Segurança Microsoft 365 empresa não é sinónimo de licença paga — é sinónimo de configuração. A sua empresa usa o Microsoft 365 há anos, paga a subscrição todos os meses, os emails funcionam, o Teams funciona, o OneDrive guarda os ficheiros. Está tudo bem, certo?
Talvez não. O Microsoft 365 sai da caixa (ou melhor, da subscrição) com um nível de segurança básico — suficiente para funcionar, insuficiente para proteger. A Microsoft trata da infraestrutura; quem tem de ativar as proteções certas é a própria empresa. E a esmagadora maioria não o faz, simplesmente porque ninguém lhe disse que era preciso.
O resultado é sempre parecido: uma conta comprometida sem que ninguém dê por isso durante semanas — regras de reencaminhamento criadas às escondidas, ficheiros do OneDrive acedidos por quem não devia, aplicações de terceiros com permissões que ninguém se lembra de ter autorizado. Neste artigo reunimos as 8 configurações que realmente fazem diferença — sem precisar de ser informático para as entender.
O que significa, na prática, segurança Microsoft 365 empresa
Quando uma empresa subscreve o Microsoft 365, recebe um ambiente funcional, não um ambiente protegido. As definições de segurança avançadas — autenticação multifator obrigatória, políticas de acesso condicional, proteção contra phishing — existem, mas vêm desativadas ou configuradas ao mínimo, porque ativá-las por defeito para todos os clientes geraria mais chamadas de suporte do que a Microsoft consegue gerir.
Isto significa que uma conta de email da sua empresa pode, hoje, ser acedida apenas com uma palavra-passe. Sem verificação adicional. De qualquer lugar do mundo. É exatamente este tipo de porta aberta que os atacantes procuram — não invadem servidores complexos, testam credenciais roubadas em milhares de contas até uma funcionar.
Porque é precisamente o Microsoft 365 que está na mira
Há uma razão simples para tanta atenção a esta plataforma em particular: quase toda a gente usa-a. Quando um formato de ataque funciona contra uma conta Microsoft 365, funciona contra milhões de outras com a configuração igual — o mesmo ecrã de login, os mesmos nomes de campos, o mesmo aspeto familiar que faz baixar a guarda.
Isso permite às ferramentas de ataque especializar-se. Existem hoje kits de phishing vendidos prontos a usar que replicam o ecrã de login da Microsoft ao detalhe, e serviços automatizados que testam credenciais roubadas especificamente contra contas @outlook, @onmicrosoft ou domínios próprios ligados ao Microsoft 365 — em vez de atacar sistemas genéricos, atacam este de propósito, porque o retorno é maior.
E há um segundo motivo, este menos falado: numa conta Microsoft 365, o email é normalmente só a porta de entrada. Atrás dela está o OneDrive, o SharePoint, o Teams com o histórico de conversas, os ficheiros da contabilidade, os contactos de clientes. Comprometer uma única conta dá acesso a tudo isto de uma vez — é por isso que vale a pena ao atacante investir tempo a contorná-la, e é também por isso que vale a pena à empresa investir tempo a protegê-la bem.
As 8 configurações essenciais
Não é preciso um departamento de TI de 20 pessoas para implementar isto. É preciso saber o que ativar e, na maioria dos casos, um técnico consegue configurar tudo numa manhã.
1. Autenticação multifator (MFA) em todas as contas — sem exceção
Não só na conta de administrador. Todas. Uma password roubada deixa de ser suficiente para entrar se for preciso confirmar também no telemóvel.
2. Políticas de acesso condicional
Permitem, por exemplo, bloquear automaticamente logins vindos de países onde a empresa não opera, ou exigir que o acesso seja feito apenas a partir de dispositivos reconhecidos.
3. Proteção anti-phishing e anti-spoofing ativa
O Microsoft Defender for Office 365, quando bem configurado, filtra grande parte dos emails fraudulentos antes de chegarem à caixa de entrada — incluindo os que imitam o email de um fornecedor ou de um colega.
