Conformidade não é segurança: o risco invisível das empresas portuguesas

No entanto, nenhuma destas medidas garante, por si só, que a organização conhece verdadeiramente a sua superfície de ataque. E sem essa visibilidade, a conformidade pode criar uma falsa sensação de segurança.

As organizações portuguesas enfrentam mais de 2.000 ataques por semana, um volume que coloca Portugal acima da média europeia e que, isolado, seria argumento suficiente para justificar uma postura de segurança mais exigente do que aquela que a maioria das empresas nacionais pratica.

Embora este volume seja preocupante, o verdadeiro problema é outro: muitas organizações continuam sem conhecer aquilo que está efetivamente exposto ao exterior e, por isso, não conseguem gerir o risco de forma eficaz.

Portugal tem um problema de visibilidade dos ataques

O maior problema não é o número de ataques. É o facto de muitas organizações não saberem exatamente o que têm exposto ao exterior. Sem essa visibilidade, qualquer estratégia de gestão de risco começa incompleta.

Não se gere o que não se vê, e a maioria das empresas nacionais não tem visibilidade suficiente sobre o que tem exposto para saber por onde começar.

Risco elevado nas empresas

Os dados ajudam a perceber a dimensão do problema. Numa análise realizada pela CyberInspect a mais de 50 mil empresas portuguesas, 75% apresentam um nível de risco médio ou elevado e, dentro desse grupo, 32% encontravam-se no patamar de risco mais crítico.

Importa sublinhar que esta avaliação foi realizada exclusivamente com informação observável do exterior, como domínios mal configurados, certificados expirados, serviços expostos sem autenticação ou a ausência de mecanismos de autenticação de email, como SPF, DKIM e DMARC. Ou seja, sem qualquer acesso às infraestruturas internas das organizações.

Porque é que as empresas tecnológicas estão entre as mais expostas?

Há um paradoxo adicional que os dados do setor tornam evidente e que contraria a intuição mais imediata. As empresas de programação informática e retalho de equipamentos tecnológicos apresentam sistematicamente postura abaixo da média nacional.

À partida, seria expectável que estes setores liderassem em maturidade de segurança. No entanto, acontece precisamente o contrário. Em contraste, setores com menor intensidade digital apresentam, em média, melhores níveis de exposição.

A explicação deve-se ao facto de maior presença digital implicar maior superfície de ataque exposta, e o ritmo de crescimento dessa presença tende a preceder os processos de hardening e gestão de configuração que transformariam essa exposição em risco controlado.

Estas vulnerabilidades não se circunscrevem ao perímetro de cada organização e propagam-se por toda a cadeia de fornecedores que com ela se interliga, independentemente do nível de maturidade de cada uma.

É precisamente nesta interdependência que reside um dos maiores desafios atuais da cibersegurança empresarial.

A cadeia de fornecimento e a ilusão da conformidade

Os ataques via cadeia de abastecimento duplicaram em 2025, segundo o relatório da Cipher. No contexto nacional, onde as PME são identificadas de forma consistente como ponto de entrada para ataques dirigidos a organizações de maior dimensão, esta aceleração tem consequências diretas.

Uma PME que fornece serviços de contabilidade, manutenção de software ou suporte IT a uma grande empresa tem, na prática, um nível de acesso privilegiado à infraestrutura do cliente que raramente está acompanhado de um nível equivalente de maturidade de segurança.

NIS2 e as exigências na cadeia de fornecimento

A NIS2 obriga as organizações abrangidas a avaliar também o risco dos seus fornecedores. O desafio é que continua a não existir um referencial comum que uniformize essa avaliação.

Na prática, um fornecedor pode responder a três grandes clientes e ter de cumprir três processos completamente diferentes. O resultado é mais burocracia, maior custo e nem sempre melhor segurança.

Esta fragmentação gera ineficiência e, paradoxalmente, menor segurança efetiva, porque o esforço de conformidade se dispersa sem produzir uma linha de base consistente ao longo de toda a cadeia.

Da consciência à capacidade das organizações

Atualmente, a consciência sobre a importância da cibersegurança existe de forma mais generalizada do que alguma vez existiu, mas a distância entre essa consciência e a capacidade operacional de gestão do risco continua a ser, para a maioria das organizações, maior do que seria aceitável.

O que pode encurtar essa distância é o acesso democratizado a capacidades de avaliação contínua de risco que permitam às PME ter visibilidade sobre a sua exposição com a mesma estrutura e rigor que, até há pouco tempo, estava reservada a grandes organizações com equipas de segurança dedicadas. A maturidade em cibersegurança já não se mede apenas pelo número de ferramentas implementadas ou pelo cumprimento de requisitos regulamentares. Mede-se, sobretudo, pela capacidade de conhecer continuamente a exposição ao risco e de agir antes que um atacante o faça.

Fontes:

Ataques à cadeia de abastecimento: análise 2025 e tendências 2026" da Cipher, divisão de cibersegurança do Grupo Prosegur

Dados próprios: estudo nível de risco nas PME portuguesas. CyberInspect 2026

Check Point Research, 22nd June Threat Intelligence Report, 2026

Conteúdo co-produzido pela MediaNext e pela CyberInspect