações informáticas adiadas são hoje uma das formas mais baratas de um atacante entrar numa empresa. A resposta direta: as correções de segurança da firewall, do acesso remoto, do sistema operativo e do browser devem ser aplicadas em dias, não em meses. O resto pode — e deve — seguir um calendário com testes. O que não pode é depender de alguém “ter tempo”.

O botão “lembrar-me mais tarde” parece inofensivo. Multiplicado por 40 computadores, três servidores e uma firewall que ninguém atualiza desde a instalação, é uma porta aberta com data marcada.

Porque é que o “depois faço” sai caro

O relatório de violações de dados da Verizon de 2026 traz três números que qualquer administrador deve conhecer:

• 31% das violações analisadas começaram pela exploração de uma falha de software — passou a ser a via de entrada mais comum, à frente do uso de credenciais roubadas.
• Só 26% das falhas críticas da lista de vulnerabilidades exploradas da CISA (a agência de cibersegurança dos EUA) foram totalmente corrigidas em 2025.
• O tempo mediano para as corrigir por completo subiu para 43 dias (eram 32 no ano anterior).

Quando um fabricante publica uma correção, está também a anunciar ao mundo que aquela falha existe. A partir desse momento, quem não atualizou passa a ser um alvo conhecido.

Exemplo: quanto custa um dia parado

Exemplo (pressupostos ilustrativos, não dados de um cliente): uma empresa com 30 postos de trabalho fica sem sistemas durante um dia útil de 8 horas por causa de um ataque que entrou por uma falha por corrigir. Se o custo médio de cada hora de trabalho for de 20 euros, só o tempo perdido custa 30 × 8 × 20 = 4.800 euros — antes de contar faturação parada, recuperação de dados, horas de técnicos e clientes insatisfeitos. A janela de manutenção mensal que teria evitado o problema custa uma fração disso.

O que atualizar já — e o que pode esperar

Nem todas as atualizações são iguais. A regra prática é separar correções de segurança (fecham falhas) de atualizações de funcionalidades (trazem novidades e mudanças).

O que pode esperar (com critério)

• Atualizações de funcionalidades do sistema operativo, até serem testadas num grupo-piloto.
• Novas versões do software de gestão, até o fornecedor confirmar compatibilidade.
• Controladores e firmware sem correções de segurança.

“Esperar” não é “esquecer”: cada exceção tem uma data e um responsável.

Quem decide — e quem executa

Uma política de atualizações cabe numa página e responde a quatro perguntas:

1. A administração aprova os prazos e a janela de manutenção. É uma decisão de risco, não técnica.
2. O IT executa e regista: o que foi atualizado, quando e com que resultado.
3. Os fornecedores de software confirmam compatibilidade antes das versões grandes.
4. Os utilizadores reiniciam quando é pedido. Um reinício adiado é uma correção por aplicar.

Esta política faz parte de uma lógica de manutenção preventiva: é muito mais barato agendar do que reagir.

A janela de manutenção, em concreto

A Microsoft publica as correções de segurança mensais do Windows na segunda terça-feira de cada mês, e lança correções extraordinárias quando há necessidade excecional. Isto permite um calendário simples:

• Semana 1 após a publicação — correções aplicadas a um grupo-piloto de 3 a 5 computadores.
• Semana 2 — se nada falhou, aplicação ao resto da empresa, fora do horário de maior trabalho.
• Servidores — numa janela fixa mensal, sempre com backup verificado antes.
• Urgências — falhas exploradas na firewall ou na VPN não esperam pela janela: tratam-se no próprio dia.

E há equipamentos que já não têm correções. O Windows 10 deixou de ter suporte a 14 de outubro de 2025: se ainda o tem na empresa, leia o que fazer com o fim do suporte do Windows 10. Um inventário atualizado — como o da nossa checklist de auditoria ao parque informático — é o ponto de partida.

Um caso real: monitorizar para não ter de adivinhar

A Boost Portugal, empresa de turismo com 12 marcas e operação em Lisboa, Porto, Douro e Madrid, tem com a DataRoad um contrato anual de avença mensal que inclui monitorização contínua de todos os seus sistemas de informação, com monitorização remota, alarmística e relatórios de disponibilidade. O contrato cobre ainda backups, a central telefónica, a gestão de VPN e a redundância de internet com passagem automática para a segunda ligação.

A lição para o tema das atualizações é simples: não se atualiza o que não se vê. Com os sistemas monitorizados, sabe-se que equipamentos existem, em que versão estão e quais ficaram para trás. A diferença entre esta abordagem e esperar que algo avarie está explicada em monitorização proativa vs suporte reativo.

Perguntas frequentes

As atualizações automáticas não chegam?

Para o browser e as aplicações de escritório, quase sempre chegam. Para a firewall, a VPN e os servidores, não: precisam de alguém que acompanhe os avisos dos fabricantes, planeie a intervenção e confirme que tudo voltou a funcionar.

E se uma atualização estragar alguma coisa?

É para isso que servem o grupo-piloto e o backup antes de atualizar servidores. Se algo falhar, falha em poucos computadores e há forma de voltar atrás. O risco de não atualizar é, em regra, muito maior.

Porque é que a firewall e a VPN têm prioridade máxima?

Porque estão viradas para a internet. Qualquer pessoa no mundo consegue tentar ligar-se a elas, e as falhas nestes equipamentos são procuradas de forma automática pouco depois de serem publicadas.

O que faço com computadores que já não recebem atualizações?

Isole-os da rede principal enquanto não forem substituídos e planeie a troca por ordem de risco: primeiro os que acedem a dados de clientes, à faturação ou à internet sem restrições.

Relatório de atualizações em atraso em 5 dias úteis

Verificamos a firewall, o acesso remoto, os servidores e uma amostra dos postos de trabalho, cruzamos com as falhas conhecidas e entregamos a lista do que corrigir primeiro. Para empresas com mais de 10 postos · contrato de assistência · suporte remoto, local e telefónico. A gestão de atualizações faz parte dos planos IT Unlimited — no Essential, o serviço é remoto e telefónico e as deslocações ao local são orçamentadas à parte; no Premium, a assistência no local está incluída. A vigilância permanente está no nosso serviço de monitorização e NOC.

Fontes

• Verizon — 2026 Data Breach Investigations Report, Executive Summary
• CISA — Known Exploited Vulnerabilities Catalog
• Microsoft Learn — Ciclo de lançamento de atualizações do Windows
• Microsoft Learn — Ciclo de vida do Windows 10 (fim de suporte a 14 de outubro de 2025)