Segurança Microsoft 365 para PME: guia prático dos primeiros 30 dias

As primeiras vinte e quatro horas começam pelas contas com mais poder. Uma conta de administrador comprometida não é um incidente — é o incidente que dá origem a todos os outros.

Não é o momento de redesenhar funções ao detalhe — isso fica para o passo 8. Hoje interessa que nenhuma conta administrativa esteja desprotegida.

Antes de ativar ou alterar qualquer política de autenticação, garanta a porta de saída. As contas de emergência (break-glass) servem para entrar no tenant quando tudo o resto falha: um erro numa política de acesso, a perda do serviço de MFA, a saída da única pessoa com acessos. Prepará-las antes de mexer no MFA e no acesso é o que torna os passos seguintes seguros de executar.

As credenciais, os dispositivos de autenticação e o procedimento de acesso devem ficar guardados separadamente, em locais seguros, acessíveis apenas a pessoas autorizadas — e não partilhados informalmente entre várias pessoas.

Com a porta de saída garantida, a autenticação multifator é a medida com melhor relação entre esforço e proteção contra o roubo de credenciais. Se o tenant ainda não impõe MFA, o caminho mais rápido são as predefinições de segurança (Security Defaults): ativam-se num único interruptor no Microsoft Entra ID, exigem o registo do MFA a todos os utilizadores e impõem-no sempre aos administradores.

Se o tenant já usa Acesso Condicional, não misture: as predefinições de segurança e o Acesso Condicional são modelos alternativos e não podem estar ativos em simultâneo. Nesse caso, confirme que existe uma política a exigir MFA a todos os utilizadores e siga para o passo seguinte.

O encaminhamento automático de email para o exterior é dos mecanismos favoritos de quem compromete uma caixa de correio: cria-se uma regra discreta e, a partir daí, cada mensagem recebida sai também para um endereço externo — durante o tempo que a regra passar despercebida.

Encontrar uma regra suspeita neste passo não é raro — e é precisamente por isso que ele está nas primeiras vinte e quatro horas.

Protocolos de autenticação antigos (POP, IMAP com autenticação básica, entre outros) não suportam MFA: enquanto estiverem abertos, uma palavra-passe roubada continua a chegar para entrar. A Microsoft já desativou a autenticação básica na generalidade dos protocolos do Exchange Online; o que resta verificar no seu tenant é se algo ainda a usa e se há exceções ativas.

O caso particular é o SMTP AUTH com autenticação básica, usado por impressoras, scanners e aplicações que enviam email. À data desta validação, a Microsoft anunciou a sua desativação para o final de dezembro de 2026, com remoção definitiva a anunciar para 2027. Ou seja: ainda funciona, mas tem prazo.

O último passo do primeiro dia é olhar para trás: o Microsoft 365 traz políticas de alerta ativas por predefinição, e o portal do Microsoft Defender pode já ter registado atividade que ninguém viu — tentativas de início de sessão bloqueadas, envios de spam a partir de contas internas, regras de caixa de correio suspeitas.

Percorra os alertas pendentes, feche os que investigar e registe o que ficar por explicar. Aproveite para ver o Secure Score do tenant — não como nota de exame, mas como inventário inicial: as recomendações do topo da lista costumam coincidir com os passos deste guia.

Começa aqui a primeira semana. As predefinições de segurança são um excelente ponto de partida, mas tratam todos os cenários da mesma forma. O Acesso Condicional (incluído no Microsoft Entra ID P1, que faz parte do Business Premium) permite políticas por utilizador, aplicação, dispositivo e localização — por exemplo, exigir dispositivos conformes para aceder ao email, ou bloquear o acesso a partir de países onde a empresa não opera.

A transição merece cuidado, porque os dois modelos não podem estar ativos em simultâneo. A sequência prudente: criar primeiro as políticas essenciais (exigir MFA a todos, bloquear autenticação legada, proteger o registo de métodos de MFA), avaliá-las em modo apenas de relatório para perceber o impacto — lembrando que nesse modo não protegem —, e só então, com as contas de emergência confirmadas e excluídas das políticas, desativar as predefinições e passar as políticas a ativas, no mais curto intervalo possível.

Com o acesso estruturado, reveja quem pode fazer o quê. O princípio é o do menor privilégio: cada pessoa deve ter a função mais limitada que lhe permita fazer o seu trabalho, e Administrador Global deve ser a exceção, não o hábito.

