Sobre este template

O Regulamento 756/2026 pede, desde o nível básico, um registo documentado dos utilizadores com privilégios de administração e da respetiva aprovação (PR.GA-5), dos utilizadores e dispositivos autorizados a aceder remotamente (PR.GA-7) e a autenticação multifator nos acessos remotos e nas contas privilegiadas (PR.GA-3). Os níveis substancial e elevado acrescentam a revisão regular dos privilégios, a monitorização das manutenções remotas e dos acessos revogados no fim, a desativação por inatividade e o registo das exceções. Este ficheiro Excel tem uma folha para cada tema e assinala contas sem aprovação, sem MFA, com revisão vencida ou manutenções sem revogação.

O que contém o ficheiro

• Instruções: objetivo, medidas a que serve de evidência (com código e nível), tipo de entidade, obrigação e boa prática, e o que fica a confirmar com o CNCS.
• Contas privilegiadas: titular, conta nominal distinta da conta normal, tipo, sistemas, papel que justifica o privilégio, aprovação, MFA, cofre, monitorização, revisão, exceção associada e alertas.
• Acessos remotos: utilizadores e dispositivos autorizados, mecanismo (VPN, VDI, portal), MFA, aprovação, validade e revogação.
• Manutenções remotas: acessos de fornecedores, janela, monitorização, revogação e dias entre o fim da manutenção e a revogação.
• Revisões: cada revisão periódica dos privilégios, com o resultado documentado.
• Parâmetros e Indicadores: periodicidade da revisão, período de inatividade e prazo de revogação editáveis; percentagem com MFA, contas por tipo, revisões vencidas e tempo até à revogação. As linhas de exemplo ficam fora das contagens.
• Referências legais: o texto literal das evidências do Regulamento e das normas citadas.

A evidência é exigida conforme o nível de conformidade da entidade; as medidas do artigo 27.º n.os 1 e 2 e do artigo 33.º só são exigíveis a 22 de junho de 2028 (DL 125/2025, art. 10.º n.º 2), pelo que até lá o registo é preparação.