Zero Trust numa PME não é um projeto de banco nem uma caixa que se compra. É uma regra de gestão: nenhum acesso é automático, cada pedido é verificado. Na prática, resume-se a quatro passos — proteger as contas, controlar os equipamentos, dividir a rede e dar a cada pessoa só o acesso de que precisa. Numa empresa de 10 a 200 postos, o essencial fica feito em cerca de três meses.
Os fornecedores de segurança gostam de vender Zero Trust como algo complexo e caro. Não tem de ser. Este guia traduz o conceito para quem decide e mostra o que fazer em cada mês.
Zero Trust traduzido para gestores
Durante anos, a segurança das empresas funcionou como um castelo: uma muralha forte (a firewall) e confiança total para quem estava lá dentro. O modelo deixou de servir porque já ninguém está só “lá dentro”: há teletrabalho, Microsoft 365 na cloud, telemóveis, fornecedores com acesso remoto. E a maioria dos ataques não derruba a muralha — entra com a palavra-passe de alguém.
Em linguagem simples: pense num aeroporto. Ter entrado no terminal não chega para embarcar. O cartão de embarque é verificado no controlo de segurança, outra vez na porta, e só dá acesso a um avião, a um lugar. Zero Trust aplica a mesma lógica aos sistemas da empresa: verificar sempre, dar só o necessário, registar tudo.
O resultado para o gestor é concreto: se uma palavra-passe for roubada ou um portátil for infetado, o estrago fica limitado a uma pessoa e a uma parte dos sistemas — e não à empresa inteira.
Porque é que isto passou a ser urgente
O relatório de violações de dados da Verizon de 2026 mostra que, nas pequenas e médias empresas, 55% das violações analisadas envolveram terceiros (fornecedores, parceiros, prestadores) e 45% tiveram um elemento humano — um clique, um erro, uma palavra-passe reutilizada. Nenhuma firewall de perímetro resolve isto sozinha.
Também a diretiva europeia NIS2 pede, entre as medidas de gestão de risco, políticas de controlo de acessos, gestão de ativos e autenticação multifator. Não usa a expressão “Zero Trust”, mas os quatro passos cobrem boa parte desse trabalho técnico. Se a sua empresa está abrangida, leia o nosso guia da NIS2 explicada para PME.
Os 4 passos, por esta ordem
Passo 1 — Identidade: proteger as contas
- Autenticação multifator em todas as contas, a começar pelo Microsoft 365 e pelos administradores.
- Contas de ex-colaboradores desativadas no próprio dia da saída.
- Administradores reduzidos a duas ou três pessoas identificadas, com contas separadas para administrar.
- Fim das contas partilhadas (“geral@”, “loja1”) para entrar em sistemas.
É o passo com maior retorno: uma palavra-passe obtida por phishing deixa de chegar para entrar. Na maioria das licenças Microsoft 365 é sem compromisso adicional — o trabalho é de organização. Mais detalhe no guia de autenticação multifator para empresas e no de gestor de passwords.
Passo 2 — Equipamentos: saber o que existe e em que estado
- Inventário de todos os computadores e telemóveis com acesso a dados da empresa.
- Proteção contra ameaças e atualizações ativas em todos.
- Acesso a dados só a partir de equipamentos que cumprem as regras — no Microsoft 365, através de políticas de acesso condicionado.
Equipamentos sem suporte, como o Windows 10 desde 14 de outubro de 2025, são o primeiro problema a resolver: veja o que fazer com o fim do suporte do Windows 10.
Passo 3 — Rede: dividir em zonas
A rede deixa de ser um espaço único. Postos de trabalho, servidores, convidados, impressoras e câmaras ficam em zonas separadas, e a firewall decide o que pode passar entre elas. Se um computador for infetado, o ataque fica contido numa zona — não cifra os servidores e os backups. Com switches geríveis e uma firewall gerida, isto é configuração, não compra.
Passo 4 — Acesso mínimo: cada pessoa só ao que precisa
- Revisão das permissões em pastas partilhadas, SharePoint e Teams.
- Utilizadores sem direitos de administrador no próprio computador.
- Acesso remoto por aplicação em vez de acesso à rede inteira — o tema de a VPN já não chega.
