Os riscos silenciosos da ciberseguranca na empresa

O ataque que vai parar a sua fábrica já entrou. Só ainda não foi ativado.

Não é pessimismo — é o padrão que o Verizon DBIR 2025 documenta: o ransomware esteve presente em 88% das violações de dados em PME, contra 39% nas grandes organizações. As PME são o alvo desproporcionado precisamente porque têm dados valiosos — encomendas, fórmulas de produção, margens negociadas com clientes alemães — e defesas fracas. O CERT.PT registou 2.758 incidentes de cibersegurança em Portugal em 2024, um aumento de 36% face a 2023, com cerca de 78% a ocorrer em entidades privadas (CNCS, 2024). Uma fábrica de confeção no Vale do Ave, uma distribuidora de ferramentas em Lousada, uma injetora de plásticos em Marinha Grande — todas são alvos. O atacante não lê o organograma; lê a lista de portas abertas na internet.

O problema real não é o e-mail de phishing óbvio. É o terminal de produção que ainda corre Windows 7, o acesso remoto que o técnico de manutenção deixou ativo após a última visita, o ficheiro de ordens de fabrico partilhado em OneDrive pessoal porque o ERP não tinha app móvel. Esses vetores existem em quase todas as empresas industriais portuguesas com 20 a 200 colaboradores — e nenhum deles aparece no relatório de TI mensal.

No fim deste guia encontra uma checklist de 16 pontos para auditar a exposição real da sua empresa em menos de duas horas, mais uma matriz de prioridade para levar à reunião de amanhã.

O que precisa antes de começar

Uma auditoria sem preparação produz uma lista de achados sem contexto. Antes de iniciar, reúna cinco elementos: o mapa de sistemas ativos (ERP, MES, terminais de produção, POS, WMS — com versão e sistema operativo); a lista de acessos remotos ativos (VPN, RDP, TeamViewer, AnyDesk — quem tem, desde quando, com que credenciais); o inventário de utilizadores e contas, incluindo ex-colaboradores, fornecedores e técnicos externos; a política de backups documentada (onde ficam, com que frequência, quem valida o restore); e o contacto do responsável de TI ou prestador externo, com SLA definido por escrito.

Dois pontos adicionais que a maioria esquece: confirme se a empresa está no âmbito da Diretiva NIS2, transposta pelo Decreto-Lei n.º 65/2025, que alarga obrigações de cibersegurança a médias e grandes empresas de 18 setores críticos, incluindo a indústria. E garanta que o CEO ou o CFO está na sala. Sem a gestão de topo presente, a auditoria não passa de um exercício académico — os achados ficam numa pasta e ninguém assina a prioridade de correção.

Dimensão 1 — Pessoas

O vetor humano é responsável pela maioria dos incidentes. Não por má-fé — por rotina industrial. Numa fábrica de vestuário típica com 60 colaboradores, é comum encontrar três perfis de risco que nenhum relatório de TI captura: o utilizador com acesso de administrador que nunca deveria ter esse nível (foi dado "temporariamente" há três anos e nunca foi retirado); o ex-colaborador cuja conta ainda está ativa no ERP (saiu em março, a conta foi desativada no Active Directory mas não no sistema de produção); e o fornecedor de manutenção de máquinas com acesso permanente à rede interna via TeamViewer, sem registo de quando acede nem do que faz.

O exercício de phishing simulado é o controlo mais revelador antes de qualquer formação. Numa distribuidora de ferramentas com 45 colaboradores que acompanhámos, a taxa de clique num e-mail de phishing simulado foi de 34% na primeira campanha — incluindo dois elementos da equipa de gestão. Esse número, e não uma estimativa, é o argumento para o CEO aprovar o orçamento de formação.

• Audite contas de utilizador no ERP e nos sistemas críticos: desative tudo o que não tiver atividade nos últimos 60 dias.
• Implemente autenticação multifator (MFA) em todos os acessos remotos, sem exceção.
• Defina perfis de acesso por função: o operador de produção não precisa de acesso à faturação.
• Faça um exercício de phishing simulado antes de qualquer formação — mede a exposição real.

Dimensão 2 — Processos

A ausência de processo documentado é, ela própria, um risco operacional. Quando o técnico de TI está de férias e o servidor de backups falha, quem age? Com que procedimento? Em que prazo? A resposta honesta na maioria das PME industriais portuguesas é: "ligamos ao prestador e esperamos".

