As 9 medidas do Art. 27.º (parte 2)
Eficácia, formação, criptografia, RH e MFA
Cenário de abertura
Um auditor externo visita a vossa organização. Faz uma pergunta simples mas desafiante: «Como sabem que as vossas medidas de segurança realmente funcionam?» A maioria das organizações responde: «Temos políticas escritas.» O auditor sorri e diz: «Políticas escritas não são medidas implementadas.»
e) Avaliação da eficácia das medidas
A quinta medida (Art. 27.º, al. e) exige que as entidades avaliem regularmente a eficácia das suas medidas de cibersegurança. As formas aceites de demonstrar esta avaliação incluem: auditorias internas e externas documentadas, testes de intrusão (pentests) por terceiros qualificados, exercícios de tabletop (simulação de incidentes com a equipa de gestão) e revisões periódicas de políticas e controlos. Os resultados devem ser reportados ao órgão de gestão e as constatações devem originar planos de remediação com prazos.
f) Ciber-higiene e formação continua
A sexta medida (Art. 27.º, al. f) abrange a formação em cibersegurança e a ciber-higiene. O erro humano (phishing, credenciais fracas, más configurações) é um vetor frequente de incidentes de cibersegurança. A resposta é uma cultura de segurança sustentada por formação regular (pelo menos anual), simulações de phishing, sensibilização para engenharia social e procedimentos claros para reportar comportamentos suspeitos. A formação deve ser adaptada ao perfil de cada colaborador.
g) Criptografia e gestão de chaves
A sétima medida (Art. 27.º, al. g) exige a utilização de criptografia adequada para proteger dados em repouso e em trânsito. Os padrões atuais recomendam AES-256 para dados em repouso e TLS 1.3 para dados em trânsito. A gestão de chaves criptográficas é tão importante quanto os algoritmos: chaves mal geridas (sem rotação, armazenadas em plaintext, partilhadas) anulam a proteção que a criptografia oferece. As orientações europeias recomendam começar a preparar a transição para a criptografia pós-quântica, dada a evolução dos computadores quânticos e o risco de desencriptação retroativa de dados capturados hoje; o DL 125/2025 não o refere expressamente.
h) Recursos humanos, controlo de acessos e gestão de ativos
A oitava medida (Art. 27.º, al. h) cobre três domínios interligados. Na dimensão de RH: verificações de antecedentes para funções críticas, acordos de confidencialidade, processos de onboarding e offboarding de segurança. No controlo de acessos: implementação de RBAC (controlo de acesso baseado em papéis) e princípio do menor privilégio, eliminando contas com acesso excessivo. Na gestão de ativos: inventário atualizado de hardware e software, essencial para avaliar superfícies de ataque e responder rapidamente a incidentes.
i) Autenticação multifator obrigatória
A nona medida (Art. 27.º, al. i) é talvez a mais direta em termos de implementação técnica: a alínea i) exige a utilização de autenticação multifator ou de autenticação contínua, comunicações seguras e sistemas seguros de comunicações de emergência. O Anexo III do Regulamento 756/2026 concretiza a MFA nos acessos remotos, nas contas privilegiadas e nos sistemas críticos. A ENISA recomenda, na sua Technical Implementation Guidance, MFA resistente a phishing sempre que possível, preferindo soluções baseadas em FIDO2/WebAuthn em vez de SMS ou TOTP quando o risco é elevado. A MFA consistente é ainda hoje a medida com melhor relação custo-benefício na prevenção de comprometimento de contas.
Defense-in-depth: camadas de proteção
Caso real
O erro humano como vetor de incidentesO erro humano é um vetor frequente de incidentes de cibersegurança: phishing bem-sucedido, uso de passwords fracas ou reutilizadas, ou configurações incorretas realizadas por utilizadores sem formação adequada. A formação regular combinada com MFA é uma das medidas mais custo-eficazes para reduzir este risco (art. 27.º, n.º 1, alíneas f) e i)).
Templates relacionados
Quiz do módulo 5
Responda a 5 perguntas sobre o conteúdo deste módulo. É necessário obter 70% ou mais para avançar.