Uma empresa de cibersegurança vende confiança, e tem de a provar: que vulnerabilidades encontrou e se foram corrigidas, o que fez num incidente e a que horas, que controlos o cliente tem e com que evidências. Quando isto vive em folhas de cálculo, relatórios em Word e caixas de correio, perde-se exatamente a prova que o cliente e o auditor pedem. Este guia é para quem dirige uma empresa portuguesa de cibersegurança: serviços geridos de segurança (MSSP e SOC), testes de intrusão, resposta a incidentes ou consultoria de conformidade. Escrevemos este guia como quem constrói este tipo de software; onde temos, mostramos um exemplo em vídeo.
Há dois guias vizinhos. Se o seu negócio é sobretudo gerir a infraestrutura de TI dos clientes, veja o guia de software para suporte técnico e MSP. Se vende projetos e consultores de tecnologia em geral, o de software para consultoras de IT. Aqui, a segurança é o produto.
Testes de intrusão: do âmbito ao reteste
Um teste de intrusão tem âmbito, autorização, execução, relatório e, depois, a parte que mais se perde: a correção. O relatório classifica cada vulnerabilidade (por exemplo, com CVSS), mas ao cliente interessa saber o que foi corrigido, o que foi aceite como risco e o que continua aberto meses depois.
- Âmbito e autorização: sistemas incluídos e excluídos, janelas de teste, contactos de emergência e autorização escrita do cliente, guardados com o projeto.
- Vulnerabilidades como registos, não como páginas de um PDF: severidade, sistema afetado, evidência, recomendação, responsável e prazo.
- Prazos de correção por severidade, definidos no contrato, com aviso antes do fim.
- Reteste que fecha ou devolve cada vulnerabilidade, e risco aceite assinado pelo cliente.
As evidências de um teste (capturas, pedidos, dados a que se acedeu) são sensíveis: acesso restrito à equipa do projeto, cifra e um prazo de eliminação acordado com o cliente.
SOC e resposta a incidentes
Num serviço gerido, o SOC recebe alertas das ferramentas de deteção (SIEM, EDR, firewall), faz a triagem e trata os que se confirmam como incidentes. O software de gestão não substitui o SIEM: recebe os alertas dele, se der acesso, ou por exportação, abre casos, regista a triagem e o tratamento, mede os tempos face ao contrato e produz o relatório mensal ao cliente.
- Casos e severidade, com o tempo de resposta acordado em cada contrato. O software usa os valores de cada contrato, sem «padrões do setor».
- Linha do tempo do incidente, com quem fez o quê e a que horas.
- Evidências forenses (imagens de disco, memória, registos) com hash e cadeia de custódia, para poderem servir num processo.
- Relatório final: causa, impacto, medidas e lições.
Num exemplo que fizemos para uma empresa de informática, fictícia, um alerta de phishing num posto de um cliente abre o incidente, e a contenção e a análise ficam registadas com a hora de cada passo. Os prazos que podem aplicar-se ficam à vista. O software regista e lembra prazos; a notificação faz-se pelos canais oficiais, pelo responsável.
Regras que interessam
- NIS2 em Portugal: a diretiva foi transposta pelo Decreto-Lei n.º 125/2025, de 4 de dezembro, que entrou em vigor a 3 de abril de 2026 e alarga muito o número de entidades abrangidas. Entre as obrigações estão medidas de gestão de riscos, um responsável de cibersegurança e a notificação de incidentes significativos ao CNCS ou à autoridade setorial. A diretiva prevê um alerta inicial em 24 horas, uma notificação em 72 horas e um relatório final em cerca de um mês. Confirme os prazos e os procedimentos no decreto-lei e na regulamentação do CNCS.
- RGPD: se o incidente envolve dados pessoais, o responsável pelo tratamento notifica a CNPD, em regra até 72 horas depois de ter conhecimento (artigo 33.º). Normalmente quem notifica é o cliente, e a empresa de segurança prepara a informação.
- Setor financeiro: bancos, seguradoras e outras entidades financeiras têm regras próprias de resiliência digital (Regulamento DORA, aplicável desde janeiro de 2025), incluindo requisitos para os prestadores de serviços de TIC.
- A própria empresa de segurança trata dados de clientes e pode estar abrangida pela NIS2 como prestadora de serviços geridos de segurança. Confirme o seu enquadramento.
Este resumo vem de fontes públicas e não substitui o parecer de um jurista. As regras estão a ser regulamentadas e podem mudar.
