Segurança na cloud: o que a Microsoft protege e o que fica por sua conta

7 min de leitura · DataRoad

A segurança na cloud é uma responsabilidade partilhada: a Microsoft garante a infraestrutura, a sua empresa garante quem entra, o que partilha e de onde acede. A Microsoft não o esconde — publica-o na documentação oficial. “Os nossos dados estão no Microsoft 365, logo estão seguros” é a frase que mais ouvimos em reuniões de diagnóstico. Está certa quanto ao edifício. Está errada quanto às chaves.

O modelo de responsabilidade partilhada, em português claro

A Microsoft descreve três tipos de serviço cloud. No mais completo — o software como serviço, ou SaaS, onde estão o Exchange Online, o OneDrive, o SharePoint e o Teams — a Microsoft assume quase toda a pilha técnica. Mas há uma frase que vale para todos os tipos: o cliente é sempre dono dos seus dados e das suas identidades.

Identidade: a nova porta da frente

No escritório tradicional, para chegar aos ficheiros era preciso entrar na rede. No Microsoft 365, basta um email e uma palavra-passe, a partir de qualquer computador do mundo. A identidade passou a ser a porta da frente.

A Microsoft oferece, sem custo adicional, as chamadas predefinições de segurança: obrigam todos os utilizadores a registar a MFA (o segundo fator, normalmente uma aprovação no telemóvel), exigem MFA aos administradores em cada início de sessão e bloqueiam os protocolos de autenticação antigos, que não suportam MFA. Estão ativas por omissão em muitas contas criadas desde 22 de outubro de 2019, mas não em todas — e há quem as tenha desligado “porque incomodavam”. Segundo a Microsoft, a MFA e o bloqueio da autenticação antiga travam mais de 99,9% dos ataques comuns a identidades. Detalhamos as opções em MFA: autenticação multifator na empresa.

Três perguntas que a administração deve conseguir responder em minutos:

• Quantas contas têm direitos de administrador global? (Deviam ser duas ou três, não dez.)
• Todas as contas — incluindo as partilhadas e as de serviço — têm MFA ou estão bloqueadas para início de sessão?
• As contas de quem saiu nos últimos 12 meses estão desativadas?

Configuração e partilhas externas

Segundo a documentação da Microsoft, a partilha externa está ligada por omissão no SharePoint e no OneDrive para toda a organização. Isso é útil — trabalhar com clientes e parceiros é o objetivo — mas tem de ser decidido, não herdado.

O ponto mais sensível são as ligações do tipo “Qualquer pessoa”: quem recebe o link abre o ficheiro sem iniciar sessão. Se esse email for reencaminhado, o ficheiro vai atrás. Na prática, recomendamos:

• Desativar as ligações “Qualquer pessoa” ou, se forem necessárias, impor uma data de expiração.
• Permitir partilha apenas com convidados que se autenticam.
• Restringir a partilha externa nos sites com dados sensíveis (financeiro, recursos humanos, administração).
• Rever trimestralmente a lista de convidados externos e remover os que já não trabalham com a empresa.

A configuração do email merece capítulo próprio — reencaminhamentos automáticos para fora, regras de caixa de correio criadas por atacantes, domínio fácil de imitar. Tratámos o tema em segurança do email no Microsoft 365: o que falha.

Dispositivos e dados

Um portátil sem cifra, esquecido num táxi, com o Outlook e o OneDrive sincronizados, é uma fuga de dados com rodas. A Microsoft não gere esse portátil: a documentação diz expressamente que a proteção dos equipamentos que acedem aos serviços é do cliente. Isso significa cifra do disco, sistema atualizado, antivírus gerido e, idealmente, regras que impedem o acesso a partir de equipamentos que não cumprem estes requisitos.

Quanto aos dados, há duas decisões que cabem à empresa: o que é confidencial (e quem o pode ver) e quanto tempo se guarda. O backup é parte desta segunda decisão — e não vem incluído como muita gente pensa. Explicamos porquê em o Microsoft 365 não guarda tudo. As licenças também contam: certas proteções só existem em alguns planos, como explicamos em licenças Microsoft 365 e segurança.

Checklist: a parte que é sua

Um caso real: 50 caixas de correio migradas para o Office 365

Na União das Freguesias de Massamá e Monte Abraão, a DataRoad migrou cerca de 50 caixas de correio para o Exchange Online, incluindo o histórico e a organização das pastas. O projeto não terminou na migração: os postos de trabalho e os equipamentos móveis foram reconfigurados e validados, com email, calendário e contactos a sincronizar corretamente. Numa entidade pública, a passagem para a cloud foi também uma forma de reforçar o controlo, a retenção e a auditoria do email. Leia o caso em migração para o Office 365 em Massamá e Monte Abraão.

Na DataRoad, a gestão do Microsoft 365 para empresas — contas, MFA, partilhas, dispositivos — faz parte dos planos IT Unlimited. No plano Essential, a partir de 10 postos, o suporte é remoto e telefónico, o que cobre a quase totalidade destas tarefas; as deslocações ao local são orçamentadas à parte.

Perguntas frequentes

A Microsoft é responsável se uma conta da minha empresa for atacada?

Em regra, não. Segundo o modelo de responsabilidade partilhada da Microsoft, as contas, os acessos e a MFA são responsabilidade do cliente. A Microsoft responde pela segurança da plataforma; quem entra com uma palavra-passe roubada entra pela porta que a empresa controla.

As predefinições de segurança chegam?

Para muitas PME são um bom ponto de partida e não têm custo adicional. Empresas com licenças que incluem acesso condicional ganham regras mais finas — por exemplo, exigir equipamento gerido ou bloquear inícios de sessão a partir de certos países.

Desativar a partilha externa não vai atrapalhar o trabalho com clientes?

Não é preciso desativar tudo. O equilíbrio habitual é permitir partilha com convidados que se autenticam, bloquear ou limitar as ligações anónimas e fechar a partilha externa apenas nos sites com dados sensíveis.

De quanto em quanto tempo devemos rever a configuração?

Uma revisão completa por trimestre e uma verificação rápida sempre que alguém entra ou sai da empresa. A configuração da cloud muda sem ninguém dar por isso: novas funcionalidades, novos convidados, novas exceções.

Revisão de segurança do Microsoft 365 em 5 dias úteis

Verificamos a parte que é sua — contas, MFA, administradores, partilhas externas, reencaminhamentos, dispositivos e backup — e entregamos a lista de correções por ordem de risco. Para empresas com mais de 10 postos · contrato de assistência · suporte remoto, local e telefónico.

Fontes

• Microsoft Learn — Shared responsibility in the cloud
• Microsoft Learn — Security defaults in Microsoft Entra ID
• Microsoft Learn — External sharing overview (SharePoint e OneDrive)