Glossário IT

Vocabulário IT, sem jargão.

Definições claras dos termos de cibersegurança, conformidade e tecnologia que mais aparecem nos nossos projetos: NIS2, ENS, EDR, Zero Trust e mais.

NIS2

NIS2 é a Diretiva (UE) 2022/2555 sobre medidas para um elevado nível comum de cibersegurança na União. Estabelece obrigações para entidades essenciais e importantes abrangidas sobre gestão de riscos, governo, notificação de incidentes e supervisão, enquanto os Estados-Membros a implementam através de direito nacional. Aplicabilidade depende de setor, tipo, dimensão, jurisdição e regras específicas; fornecer tecnologia a um cliente abrangido não coloca automaticamente qualquer prestador na mesma categoria. Conformidade exige evidência organizacional e técnica, risco de fornecedores, continuidade e processos de reporte, não um certificado ou ferramenta. Uma definição não determina se uma organização está no âmbito. Devem consultar-se diretiva vigente, legislação nacional e orientação competente para cada entidade, serviço e país, com apoio qualificado quando necessário. Guias completos: [NIS2 em Portugal: guia para PME e fornecedores](/pt-PT/recursos/nis2-em-portugal-guia-pratico-para-pme) e [NIS2 para PME em Espanha: âmbito, deveres e plano de 90 dias](/pt-PT/recursos/nis2-pme-espanha-guia-pratico).
Glossário IT
Esquema Nacional de Segurança (ENS)

O Esquema Nacional de Segurança (ENS) é a norma espanhola que fixa os princípios, os requisitos mínimos e as medidas de segurança dos sistemas de informação do setor público e das empresas que o servem em determinadas condições. Está regulado no Real Decreto 311/2022. Não é uma certificação geral de uma empresa: aplica-se a sistemas concretos. Informação geral, não constitui aconselhamento jurídico. Verificada a 15 de outubro de 2026 face ao texto consolidado do Real Decreto 311/2022 no BOE (última atualização publicada a 6 de novembro de 2024). ## A quem se aplica O Real Decreto 311/2022, de 3 de maio, em vigor desde 5 de maio de 2022, revogou o Real Decreto 3/2010. Aplica-se a todo o setor público espanhol (artigo 2.º, n.º 1). Abrange também os sistemas de informação de entidades privadas quando, nos termos da regulamentação aplicável e por via de uma relação contratual, prestam serviços ou fornecem soluções a entidades públicas para o exercício das suas competências e poderes administrativos (artigo 2.º, n.º 3). Os cadernos de encargos desses contratos devem incluir os requisitos necessários para assegurar a conformidade. ## Categorias e conformidade Cada sistema é classificado na categoria BÁSICA, MEDIA ou ALTA, consoante o impacto que um incidente teria na sua disponibilidade, autenticidade, integridade, confidencialidade ou rastreabilidade (artigo 40.º e anexo I). A categoria, os ativos e a gestão de riscos determinam as medidas do anexo II, que ficam registadas numa Declaração de Aplicabilidade assinada pelo responsável de segurança (artigo 28.º). Para demonstrar a conformidade, os sistemas de categoria BÁSICA exigem uma autoavaliação e uma declaração de conformidade; os de categoria MEDIA ou ALTA exigem uma auditoria de certificação (artigo 38.º). A auditoria de segurança dos sistemas de categoria MEDIA ou ALTA realiza-se no mínimo de dois em dois anos e após alterações substanciais (artigo 31.º), e pode servir também para a certificação. ## Exemplo Exemplo ilustrativo, não um caso real. Uma empresa de software aloja uma plataforma de gestão de processos usada por uma câmara municipal espanhola, e o caderno de encargos pede conformidade do serviço com o ENS. O primeiro passo é delimitar que sistemas fazem parte desse serviço, categorizá-los e elaborar a Declaração de Aplicabilidade. Se o sistema for de categoria MEDIA, será necessária uma auditoria de certificação; se fosse BÁSICA, bastaria a autoavaliação. ## O que o ENS não é Não é uma certificação universal da empresa nem evita incidentes por si só. A aplicabilidade, a categoria e o âmbito têm de ser confirmados no texto legal e no caderno de encargos de cada caso. Se um fornecedor apresentar uma certificação ENS, verifique a entidade, o sistema, a categoria, o âmbito e a validade. O ENS é um regime espanhol: confirme separadamente que outros referenciais se aplicam à sua entidade. ## Quando chamar um especialista Peça ajuda se um caderno de encargos ou um cliente público exigir conformidade com o ENS e não souber que sistemas ficam abrangidos, que categoria corresponde ou que evidências reunir, ou se precisar de implementar medidas técnicas e formar a equipa. Para interpretar o contrato ou o caderno de encargos, consulte um profissional do direito. Na Impulso Tecnológico trabalhamos em diagnóstico, controlos técnicos e formação: conheça o nosso serviço de [cibersegurança](/pt-PT/servicos/ciberseguranca-para-empresas), a solução de [consultoria IT e ENS para o setor público](/pt-PT/solucoes/consultoria-it-e-ens-para-o-setor-publico) ou [conte-nos o seu caso](/pt-PT/contacto). A Impulso não certifica: a certificação é emitida por uma entidade acreditada e independente. ## Saber mais Termos relacionados do glossário: [ISO 27001](/pt-PT/glossario/iso-27001) e [NIS2](/pt-PT/glossario/nis2). Fontes oficiais (em espanhol): [Real Decreto 311/2022 (BOE)](https://www.boe.es/eli/es/rd/2022/05/03/311/con), o [processo de adequação](https://ens.ccn.cni.es/es/conformidad/proceso-de-adecuacion), os [distintivos de conformidade](https://ens.ccn.cni.es/es/conformidad/distintivos) e as [entidades de certificação](https://ens.ccn.cni.es/es/certificacion/entidades-de-certificacion) do Centro Criptológico Nacional. Guia completo: [ENS ou ISO 27001: qual precisa a sua PME e como certificar](/pt-PT/recursos/ens-ou-iso-27001-qual-precisa-a-sua-pme).
Glossário IT
DORA

