Mercado português
Teste de intrusão para organizações em Portugal
A NIS2 alargou o número de entidades obrigadas a demonstrar gestão de risco, e muitas organizações portuguesas descobriram que estão abrangidas por serem fornecedoras de quem está. É por aí que a maioria dos pedidos começa.
Reteste gratuito ilimitado. Sem pagamento adiantado.
Contexto
O que mudou para as empresas portuguesas
Durante anos, o teste de intrusão em Portugal foi um exercício de grandes organizações: banca, telecomunicações e pouco mais. Isso deixou de ser verdade. A transposição da NIS2 alargou o perímetro de entidades essenciais e importantes, e o efeito de arrastamento sobre a cadeia de fornecimento é ainda maior do que o texto sugere — quem fornece software ou serviços geridos a uma entidade abrangida passa a ter de responder às mesmas perguntas.
Ao mesmo tempo, os questionários de avaliação de fornecedores tornaram-se um obstáculo comercial concreto. Uma PME portuguesa que queira vender a um cliente empresarial europeu recebe hoje, quase sempre, um pedido de relatório de teste de intrusão independente. Sem esse documento, a proposta não avança para a fase seguinte, por mais competitivo que seja o preço.
O terceiro fator é o RGPD, que continua a ser o argumento mais usado internamente para justificar orçamento. O artigo 32.º exige testar e avaliar regularmente a eficácia das medidas técnicas, e a CNPD tem sido clara quanto à necessidade de evidência documentada e não apenas de intenções declaradas em política interna.
A DeepStrike não tem escritório em Portugal — as instalações são nos Estados Unidos e nos Emirados Árabes Unidos. O que temos é uma equipa que trabalha em articulação com o fuso horário português, comunica em português e prepara os relatórios a pensar em quem os vai ler a seguir: o auditor, o regulador e o cliente que exige o documento antes de assinar.
Serviços
O que testamos para clientes portugueses
Aplicações web e portais
Controlo de acessos entre contas, lógica de negócio, gestão de sessão e a cobertura completa do OWASP Top 10, com particular atenção aos perfis de utilizador que a organização criou ao longo dos anos.
APIs e integrações
Autorização ao nível do objeto, versões antigas ainda expostas e chaves com âmbito muito acima do necessário — frequente em quem integrou com serviços públicos ou com sistemas de faturação certificada.
Aplicações móveis
iOS e Android, incluindo armazenamento local, proteção de segredos no binário e as APIs de suporte que raramente recebem a mesma atenção que o portal web.
Ambientes cloud
AWS, Azure e Google Cloud: permissões IAM, segmentação, segredos em pipelines e a residência efetiva dos dados, que o encarregado de proteção de dados precisa de conhecer e raramente tem documentada.
Rede interna e Active Directory
Segmentação entre escritórios e centro de dados, serviços esquecidos no perímetro e movimentação lateral a partir de um posto de trabalho comprometido.
Engenharia social
Campanhas de phishing controladas, com relatório agregado, para medir a reação das pessoas e a capacidade de deteção sem expor colaboradores individualmente.
Enquadramento nacional
As exigências que o seu relatório tem de servir
Um único exercício, um único relatório, vários processos de conformidade resolvidos com a mesma evidência.
RGPD e Lei n.º 58/2019
O artigo 32.º obriga a testar e avaliar regularmente a eficácia das medidas técnicas. O relatório documenta âmbito, metodologia, datas, achados e reteste, que é o conjunto que a CNPD e os encarregados de proteção de dados dos seus clientes esperam encontrar no dossiê.
NIS2 e o regime nacional
Entidades essenciais e importantes têm de demonstrar medidas de gestão de risco proporcionais e comunicar incidentes dentro de prazos apertados. Datamos e versionamos cada relatório para que a periodicidade fique demonstrável ano após ano, sem reconstruções à pressa antes da auditoria.
CNCS e Quadro Nacional de Referência para a Cibersegurança
Ligamos cada achado à medida do Quadro Nacional que ficou por cumprir. Isso torna imediata a relação entre um problema técnico e o controlo em falha, tanto para o Centro Nacional de Cibersegurança como para o auditor externo.
DORA e Banco de Portugal
Instituições de crédito, instituições de pagamento e seguradoras supervisionadas têm de manter um programa documentado de testes de resiliência operacional digital. Os testes a aplicações, APIs e infraestrutura alimentam diretamente esse programa, com a cadência que o regime pressupõe.
RGSI e Administração Pública
Organismos públicos e os seus fornecedores recebem os achados organizados pelos requisitos de segurança da informação aplicáveis ao setor, com evidência suficiente para o processo interno de conformidade e para o procedimento de contratação seguinte.
ISO 27001, SOC 2 e PCI DSS
O mesmo relatório serve os referenciais internacionais que os seus clientes exigem, o que evita contratar exercícios diferentes só porque muda o destinatário do documento.
Perguntas frequentes
Dúvidas de quem contrata em Portugal
Continue por aqui
Prepare a auditoria com tempo
Peça uma consulta técnica gratuita e uma proposta com âmbito, prazo e valor fixos para a sua organização.
Pedir orçamento