Um plano de resposta a incidentes que nunca foi testado não é um plano — é uma ilusão de segurança escrita num documento que ninguém leu.

Vemos em projetos INFOS um padrão recorrente: a empresa tem contrato com um prestador de TI externo, mas o contrato não define tempos de resposta para incidentes de segurança. O prestador responde quando pode. A empresa fica parada quando não pode esperar. O detalhe que os manuais não referem: o SLA de suporte geral (normalmente 4 horas úteis) é completamente diferente do SLA de incidente de segurança que deveria ser 1 hora, 24 horas por dia. São dois contratos distintos — ou duas cláusulas distintas no mesmo contrato. A maioria das PME tem apenas o primeiro.

Defina um RTO (Recovery Time Objective) realista antes de negociar qualquer SLA. Quanto tempo pode a empresa estar parada sem consequências irreversíveis? Para uma distribuidora com entrega no dia seguinte, são 4 horas. Para uma confeção a meio de uma encomenda urgente para a Inditex, são 2 horas. Esse número determina o investimento em redundância — não o contrário.

• Documente o processo de resposta a incidentes: quem notifica, quem decide, quem comunica ao exterior.
• Teste o restore de backup pelo menos uma vez por trimestre: não basta fazer backup, é preciso saber que funciona.
• Reveja os contratos com prestadores externos: exija SLA de resposta a incidentes de segurança por escrito, separado do SLA de suporte geral.

Dimensão 3 — Sistemas

O chão de fábrica é o ponto cego da cibersegurança industrial portuguesa. Os terminais de produção, os controladores de máquinas CNC, os leitores de código de barras no armazém — todos comunicam em rede. Muitos correm sistemas operativos sem suporte. Nenhum tem antivírus. E estão na mesma rede que o servidor do ERP.

A segmentação de rede OT/IT é o controlo técnico com melhor rácio custo-impacto disponível para uma PME industrial. Um ransomware que entra pelo portátil do comercial não deve conseguir chegar ao servidor de produção — mas na maioria das fábricas portuguesas, consegue, porque partilham o mesmo switch sem VLAN configurada. Separar as duas redes com uma firewall industrial custa menos do que um dia de paragem de produção.

Dimensão 4 — Dados

Classifique os dados antes de os proteger. Não todos têm o mesmo valor nem o mesmo risco regulatório. A fórmula de tingimento de um artigo têxtil, a lista de preços negociada com um retalhista alemão, os dados pessoais de colaboradores para efeitos de processamento salarial — cada um exige um nível de proteção diferente e um regime legal diferente.

O RGPD e a Lei 58/2019 impõem obrigações concretas sobre dados pessoais. Uma violação que exponha dados de colaboradores ou clientes pode resultar em coima da CNPD. Mas o risco operacional de perder dados de produção — ordens de fabrico, rastreabilidade de lotes, histórico de qualidade — é frequentemente mais imediato do que qualquer coima. Uma empresa de calçado em Felgueiras que perca o histórico de rastreabilidade de uma coleção inteira não tem problema legal imediato; tem um problema com o comprador internacional que exige conformidade documental na próxima visita de fevereiro.

Para aprofundar a proteção de backups contra ransomware, consulte o guia Cibersegurança, NIS2 e backup imutável: guia prático para PME industriais.

• Mapeie onde estão os dados críticos: servidor local, cloud, portáteis, pen drives, e-mail.
• Implemente backup com regra 3-2-1: 3 cópias, 2 suportes diferentes, 1 cópia offsite ou imutável.
• Encripte dados em repouso nos servidores críticos e nos portáteis da força de vendas.
• Reveja as permissões de partilha em OneDrive/SharePoint: ficheiros de produção partilhados publicamente são mais comuns do que parece.

Dimensão 5 — Conformidade

A conformidade regulatória não é o objetivo — é o piso mínimo. Mas é um piso que muitas PME industriais portuguesas ainda não atingiram, e as sanções deixaram de ser teóricas.

A NIS2, transposta pelo Decreto-Lei n.º 65/2025, alarga obrigações de cibersegurança a médias e grandes empresas de 18 setores críticos. Se a sua empresa tem mais de 50 colaboradores ou fatura acima de 10 milhões de euros e opera em manufatura, distribuição ou retalho alimentar, verifique se está no âmbito. As sanções chegam a 10 milhões de euros ou 2% do volume de negócios global — e a responsabilidade recai sobre a administração, não sobre o departamento de TI. Leia o detalhe em NIS2 em PMEs industriais: o que muda na prática operacional.