4. Registos SPF, DKIM e DMARC no domínio de email
Sem estes, é trivial para alguém enviar emails a fazer-se passar pela sua empresa. Com eles, esses emails são rejeitados ou marcados como suspeitos automaticamente.
5. Backup independente do Microsoft 365
Este é o mito mais caro de todos: a Microsoft não faz backup completo dos seus dados. A retenção nativa serve para recuperar um ficheiro apagado há 3 dias, não para restaurar tudo depois de um ataque. Um backup verdadeiramente independente, com cópias imutáveis, é o que garante que a empresa recupera mesmo que a conta seja cifrada ou eliminada.
6. Revisão das aplicações de terceiros ligadas à conta
Ao longo dos anos, colaboradores autorizam dezenas de aplicações a aceder ao email e aos ficheiros — muitas já nem se usam, mas continuam com acesso. Uma revisão periódica fecha essas portas esquecidas.
7. Alertas de atividade suspeita
Configurar avisos automáticos para logins fora de horas, a partir de localizações invulgares, ou várias tentativas falhadas seguidas de sucesso — o tipo de padrão que indica uma conta comprometida antes de o dano acontecer.
8. Política de retenção e prevenção de perda de dados (DLP)
Regras que impedem, por exemplo, o envio acidental (ou intencional) de ficheiros com dados de clientes para fora do domínio da empresa.
Nenhuma destas medidas é, isoladamente, complicada. Juntas, fecham a maioria das portas que hoje estão simplesmente destrancadas.
Estas mesmas oito áreas — sobretudo o MFA e o hardening geral do ambiente Microsoft 365 — deixaram de ser apenas boas práticas recomendadas. A Diretiva europeia NIS2, que Portugal está a aplicar sob supervisão do CNCS, considera-as requisitos mínimos de segurança para as entidades abrangidas, com obrigação de as documentar e de conseguir demonstrar que estão ativas.
Sabe se a sua empresa está abrangida pela NIS2?
Descubra em 5 minutos o nível de exposição da sua empresa e o que falta implementar
Proteja hoje o ambiente Microsoft 365 da sua empresa
Configurar tudo isto sozinho é possível, mas leva tempo e exige acompanhamento contínuo — as ameaças mudam, as configurações têm de ser revistas. O nosso Plano Avançado inclui a implementação e monitorização permanente de todas estas proteções.
Conhecer o Plano Avançado de Cibersegurança
Perguntas frequentes
A infraestrutura é segura — os servidores da Microsoft raramente são o problema. O que fica por configurar é a proteção das contas e dos dados dentro dessa infraestrutura, e essa parte é sempre responsabilidade de cada empresa
Acrescenta alguns segundos ao iniciar sessão num dispositivo novo. Em dispositivos já reconhecidos, a maioria das configurações não pede confirmação de novo durante semanas.
Configurar tudo isto sozinho é possível, mas leva tempo e exige acompanhamento contínuo — as ameaças mudam, as configurações têm de ser revistas. O nosso Plano Avançado inclui a implementação e monitorização permanente de todas estas proteções.
Faz retenção temporária, pensada para recuperar erros pontuais, não para restaurar a empresa depois de um ataque ou de uma eliminação em massa. Backup e retenção nativa são coisas diferentes.
As configurações essenciais — MFA, acesso condicional básico, SPF/DKIM/DMARC — estão disponíveis mesmo nos planos Business Basic e Standard. Alguns recursos mais avançados de Defender exigem licenças superiores, mas o essencial não depende de ter o plano mais caro.
Numa empresa típica de 10 a 50 colaboradores, entre 1 a 2 dias de trabalho técnico, distribuídos ao longo de uma semana para não interromper a operação.
Proteja hoje o ambiente Microsoft 365 da sua empresa
Sim. Estas configurações reduzem o risco real de ataque independentemente de qualquer obrigação legal. A NIS2 apenas torna algumas delas obrigatórias para certos setores — o risco de um email falso a pedir uma transferência existe para qualquer empresa.Conhecer o Plano Avançado de Cibersegurança
Uma auditoria rápida ao ambiente Microsoft 365 mostra isso em poucos minutos. É o primeiro passo do nosso Plano Avançado de cibersegurança.
