A firewall que comprou há três anos não é um SOC. É uma porta com fechadura — útil, mas ninguém está a olhar para a câmara quando alguém tenta entrar às 3h da manhã de domingo. Este guia dá-lhe o critério para decidir entre comprar mais caixas ou contratar quem vigia 24/7, e uma matriz de decisão que pode levar para a reunião de amanhã.
A tese incómoda: a maioria das PME industriais portuguesas já tem proteção perimetral suficiente. O que não tem é deteção. Uma firewall bloqueia o que reconhece. Um SOC apanha o que passou — o movimento lateral, o login estranho às 4h, o encriptador que começou a mexer nos ficheiros do servidor de produção. Em 2024 o CERT.PT registou 2.758 incidentes em Portugal, mais 36% que em 2023, e cerca de 78% em entidades privadas.1 A questão já não é se, é quando repara.
O que precisa ter em cima da mesa antes de decidir
Ninguém escolhe entre perímetro e monitorização às cegas. Antes da reunião, junte seis coisas — e não a versão bonita, a versão real. Primeiro, o inventário de ativos críticos: os servidores de ERP, os PLCs de chão-de-fábrica, o NAS onde vivem as coleções, os controladores de domínio. Depois, o diagrama de rede atualizado — não o de 2019 pendurado na parede do gabinete de IT, o de agora, com a VLAN de produção separada da administrativa (ou, mais provável, sem estar).
Terceiro, a lista honesta de acessos remotos ativos: VPNs, RDP expostos, aquela ligação que o fornecedor da máquina de acabamentos deixou aberta em 2021 e ninguém fechou. Quarto, a política de backup com a data do último teste de restauro real — não a data em que instalaram o software de backup. Quinto, um responsável interno nomeado, com nome e telemóvel, para decidir fora de horário. E, por fim, o enquadramento regulatório: verifique se cai no âmbito da NIS2 antes que a decisão deixe de ser sua.
Falta o detalhe que os checklists de manual não referem: negoceie a janela de manutenção com a produção antes de escolher a solução. Instalar sensores de monitorização num servidor de ERP em plena campanha de Fevereiro — quando os compradores internacionais de calçado feminino já confirmaram visita — não acontece. E se o SOC precisa de agentes em máquinas que não param, isso muda o calendário todo.
Perímetro e SOC não são a mesma camada
Confundir os dois é o erro que vemos em quase todas as primeiras conversas. São funções diferentes, em momentos diferentes do ataque.
| Dimensão | Proteção perimetral | SOC / monitorização |
|---|---|---|
| Quando atua | Antes — bloqueia entrada conhecida | Durante e depois — deteta o que entrou |
| Tecnologia base | Firewall, filtragem de email, segmentação | SIEM, EDR, correlação de logs |
| Precisa de pessoas? | Configuração inicial + regras | Analistas a vigiar 24/7 |
| Falha típica | Regra permissiva esquecida, firmware desatualizado | Alertas sem ninguém a ler |
| Cobre ameaça interna? | Não | Sim — login anómalo, exfiltração |
A firewall não vê um funcionário cujas credenciais foram roubadas a fazer download de 40 GB de coleções de calçado às 2h. O SOC vê. Nas PME o ransomware esteve presente em 88% das violações analisadas, contra 39% nas grandes organizações2 — precisamente porque a caixa está lá, mas ninguém olha para os alertas. O atacante sabe isto melhor do que a gestão: a PME industrial é alvo desproporcionado justamente porque investiu no cadeado e nunca contratou o guarda.
