Zero Trust em 4 passos para PME: sem jargão e com prazos realistas

8 min de leitura · DataRoad

Zero Trust numa PME não é um projeto de banco nem uma caixa que se compra. É uma regra de gestão: nenhum acesso é automático, cada pedido é verificado. Na prática, resume-se a quatro passos — proteger as contas, controlar os equipamentos, dividir a rede e dar a cada pessoa só o acesso de que precisa. Numa empresa de 10 a 200 postos, o essencial fica feito em cerca de três meses.

Os fornecedores de segurança gostam de vender Zero Trust como algo complexo e caro. Não tem de ser. Este guia traduz o conceito para quem decide e mostra o que fazer em cada mês.

Zero Trust traduzido para gestores

Durante anos, a segurança das empresas funcionou como um castelo: uma muralha forte (a firewall) e confiança total para quem estava lá dentro. O modelo deixou de servir porque já ninguém está só “lá dentro”: há teletrabalho, Microsoft 365 na cloud, telemóveis, fornecedores com acesso remoto. E a maioria dos ataques não derruba a muralha — entra com a palavra-passe de alguém.

O resultado para o gestor é concreto: se uma palavra-passe for roubada ou um portátil for infetado, o estrago fica limitado a uma pessoa e a uma parte dos sistemas — e não à empresa inteira.

Porque é que isto passou a ser urgente

O relatório de violações de dados da Verizon de 2026 mostra que, nas pequenas e médias empresas, 55% das violações analisadas envolveram terceiros (fornecedores, parceiros, prestadores) e 45% tiveram um elemento humano — um clique, um erro, uma palavra-passe reutilizada. Nenhuma firewall de perímetro resolve isto sozinha.

Também a diretiva europeia NIS2 pede, entre as medidas de gestão de risco, políticas de controlo de acessos, gestão de ativos e autenticação multifator. Não usa a expressão “Zero Trust”, mas os quatro passos cobrem boa parte desse trabalho técnico. Se a sua empresa está abrangida, leia o nosso guia da NIS2 explicada para PME.

Os 4 passos, por esta ordem

Passo 1 — Identidade: proteger as contas

• Autenticação multifator em todas as contas, a começar pelo Microsoft 365 e pelos administradores.
• Contas de ex-colaboradores desativadas no próprio dia da saída.
• Administradores reduzidos a duas ou três pessoas identificadas, com contas separadas para administrar.
• Fim das contas partilhadas (“geral@”, “loja1”) para entrar em sistemas.

É o passo com maior retorno: uma palavra-passe obtida por phishing deixa de chegar para entrar. Na maioria das licenças Microsoft 365 é sem compromisso adicional — o trabalho é de organização. Mais detalhe no guia de autenticação multifator para empresas e no de gestor de passwords.

Passo 2 — Equipamentos: saber o que existe e em que estado

• Inventário de todos os computadores e telemóveis com acesso a dados da empresa.
• Proteção contra ameaças e atualizações ativas em todos.
• Acesso a dados só a partir de equipamentos que cumprem as regras — no Microsoft 365, através de políticas de acesso condicionado.

Equipamentos sem suporte, como o Windows 10 desde 14 de outubro de 2025, são o primeiro problema a resolver: veja o que fazer com o fim do suporte do Windows 10.

Passo 3 — Rede: dividir em zonas

A rede deixa de ser um espaço único. Postos de trabalho, servidores, convidados, impressoras e câmaras ficam em zonas separadas, e a firewall decide o que pode passar entre elas. Se um computador for infetado, o ataque fica contido numa zona — não cifra os servidores e os backups. Com switches geríveis e uma firewall gerida, isto é configuração, não compra.

Passo 4 — Acesso mínimo: cada pessoa só ao que precisa

• Revisão das permissões em pastas partilhadas, SharePoint e Teams.
• Utilizadores sem direitos de administrador no próprio computador.
• Acesso remoto por aplicação em vez de acesso à rede inteira — o tema de a VPN já não chega.

É o passo mais trabalhoso, porque muda hábitos, e por isso vem no fim. Ganhou também uma nova urgência: o Copilot e outras ferramentas de IA mostram a cada pessoa tudo aquilo a que ela tem acesso. Explicamos porquê em IA na empresa: as regras a pôr antes do ChatGPT e do Copilot.

O plano mês a mês

Prazos realistas para uma empresa de 10 a 200 postos, com um parceiro de IT dedicado e a administração envolvida:

O que deixamos de fora — e porquê

Existem soluções avançadas de Zero Trust: análise de comportamento dos utilizadores, segmentação aplicação a aplicação, verificação contínua do estado de cada equipamento. Para a maioria das PME, o custo é alto e o ganho é pequeno enquanto os quatro passos básicos não estiverem feitos. A ordem importa: autenticação multifator sem divisão da rede protege as contas mas não a rede; divisão da rede sem autenticação multifator faz o contrário.

Um caso real: Windows e Mac, uma só regra

No escritório de Lisboa da Reltio by SAP, empresa norte-americana de software de dados, a DataRoad tem um contrato de manutenção permanente e gestão da rede: 125 pontos de rede estruturada, firewall, três switches e pontos de acesso Wi-Fi Cisco Meraki, suporte especializado a 35 equipamentos Dell e 40 MacBook Pro.

É um bom retrato do passo 2: um parque misto, Windows e Mac, onde as regras têm de ser as mesmas independentemente do sistema. Com o inventário feito e a rede gerida a partir de um só sítio, aplicar os quatro passos é uma questão de método — não de comprar mais caixas.

Perguntas frequentes

Zero Trust é um produto que se compra?

Não. É uma forma de desenhar os acessos. Alguns produtos ajudam, mas os quatro passos essenciais fazem-se, na maioria das PME, com o Microsoft 365, a firewall e os equipamentos que a empresa já tem.

Vai tornar o trabalho mais lento?

Quase nada, se for bem feito. A autenticação multifator pede uma confirmação no telemóvel e o acesso condicionado é invisível quando o equipamento cumpre as regras. A mudança mais visível é deixar de instalar programas sem passar pelo IT — e isso é intencional.

Uma empresa de 15 postos precisa disto?

Os passos 1 e 3 — autenticação multifator e rede de convidados separada — são recomendáveis em qualquer empresa. Os passos 2 e 4 crescem com a dimensão da empresa e com a sensibilidade dos dados.

A NIS2 obriga a ter Zero Trust?

A NIS2 não usa o termo, mas pede controlo de acessos, gestão de ativos e autenticação multifator como medidas de gestão de risco. Os quatro passos cobrem boa parte desse trabalho técnico. A DataRoad implementa as medidas técnicas; a análise jurídica deve ser feita por um advogado.

Diagnóstico Zero Trust em 10 dias úteis

Avaliamos as suas contas, equipamentos, rede e permissões, dizemos em que passo está a sua empresa e entregamos o plano para os próximos três meses. Para empresas com mais de 10 postos · contrato de assistência · suporte remoto, local e telefónico. A cibersegurança gerida — firewalls, proteção dos equipamentos, autenticação multifator e alarmística — está incluída nos planos IT Unlimited Premium.

Fontes

• Verizon — 2026 Data Breach Investigations Report, Executive Summary (dados de PME)
• EUR-Lex — Diretiva (UE) 2022/2555 (NIS2), artigo 21.º
• Microsoft Learn — Ciclo de vida do Windows 10