Um funcionário sai da empresa, mas a sua conta continua ativa durante semanas. Um prestador externo mantém o acesso de administrador muito depois de terminar a missão. Estas situações são comuns e, ainda assim, representam vulnerabilidades que um atacante pode explorar em poucos minutos. Proteger os acessos profissionais não se resume a escolher uma boa palavra-passe: trata-se de um conjunto de decisões técnicas e organizacionais que um guia digital ajuda a estruturar.
Autenticação multifator: nem todos os métodos oferecem a mesma proteção
Já recebeu um código por SMS para validar uma ligação. Este mecanismo chama-se autenticação multifator (MFA). O princípio é simples: comprovar a identidade com pelo menos dois elementos distintos, por exemplo, uma palavra-passe e um código temporário recebido noutro dispositivo.
O problema é acreditar que todos os métodos de MFA oferecem o mesmo nível de proteção. Em março de 2025, a CNIL publicou uma recomendação que distingue as chaves de acesso (passkeys) da autenticação multifator clássica. Uma chave de acesso não é automaticamente considerada autenticação multifator. Esta nuance altera a forma como uma empresa avalia as opções propostas pelos seus fornecedores de software.
No seu relatório de experiência sobre a DGFiP, a ANSSI vai mais longe. Salienta que um código enviado por e-mail oferece pouca proteção se a caixa de correio puder ser acedida com as mesmas credenciais comprometidas. Por outras palavras, a independência entre os fatores de autenticação determina a robustez real do MFA. Um token físico ou uma aplicação de autenticação instalada noutro dispositivo oferece uma resistência muito superior à de um simples código por e-mail.
Um guia de segurança digital bem concebido ajuda precisamente a fazer esta distinção. Em vez de assinalar apenas a opção «MFA ativado», leva a verificar se os dois fatores são realmente independentes. Para aprofundar este tipo de verificação, o guia digital da P U B detalha as etapas práticas de implementação adaptadas às PME.
Direitos de acesso aos dados: o problema não se fica pela porta de entrada
Imaginemos um comercial que acede ao CRM da empresa. Precisa de consultar os seus clientes, não a base de dados inteira. Ter autorização para entrar numa aplicação não significa que seja necessário poder consultar todos os seus dados.
Este princípio tem um nome técnico: o princípio do menor privilégio. Cada utilizador recebe apenas os direitos estritamente necessários para desempenhar as suas funções. Se uma conta for comprometida, o atacante só poderá aceder a um âmbito limitado, não a todo o sistema de informação.
A ANSSI recomenda ir além do simples controlo de acesso, estabelecendo limites para os pedidos e para os volumes de dados trocados. Estes limites protegem contra um cenário específico: a extração massiva de dados a partir de uma conta que, apesar de autorizada, é utilizada indevidamente. Um funcionário (ou um atacante que utilize a sua conta) que tentasse descarregar uma base de dados inteira seria bloqueado por estes limites.
Implementar uma revisão periódica dos direitos de acesso
Atribuir direitos não é suficiente. É preciso revê-los. Um guia de segurança digital recomenda, normalmente, agendar revisões dos acessos a intervalos regulares. Eis os pontos a verificar durante essa revisão:
- As contas de antigos funcionários ou prestadores são desativadas nas 24 horas seguintes ao fim do contrato?
- Os direitos de administração estão limitados a um número reduzido de pessoas identificadas, com registo de cada ação?
- Os acessos temporários concedidos para um projeto ou uma intervenção técnica foram revogados após a conclusão da missão?
Uma conta esquecida é uma porta que fica permanentemente aberta. A maioria dos incidentes relacionados com acessos não resulta de um ataque sofisticado, mas de uma falha na gestão.
Diretiva NIS 2 e obrigações de proteção dos acessos em França
A gestão dos acessos já não é apenas uma boa prática: está a tornar-se uma obrigação regulamentar. A diretiva europeia NIS 2, atualmente em fase de transposição em França, alarga o âmbito das empresas sujeitas a requisitos de cibersegurança. Muitas PME que não eram abrangidas pela primeira versão passarão a estar incluídas.
Entre as medidas previstas, a gestão de identidades e acessos está expressamente incluída nos requisitos da NIS 2. As empresas abrangidas terão de demonstrar que implementaram procedimentos documentados para controlar quem acede a quê e como esses acessos são supervisionados.
Para uma PME que esteja a tomar conhecimento destas obrigações, um guia de segurança digital ajuda a traduzi-las. Transforma requisitos regulamentares abstratos em ações concretas:
- Mapear os sistemas de informação e identificar os acessos críticos
- Documentar uma política de gestão de palavras-passe em conformidade com as recomendações da ANSSI (comprimento mínimo, renovação e proibição de reutilização)
- Criar um registo de acessos com marcação temporal, que permita reconstruir um incidente posteriormente
- Nomear um responsável pela segurança dos sistemas de informação, mesmo que a tempo parcial
Palavras-passe nas empresas: o que os guias realmente recomendam
Obrigar a alterar a palavra-passe a cada 90 dias foi, durante muito tempo, considerado uma boa prática. As recomendações atuais da ANSSI apresentam uma perspetiva mais matizada. Alterações demasiado frequentes levam os utilizadores a escolher palavras-passe fracas ou a anotá-las num post-it.
Atualmente, um guia de segurança digital recomenda antes combinar uma palavra-passe longa (com pelo menos 12 caracteres) com um gestor de palavras-passe profissional. O gestor gera e guarda palavras-passe complexas, sem que o funcionário tenha de as memorizar.
Formar as equipas em vez de multiplicar as restrições
A tecnologia, por si só, não protege se os utilizadores não compreenderem por que razão lhes são pedidos estes esforços. Os guias de segurança digital mais eficazes incluem módulos de sensibilização breves, centrados em exemplos concretos: um e-mail de phishing recriado ou uma demonstração da rapidez com que uma palavra-passe curta pode ser descoberta.
A proteção dos acessos profissionais depende tanto dos hábitos das pessoas como das ferramentas. Um guia estruturado ajuda a concentrar os esforços: hierarquiza os riscos, indica por onde começar e fornece critérios para medir os progressos. O próximo passo para qualquer empresa que ainda não tenha formalizado a gestão dos acessos é mapear as contas ativas e verificar, uma a uma, se ainda há motivos para existirem.