Matriz de decisão: comprar caixa ou contratar vigilância
Pontue cada critério de 0 (não) a 2 (sim, plenamente). Some. Interprete no fim.
| Critério | Pontos (0-2) |
|---|---|
| Temos alguém a ler logs de segurança todos os dias? | |
| Sabemos, em minutos, se um servidor está a ser encriptado? | |
| Testámos o restauro de backup nos últimos 90 dias? | |
| Temos acessos remotos de fornecedores monitorizados? | |
| Caímos no âmbito da NIS2 (setor crítico, dimensão)? | |
| Existe plano escrito de resposta a incidentes? |
0-4 pontos: a proteção perimetral está a dar-lhe falsa confiança. Precisa de deteção antes de mais firewalls. 5-8 pontos: tem bases, mas depende de heróis internos — insustentável no dia em que esse herói tira férias ou muda de emprego. 9-12 pontos: maduro; foque-se em automação e tempo de resposta.
Não compre a caixa mais cara. Compre a certeza de que alguém repara no ataque antes de o encontrar pela conta de resgate.
Um cenário do Vale do Ave
Imagine uma fábrica têxtil de ~90 colaboradores, ERP no servidor, tinturaria com sensores de temperatura ligados à rede. Firewall decente, comprada com fundos COMPETE. Um sábado, um encriptador entra por RDP exposto de uma máquina de acabamentos. Segunda de manhã, o servidor de rastreabilidade de lote está cifrado — e a marca cliente exige compliance com a Estratégia da UE para têxteis sustentáveis, que assenta nesses dados. Sem lote, sem prova de origem. Sem prova, a encomenda fica retida.
A firewall fez o seu trabalho: bloqueou tudo o que reconheceu. Não reconheceu isto. Um SOC teria visto o login RDP às 2h de um IP romeno e teria isolado a máquina em minutos. A diferença entre um susto e três dias de produção parada mede-se em tempo de deteção — não em euros de hardware. As organizações que usaram IA e automação de forma extensiva na prevenção pouparam, em média, 2,2 milhões de dólares por violação.3 Em contexto de PME portuguesa não são milhões — são os dias de laboração que a casa mãe não perdoa e a multa que a AT não desconta.
Erros comuns e como evitar
Cinco padrões repetem-se de fábrica em fábrica, e nenhum deles é sofisticado. O primeiro é comprar SIEM e não ter quem o opere. Um SIEM sem analistas é um armazém de logs a acumular pó digital — contrate o serviço gerido ou não compre a licença. O segundo é deixar a rede de produção plana: separe a VLAN dos PLCs da administrativa, porque o encriptador que entra pelo email de um administrativo não deve ter caminho livre até à injecção plástica.
O terceiro é o mais mortífero e o menos discutido: o backup no mesmo domínio. O ransomware cifra o backup ligado à rede tão facilmente como cifra o servidor de produção. Exija cópia replicada e offline, e teste o restauro num sábado antes de precisar dele numa segunda. O quarto é o RDP exposto à Internet — o vector mais banal que existe. Feche-o, ponha-o atrás de VPN, active MFA, e depois confirme que fechou mesmo, porque metade das fábricas jura que fechou e não fechou.
O quinto é tratar a NIS2 como papelada. A Diretiva exige controlos técnicos reais, não uma política em PDF na gaveta do IT. A NIS2 (Diretiva (UE) 2022/2555, transposta pelo Decreto-Lei n.º 65/2025) alarga as obrigações de cibersegurança a médias e grandes empresas de 18 setores críticos, a indústria incluída.4 Quando o auditor bater à porta, o PDF não isola máquinas nem regista incidentes.
Como a INFOS junta as duas camadas
A Cibersegurança INFOS não vende uma caixa. Opera cinco frentes: avaliação de risco e maturidade, implementação de defesas, SOC e monitorização, formação e awareness, e resposta a incidentes. A base inclui backup replicado, segurança perimetral e email seguro, com conformidade RGPD e ISO 27001 como ponto de partida.
Para quem tem o ERP crítico — o ERP MULTI a correr a produção têxtil, calçado ou metal/plástico — a vantagem é operacional: o SOC conhece onde estão os dados que não podem parar. Vigiar o servidor de rastreabilidade não é a mesma coisa que vigiar um portátil qualquer. Leia também os riscos silenciosos da cibersegurança para o contexto que a maioria dos gestores ainda subestima.