Conformidade: controlos e evidências
Os projetos de conformidade (NIS2, ISO/IEC 27001 ou um referencial setorial) vivem de evidências: políticas aprovadas, registos de formação, relatórios de testes, atas de revisão. O software deve ligar cada controlo às evidências que o provam, com data e responsável, e mostrar o que falta para o plano de correção. Na ISO/IEC 27001, a certificação tem auditorias de acompanhamento periódicas, com evidências atualizadas em cada uma.
O software organiza as evidências; não certifica a conformidade. No mesmo exemplo fictício, a saída de uma colaboradora do cliente abre uma lista de verificação: o técnico desativa a conta, reencaminha o email e retira o acesso remoto, com a hora de cada passo, e o cliente recebe o registo.
Sensibilização e simulações de phishing
As campanhas de phishing simulado medem quantas pessoas clicam e quem reporta, e são seguidas de formação. Os resultados individuais são dados pessoais dos trabalhadores do cliente: defina com ele a finalidade, quem os vê e por quanto tempo se guardam. Para a gestão, basta o relatório por equipa, sem nomes.
Contratos e faturação
Uma empresa de cibersegurança mistura receita recorrente (serviços geridos, SOC), projetos (testes, consultoria) e urgências (resposta a incidentes, muitas vezes fora de horas). O software deve ligar cada serviço ao contrato, ao âmbito e às horas, faturar por programa certificado e avisar de renovações. Veja os guias de gestão de contratos e de faturação eletrónica; para o cliente acompanhar casos e relatórios, um portal do cliente.
Indicadores que vale a pena seguir
- Tempo até à deteção e até à contenção, por severidade, com as metas de cada contrato.
- Cumprimento dos tempos contratados por cliente.
- Vulnerabilidades fora de prazo por cliente e severidade, e tempo médio até à correção.
- Alertas falsos positivos face ao total, por fonte.
- Receita recorrente face à de projeto, e horas de urgência.
Programa pronto ou à medida
Recomendamos um programa pronto quando a empresa faz sobretudo um tipo de serviço, com poucos clientes. À medida faz sentido nestes casos:
- Vende vários serviços e quer ver cada cliente num só sítio.
- Os prazos vêm do contrato, diferentes por cliente e severidade.
- Já usa SIEM e EDR e quer os alertas a abrir casos, se derem acesso ou por exportação. Se o SIEM já faz o que precisa, mantenha-o.
- O cliente pede prova: linha do tempo, reteste e evidências por controlo.
Quanto custa
- Automação pontual (relatório mensal ao cliente, aviso de vulnerabilidade a terminar o prazo, abertura de casos a partir de alertas): a partir de €300.
- Dashboard com casos, tempos contratados, vulnerabilidades e conformidade por cliente: a partir de €500.
- Aplicação web com projetos de teste, vulnerabilidades, incidentes com linha do tempo e mapa de controlos: a partir de €800.
- App mobile para a equipa de urgência registar ações e evidências no local: a partir de €2.500.
- Manutenção mensal: a partir de €50.
- Integrações com SIEM, EDR e ferramentas de teste, portal do cliente e sistemas completos: orçamentamos caso a caso.
O preço final fixa-se na proposta. Num sistema destes, a segurança do próprio software (acessos, cifra, registos, cópias) faz parte do âmbito e do preço, e deve estar escrita na proposta.
O que perguntar a um fornecedor
- Como regista a cadeia de custódia das evidências, com hash e acessos?
- Onde ficam os dados dos meus clientes, quem lhes acede e como se separam?
- Como se liga ao SIEM e ao EDR que já uso, e o que acontece se a ligação falhar?
- Posso configurar prazos por contrato e por severidade, e avisos antes do fim?
- Como exporto todos os dados e relatórios se mudar de fornecedor, e quais são os custos ao fim de três anos?
Por onde começar
Comece pelo que tem mais valor para o cliente e menos dependências: vulnerabilidades como registos, com prazos e reteste, e a linha do tempo dos incidentes. O mapa de controlos e as integrações com as ferramentas de deteção seguem depois.
Na Soluções à Medida começamos pelo processo mais repetitivo e ligamos às ferramentas que já usa por API, se derem acesso, ou por exportação. Contacte-nos para uma conversa sem compromisso, com estimativa de custo e prazo. Veja também as soluções para informática e tecnologia e os exemplos por setor.