O email continua a ser a porta de entrada preferida. Com o Defender for Office 365 Plano 1 (incluído no Business Premium), o caminho mais eficiente não é afinar dezenas de opções à mão: é aplicar as políticas de segurança predefinidas (preset security policies), que configuram de uma vez a proteção anti-phishing, o anti-spam, o Safe Links (verificação dos links no momento do clique) e os Safe Attachments (detonação de anexos em ambiente isolado antes da entrega).

Quando algo corre mal, a pergunta é sempre a mesma: «o que aconteceu, quando, e feito por quem?». A auditoria do Microsoft 365 responde — se estiver ativa e alguém a souber consultar antes do dia do incidente.

É comum o SPF ficar configurado durante a adição do domínio ao Microsoft 365. Menos comum é ter DKIM (assinatura criptográfica das mensagens, dois registos CNAME no DNS) e DMARC — que verifica o alinhamento, comunica aos destinatários a política solicitada quando a autenticação falha e permite solicitar relatórios sobre as origens que utilizam o domínio.

A ordem prática: ativar o DKIM para cada domínio no portal do Defender, publicar um registo DMARC em modo de observação (p=none com endereço para relatórios), analisar os relatórios durante algumas semanas para identificar remetentes legítimos em falta, e só depois endurecer a política. A explicação completa de cada mecanismo, do alinhamento e dos erros comuns está no artigo SPF, DKIM e DMARC: como proteger o email da sua empresa.

Cada vez mais ataques não pedem a palavra-passe — pedem consentimento. Uma aplicação maliciosa que o utilizador autorize com um clique pode ficar com acesso ao email e aos ficheiros, e o MFA não a incomoda, porque o acesso é legítimo aos olhos da plataforma.

Entra-se nos primeiros trinta dias, e a atenção passa das contas para os equipamentos. O Microsoft Intune (incluído no Business Premium) permite inscrever os computadores e telemóveis da empresa, aplicar-lhes configurações e — o mais importante para a segurança — saber em que estado estão.

Comece pequeno: inscreva primeiro dois ou três dispositivos de teste, defina uma política de conformidade com o essencial (encriptação do disco, antivírus ativo, versão mínima do sistema, PIN ou biometria) e só depois alargue por grupos. Nos telemóveis pessoais, avalie a proteção de aplicações em alternativa à inscrição completa — protege os dados da empresa sem gerir o equipamento inteiro.

Com os dispositivos inscritos, ative a proteção deles. O Microsoft Defender for Business (também incluído no Business Premium) acrescenta ao antivírus a deteção e resposta a ameaças: vê comportamentos suspeitos nos equipamentos, correlaciona-os e permite isolar um dispositivo comprometido à distância.

Etiquetas de confidencialidade e DLP são frequentemente adiadas por parecerem projetos grandes. Não precisam de ser: no primeiro mês, o objetivo é um esquema simples e útil, não uma taxonomia perfeita.

Com o Microsoft Purview (as capacidades de proteção de informação e DLP incluídas no Business Premium): crie três ou quatro etiquetas de confidencialidade com nomes que a equipa entenda — por exemplo, Público, Interno, Confidencial —, associe proteção real às que o justificam (encriptação, restrição de partilha) e publique-as primeiro a um grupo piloto. Em paralelo, ative uma primeira política de prevenção de perda de dados em modo de simulação, apontada aos dados que mais lhe importam — números de identificação, dados bancários, ficheiros de clientes — e analise o que ela apanharia antes de a impor.

Convites a utilizadores externos acumulam-se: o consultor do projeto que acabou, o cliente do ano passado, a conta de teste. Cada convidado esquecido é acesso ativo a informação da empresa sem ninguém responsável por ele.

O que distingue um ambiente seguro não é a configuração inicial — é existir alguém que olha para ele com regularidade. Feche os trinta dias a criar a rotina: uma hora por mês, marcada no calendário, com dono definido.

A revisão mensal

E a cada saída de colaborador, o processo de offboarding — desativar a conta, revogar sessões, tratar do equipamento — deve acontecer no próprio dia, não na revisão mensal.

Fontes e validação

Este guia baseia-se na documentação oficial da Microsoft, em particular:

• Security defaults in Microsoft Entra ID
• Manage emergency access admin accounts in Microsoft Entra ID
• Conditional Access report-only mode
• Block legacy authentication with Conditional Access
• Exchange Online to retire Basic auth for Client Submission (SMTP AUTH)
• Preset security policies in EOP and Microsoft Defender for Office 365
• Microsoft Purview auditing solutions
• Set up DKIM to sign mail from your Microsoft 365 domain
• Configure how users consent to applications
• Microsoft Defender for Business overview
• Learn about data loss prevention
• Learn about sensitivity labels