É o passo mais trabalhoso, porque muda hábitos, e por isso vem no fim. Ganhou também uma nova urgência: o Copilot e outras ferramentas de IA mostram a cada pessoa tudo aquilo a que ela tem acesso. Explicamos porquê em IA na empresa: as regras a pôr antes do ChatGPT e do Copilot.
O plano mês a mês
Prazos realistas para uma empresa de 10 a 200 postos, com um parceiro de IT dedicado e a administração envolvida:
| Mês | O que fazer | Quem decide / executa | O que muda para a equipa |
|---|---|---|---|
| Mês 1 | Autenticação multifator em todas as contas; limpeza de contas antigas e de administradores; inventário de equipamentos | Administração aprova; IT executa | Confirmação no telemóvel ao entrar |
| Mês 2 | Proteção e atualizações em todos os equipamentos; acesso condicionado no Microsoft 365; plano de troca dos equipamentos sem suporte | IT executa; direção financeira aprova trocas | Equipamentos pessoais deixam de descarregar dados |
| Mês 3 | Rede dividida em zonas; rede de convidados isolada; VPN limitada e contas de fornecedores individuais | IT executa, numa intervenção planeada | Praticamente nada — é invisível quando bem feito |
| Contínuo | Revisão trimestral de permissões; remoção de direitos de administrador; passagem gradual para acesso por aplicação | Chefias validam acessos; IT aplica | Pedidos de instalação de software passam pelo IT |
DataRoad IT Unlimited
Fale com a DataRoad. Avaliamos a sua operação e propomos o plano certo.
O que deixamos de fora — e porquê
Existem soluções avançadas de Zero Trust: análise de comportamento dos utilizadores, segmentação aplicação a aplicação, verificação contínua do estado de cada equipamento. Para a maioria das PME, o custo é alto e o ganho é pequeno enquanto os quatro passos básicos não estiverem feitos. A ordem importa: autenticação multifator sem divisão da rede protege as contas mas não a rede; divisão da rede sem autenticação multifator faz o contrário.
Um caso real: Windows e Mac, uma só regra
No escritório de Lisboa da Reltio by SAP, empresa norte-americana de software de dados, a DataRoad tem um contrato de manutenção permanente e gestão da rede: 125 pontos de rede estruturada, firewall, três switches e pontos de acesso Wi-Fi Cisco Meraki, suporte especializado a 35 equipamentos Dell e 40 MacBook Pro.
É um bom retrato do passo 2: um parque misto, Windows e Mac, onde as regras têm de ser as mesmas independentemente do sistema. Com o inventário feito e a rede gerida a partir de um só sítio, aplicar os quatro passos é uma questão de método — não de comprar mais caixas.
Perguntas frequentes
Zero Trust é um produto que se compra?
Não. É uma forma de desenhar os acessos. Alguns produtos ajudam, mas os quatro passos essenciais fazem-se, na maioria das PME, com o Microsoft 365, a firewall e os equipamentos que a empresa já tem.
Vai tornar o trabalho mais lento?
Quase nada, se for bem feito. A autenticação multifator pede uma confirmação no telemóvel e o acesso condicionado é invisível quando o equipamento cumpre as regras. A mudança mais visível é deixar de instalar programas sem passar pelo IT — e isso é intencional.
Uma empresa de 15 postos precisa disto?
Os passos 1 e 3 — autenticação multifator e rede de convidados separada — são recomendáveis em qualquer empresa. Os passos 2 e 4 crescem com a dimensão da empresa e com a sensibilidade dos dados.
A NIS2 obriga a ter Zero Trust?
A NIS2 não usa o termo, mas pede controlo de acessos, gestão de ativos e autenticação multifator como medidas de gestão de risco. Os quatro passos cobrem boa parte desse trabalho técnico. A DataRoad implementa as medidas técnicas; a análise jurídica deve ser feita por um advogado.
Diagnóstico Zero Trust em 10 dias úteis
Avaliamos as suas contas, equipamentos, rede e permissões, dizemos em que passo está a sua empresa e entregamos o plano para os próximos três meses. Para empresas com mais de 10 postos · contrato de assistência · suporte remoto, local e telefónico. A cibersegurança gerida — firewalls, proteção dos equipamentos, autenticação multifator e alarmística — está incluída nos planos IT Unlimited Premium.