Dois pontos de conformidade que a maioria esquece até à auditoria: o software de faturação tem de estar certificado pela AT (DL 28/2019) e o SAF-T comunicado mensalmente (Portaria 195/2020) — qualquer integração nova com o ERP pode quebrar a certificação sem aviso. E se tem 50 ou mais colaboradores, o canal de denúncias é obrigatório desde 2021 (Lei 93/2021) — não é uma recomendação de boas práticas.

• Verifique se a sua empresa está no âmbito da NIS2: setor, dimensão, papel na cadeia de valor.
• Confirme que o software de faturação está certificado pela AT e que o SAF-T é comunicado mensalmente.
• Se tem 50 ou mais colaboradores, implemente canal de denúncias (Lei 93/2021).
• Documente o registo de atividades de tratamento de dados pessoais (RGPD, artigo 30.º).

Checklist de auditoria rápida — 16 pontos em 2 horas

Divida esta checklist por dois: um responsável de TI faz os pontos técnicos (1–10), o gestor operacional valida os pontos de processo e conformidade (11–16). Em duas horas têm um mapa de exposição real — não uma estimativa, um inventário com lacunas identificadas e priorizadas.

1. Inventário completo de sistemas ativos com versão e sistema operativo.
2. Lista de todos os acessos remotos ativos (VPN, RDP, TeamViewer, AnyDesk).
3. Contas de utilizador auditadas: desativar contas sem atividade nos últimos 60 dias.
4. MFA ativo em todos os acessos remotos e contas de administrador.
5. Segmentação de rede OT/IT verificada: produção isolada do escritório.
6. Patch de segurança aplicado nos últimos 30 dias nos servidores críticos.
7. Antivírus/EDR ativo e atualizado em todos os endpoints geridos.
8. Firewall com regras documentadas e revistas nos últimos 6 meses.
9. Backup testado (restore real) nos últimos 90 dias.
10. Logs de acesso ao ERP e sistemas críticos ativos e retidos por pelo menos 90 dias.
11. Plano de resposta a incidentes documentado e comunicado à equipa.
12. Contrato com prestador de TI com SLA de resposta a incidentes de segurança definido por escrito.
13. Formação de sensibilização para phishing realizada nos últimos 12 meses.
14. Registo de atividades de tratamento de dados pessoais atualizado (RGPD).
15. Verificação de âmbito NIS2 realizada e documentada.
16. Canal de denúncias implementado (se ≥ 50 colaboradores, Lei 93/2021).

Erros comuns e como evitar

Erro 1 — Confundir antivírus com cibersegurança. O antivírus deteta malware conhecido. Não deteta um atacante que entrou com credenciais legítimas roubadas — que é o vetor dominante nos incidentes que o CERT.PT regista. Implemente monitorização de comportamento (EDR) e logs de acesso além do antivírus tradicional. A diferença prática: o antivírus vê o ficheiro malicioso; o EDR vê o utilizador legítimo a aceder a 3.000 ficheiros em 4 minutos às 2h da manhã.

Erro 2 — Backup sem teste de restore. Vemos regularmente empresas que fazem backup diário há anos e descobrem, no momento do incidente, que o restore falha há meses — disco cheio, job silenciosamente interrompido, ficheiro de configuração corrompido. Agende um restore de teste trimestral no calendário como evento com responsável nomeado e resultado documentado. Não como tarefa na lista de TI — como reunião com ata.

Erro 3 — Acesso remoto sem VPN. O RDP exposto diretamente à internet é o vetor de entrada mais explorado em PME industriais portuguesas. A correção custa menos de meio dia de trabalho: coloque o RDP atrás de uma VPN com MFA. Qualquer prestador de TI competente faz isto numa tarde. Se o seu não faz, ou não sabe porquê é necessário, é informação relevante para a próxima renovação de contrato.

Erro 4 — Tratar a cibersegurança como projeto de TI. O erro mais caro. Quando a decisão de investimento em segurança fica exclusivamente no responsável de TI — muitas vezes um profissional competente mas sem autoridade orçamental — o resultado é uma lista de recomendações não implementadas. A cibersegurança é uma decisão de gestão com consequências operacionais e legais. O CEO e o CFO têm de estar no processo, não apenas informados no final.