A pergunta que a matriz obriga a responder
O défice global de profissionais de cibersegurança rondava os 4,76 milhões de pessoas em 2024.5 Traduzido para a realidade de uma PME industrial no corredor Lousada/Paços: não vai contratar um analista de segurança a tempo inteiro, e mesmo que o encontrasse, não o teria a olhar para o ecrã às 2h de um domingo. É essa a conta que a matriz força a fazer.
Perímetro protege-o do que já é conhecido. Monitorização apanha o que ainda não é. A decisão entre os dois deixa de ser instinto quando pontua os seis critérios com o seu IT interno — porque o resultado, alto ou baixo, deixa de mentir sobre o tempo que a sua fábrica demora a reparar num ataque que já lá está dentro.
Fontes
- CNCS — Centro Nacional de Cibersegurança / CERT.PT, Relatório Cibersegurança em Portugal, 2024.
- Verizon, Data Breach Investigations Report (DBIR), 2025.
- IBM, Cost of a Data Breach Report, 2024.
- Diretiva (UE) 2022/2555 (NIS2), transposta em Portugal pelo Decreto-Lei n.º 65/2025.
- ISC2, Cybersecurity Workforce Study, 2024.
Perguntas frequentes
O que é a diferença entre uma firewall e um SOC?
Uma firewall bloqueia ameaças conhecidas antes de entrarem na rede — atua na prevenção. Um SOC (Security Operations Center) deteta ataques que já passaram pela firewall, monitorizando comportamentos anómalos, logins estranhos e movimentos laterais dentro da rede. A firewall é a porta; o SOC é quem vigia 24/7.
Uma PME portuguesa realmente precisa de um SOC?
Sim. A maioria das PME industriais tem proteção perimetral suficiente, mas falta deteção. Em 2024, o CERT.PT registou 2.758 incidentes em Portugal, 78% em entidades privadas. O ransomware esteve presente em 88% das violações em PME, precisamente porque o cadeado existe mas ninguém olha para os alertas.
Qual é o custo real de não ter monitorização 24/7?
Não é apenas o resgate. Um encriptador que entra num fim de semana e é descoberto na segunda-feira pode paralisar produção durante dias. Para uma PME industrial, a perda de laboração, multas regulatórias e danos reputacionais superam largamente o custo de um SOC gerido. O tempo de deteção define a diferença entre um susto e uma catástrofe.
Posso usar um SIEM sem contratar analistas?
Não. Um SIEM sem analistas é um armazém de logs acumulando dados sem valor. Recomenda-se contratar o serviço gerido (SOC as a Service) ou não investir na licença. A ferramenta sozinha não detecta nada — precisa de pessoas a ler, correlacionar e reagir aos alertas.
Como sei se preciso de um SOC ou apenas melhorar a firewall?
Use a matriz de decisão: pontue 0-2 em seis critérios (leitura diária de logs, tempo de deteção de encriptação, testes de backup, monitorização de acessos remotos, enquadramento NIS2, plano de incidentes). Pontuação 0-4: precisa de deteção urgentemente. 5-8: tem bases mas depende de heróis internos. 9-12: está maduro.
A NIS2 obriga as PME a ter SOC?
Não obriga explicitamente SOC, mas exige deteção de incidentes e resposta em tempo real. Se a sua PME cai no âmbito da NIS2 (setor crítico, dimensão acima de 50 colaboradores), um SOC gerido é a forma mais prática de cumprir estes requisitos sem criar dependência de um único colaborador interno.
Qual é o erro mais comum que vejo em PME industriais?
Backup no mesmo domínio da rede. O ransomware cifra o backup ligado à rede tão facilmente como cifra o servidor de produção. Exija cópia replicada e offline, com testes de restauro reais (não apenas datas de instalação do software). Sem backup seguro, não há recuperação.