Bloco 1 · Fundamentos

Porquê segurança da informação

A informação é um dos ativos mais valiosos de uma organização — e um alvo.

• Dados de clientes, financeiros, propriedade intelectual.
• Um incidente pode custar dinheiro, reputação e multas (RGPD).
• A maioria dos ataques explora falhas simples: passwords fracas, software desatualizado, pessoas enganadas.

Segurança não é só tecnologia — é pessoas, processos e tecnologia.

A tríade CIA

O objetivo da segurança da informação resume-se a três propriedades:

Toda a decisão de segurança serve pelo menos uma destas três.

Bloco 2 · Ameaças

Ameaça, vulnerabilidade e risco

• Ameaça — algo que pode causar dano (um hacker, um vírus, uma cheia).
• Vulnerabilidade — uma fraqueza que a ameaça explora (password fraca, software antigo).
• Risco = probabilidade × impacto de a ameaça explorar a vulnerabilidade.

Não se eliminam as ameaças; reduzem-se as vulnerabilidades e mitiga-se o risco.

Vulnerabilidades comuns

• Palavras-passe fracas ou reutilizadas.
• Software e sistemas desatualizados (sem patches).
• Configurações por omissão (admin/admin).
• Falta de cópias de segurança.
• Utilizadores sem formação (o elo mais fraco).

A maioria dos incidentes reais começa numa destas.

Malware

Malware = software malicioso. Tipos:

• Vírus / worm — replica-se e espalha-se.
• Trojan — disfarça-se de programa legítimo.
• Ransomware — cifra os ficheiros e pede resgate.
• Spyware / keylogger — espia e rouba dados.

Defesas: antivírus atualizado, atualizações, princípio do mínimo privilégio, backups (contra ransomware).

Engenharia social

O ataque à pessoa, não à máquina:

• Phishing — email/SMS falso que engana para clicar ou dar dados.
• Pretexting — inventar um pretexto ("sou do IT, preciso da tua password").
• Baiting — isco (pen USB "esquecida").

Defesa: desconfiar, verificar o remetente, nunca dar credenciais, formar as pessoas. É o vetor de ataque nº 1.

Bloco 3 · Criptografia

O que é a criptografia

Cifrar = transformar dados legíveis (texto simples) em ilegíveis (texto cifrado) com uma chave. Só quem tem a chave decifra.

Serve a confidencialidade (esconder) e, com hashing/assinaturas, a integridade e autenticidade.

Termos: texto simples, texto cifrado, chave, algoritmo.

Simétrica vs assimétrica

Na prática combinam-se: a assimétrica troca em segurança uma chave simétrica, que cifra o resto (é o que faz o HTTPS).

Hashing e certificados

• Hash — "impressão digital" de um dado (ex.: SHA-256). Muda o dado, muda o hash → deteta alterações (integridade). Guarda-se o hash das passwords, nunca a password.
• Assinatura digital — cifra o hash com a chave privada; prova autor e integridade.
• Certificado digital — liga uma chave pública a uma identidade, validado por uma Autoridade de Certificação (CA). É a base do HTTPS (o cadeado do browser).

Bloco 4 · Acessos

Autenticação — os 3 fatores

Provar quem és por:

1. Algo que sabes — password, PIN.
2. Algo que tens — telemóvel, token, cartão.
3. Algo que és — impressão digital, rosto (biometria).

MFA / 2FA = usar dois ou mais fatores. Uma password roubada já não chega. É a medida com melhor retorno em segurança.

Palavras-passe

• Longas (12+ caracteres); uma frase é melhor que uma palavra complexa.
• Únicas por serviço — nunca reutilizar.
• Gestor de passwords (Bitwarden, KeePass) para as gerir.
• Nunca partilhar; ativar MFA onde houver.

Do lado do sistema: guardar sempre com hash + salt, nunca em texto.

Gestão de identidade e acessos (IAM)

Controlar quem acede a quê:

• Autenticação (quem és) + autorização (o que podes).
• Mínimo privilégio — cada um só o necessário.
• RBAC — permissões por perfil/função, não por pessoa.
• Contas revistas e removidas quando alguém sai.

IAM é a "porta" da organização — mal gerida, é a maior falha.

Bloco 5 · Rede

Segurança de rede

• Firewall — filtra o tráfego entre redes (deixa passar só o permitido).
• IDS / IPS — deteta (IDS) ou bloqueia (IPS) tráfego suspeito.
• VPN — cria um túnel cifrado para aceder à rede da empresa em segurança (ex.: teletrabalho).
• Segmentação — separar redes (visitantes ≠ servidores).

Boas práticas de rede

• Wi-Fi com WPA2/WPA3 e password forte; rede de visitantes à parte.
• Trocar as credenciais por omissão dos equipamentos.
• HTTPS em tudo; desligar serviços não usados.
• Atualizar firmware de routers e servidores.

A rede é o perímetro — mas hoje assume-se confiança zero (verificar sempre).

Bloco 6 · Gestão

Políticas de segurança e ISO 27001

• Política de Segurança da Informação (PSI) — o documento que define regras, responsabilidades e comportamentos esperados.
• Políticas específicas: passwords, uso aceitável, backups, teletrabalho.
• ISO/IEC 27001 — norma internacional para um Sistema de Gestão de Segurança da Informação (SGSI): gerir a segurança como processo, não como reação.

Sem políticas escritas, cada um faz à sua maneira.

Avaliação de risco e auditorias

• Avaliação de risco — identificar ativos, ameaças e vulnerabilidades; classificar cada risco (probabilidade × impacto) e decidir: mitigar, transferir, aceitar ou evitar.
• Auditoria de segurança — verificar se as políticas e controlos estão a ser cumpridos (testes, revisão de acessos, análise de vulnerabilidades).

Fazem-se com regularidade, não uma vez só.

Backups e disponibilidade

Garantir a disponibilidade (o D do CIA):

• Regra 3-2-1 — 3 cópias, 2 suportes diferentes, 1 fora do local.
• Backups automáticos, cifrados e testados (restauro).
• Proteção contra ransomware: cópias offline/imutáveis.
• Plano de continuidade e recuperação (DRP).

Resposta a incidentes

Ter um plano antes de o incidente acontecer. Fases:

1. Preparação — equipa, contactos, ferramentas.
2. Deteção e análise — identificar o que se passa.
3. Contenção — isolar (desligar o afetado).
4. Erradicação — remover a causa.
5. Recuperação — repor a partir de backups.
6. Lições aprendidas — melhorar para a próxima.

Documentar tudo; comunicar (e, no RGPD, notificar a CNPD/afetados se houver dados pessoais).

RGPD e conformidade

• Dados pessoais exigem segurança por desenho e por omissão.
• Uma violação de dados pessoais tem de ser notificada (em regra, 72h) à CNPD.
• Minimizar dados, cifrar, controlar acessos, registar quem acede.
• Multas do RGPD podem chegar a milhões — a segurança também é conformidade legal.