Erro 5 — Ignorar a cadeia de fornecimento. O fornecedor de manutenção de máquinas que acede à rede interna via TeamViewer é um vetor de risco que a empresa não controla diretamente. Num setor de vestuário com subcontratação extensa, o portal de encomendas partilhado com 12 subcontratados é uma superfície de ataque com 12 pontos de entrada que a empresa-mãe não audita. Mapeie os acessos de terceiros com a mesma rigorosidade que os acessos internos — e revogue-os quando o relacionamento terminar.

Matriz de prioridade para a reunião de amanhã

Nem todos os controlos têm o mesmo peso. Após a auditoria de 16 pontos, use esta matriz para priorizar as correções por impacto e esforço de implementação.

A cibersegurança industrial portuguesa tem um problema de perceção, não de recursos. As empresas que visitamos não são descuidadas — são empresas que cresceram depressa, digitalizaram por camadas, e acumularam risco silencioso que nenhum relatório mensal de TI captura. A auditoria de 16 pontos não resolve esse risco. Identifica-o. E identificar é o único ponto de partida honesto.

Perguntas frequentes

O que é a Diretiva NIS2 e como afeta a minha empresa?

A NIS2, transposta pelo Decreto-Lei n.º 65/2025, alarga obrigações de cibersegurança a médias e grandes empresas de 18 setores críticos, incluindo a indústria. Se a sua empresa opera em setores como energia, transportes, água ou manufatura crítica, está no âmbito. Exige auditorias, planos de resposta a incidentes e SLA definidos com prestadores de TI.

Qual é o risco real de um terminal de produção com Windows 7?

Um terminal com Windows 7 não recebe atualizações de segurança há anos. É uma porta aberta para malware e ransomware que paralisa a fábrica. O atacante não precisa de acesso direto — entra pela rede interna através de máquinas vulneráveis. A maioria das PME industriais portuguesas tem este problema e não o sabe.

Quanto tempo pode a minha fábrica estar parada sem danos irreversíveis?

Esse tempo é o seu RTO (Recovery Time Objective) e determina todo o investimento em segurança. Uma distribuidora com entrega no dia seguinte aguenta 4 horas. Uma confeção a meio de encomenda urgente aguenta 2 horas. Defina este número antes de negociar qualquer SLA com prestadores — não o contrário.

O que é phishing simulado e por que é importante?

É um e-mail falso enviado internamente para testar se colaboradores clicam em ligações maliciosas. Numa distribuidora com 45 colaboradores, 34% clicou na primeira campanha. Este número real, não uma estimativa, convence o CEO a aprovar orçamento de formação em segurança.

Preciso de MFA em todos os acessos remotos?

Sim, sem exceção. A autenticação multifator (MFA) impede que uma password roubada seja suficiente para entrar. Aplique em VPN, RDP, TeamViewer e qualquer acesso remoto. É o controlo mais eficaz contra ataques a PME, com custo baixo e implementação rápida.

Como sei se um ex-colaborador ainda tem acesso aos sistemas?

Audite contas no ERP e sistemas críticos: desative tudo sem atividade nos últimos 60 dias. Uma conta desativada no Active Directory pode estar ativa no ERP ou no sistema de produção. Isto é comum em PME — o colaborador saiu, a conta foi "desativada" parcialmente, e ninguém verificou.

Qual é a diferença entre SLA de suporte geral e SLA de incidente de segurança?

O SLA geral é normalmente 4 horas úteis. Um incidente de segurança exige resposta em 1 hora, 24 horas por dia. São dois contratos distintos. A maioria das PME tem apenas o primeiro e fica parada quando precisa de resposta rápida. Negocie ambos por escrito com o prestador.

Fontes

• CERT.PT e CNCS (Centro Nacional de Cibersegurança) — Relatório de Incidentes de Cibersegurança em Portugal 2024
• Decreto-Lei n.º 65/2025 — Transposição da Diretiva (UE) 2022/2555 (NIS2) para a legislação portuguesa
• Diretiva (UE) 2022/2555 (NIS2) — Diretiva relativa às medidas para um elevado nível comum de cibersegurança em toda a União
• ENISA (Agência da União Europeia para a Cibersegurança) — Guidelines on Incident Handling and Response
• ISO/IEC 27001:2022 — Norma internacional de sistemas de gestão da segurança da informação