O DORA, Regulamento (UE) 2022/2554 sobre a resiliência operacional digital do setor financeiro, obriga as entidades financeiras abrangidas a gerir o risco das tecnologias da informação e comunicação (TIC): incidentes, testes de resiliência e fornecedores tecnológicos. Aplica-se desde 17 de janeiro de 2025. Não é uma certificação nem se cumpre comprando uma ferramenta. Esta ficha é informação geral e não constitui aconselhamento jurídico. Verificada a 15 de outubro de 2026 face ao texto do Regulamento no Jornal Oficial da UE (cópia publicada pelo BOE espanhol), em particular os artigos 2.º, 4.º, 17.º, 19.º, 24.º, 26.º, 28.º, 30.º, 31.º e 64.º. ## A quem se aplica O artigo 2.º enumera as entidades abrangidas: instituições de crédito, de pagamento e de moeda eletrónica, empresas de investimento, seguradoras e gestores de fundos, entre outras, com algumas exclusões. Trabalhar para o setor financeiro não torna por si só uma empresa numa entidade financeira. As regras aplicam-se de forma proporcionada à dimensão e ao perfil de risco (artigo 4.º), o que não constitui uma isenção geral. ## O que exige O Regulamento assenta sobretudo em quatro blocos: um quadro documentado de gestão do risco de TIC; a gestão de todos os incidentes de TIC e a notificação dos graves à autoridade competente (artigos 17.º e 19.º); um programa de testes de resiliência, não exigido como tal às microempresas, com testes pelo menos anuais dos sistemas que suportam funções críticas ou importantes e, para as entidades que a autoridade designar, testes avançados de penetração baseados em ameaças pelo menos de três em três anos (artigos 24.º e 26.º); e a gestão do risco dos prestadores terceiros de serviços de TIC. Isto inclui um registo de todos os acordos contratuais com esses prestadores (artigo 28.º) e cláusulas mínimas nos contratos (artigo 30.º): serviços, locais de tratamento de dados, assistência em incidentes, recuperação de dados e cessação. A entidade continua responsável pelo cumprimento mesmo que subcontrate. ## Exemplo Exemplo ilustrativo, não um caso real. Uma entidade financeira abrangida pelo DORA aloja a sua plataforma num prestador de serviços de cloud. Tem de registar esse acordo, distinguir se suporta uma função crítica ou importante, verificar que o contrato contém as cláusulas exigidas e confirmar que consegue recuperar os dados se o prestador falhar. ## Limites O DORA é completado por normas técnicas e pela supervisão de cada autoridade, e esses textos evoluem: confirme sempre os que estão em vigor. Só os prestadores de TIC designados como críticos pelas autoridades europeias (artigo 31.º) ficam sob a sua supervisão direta; os restantes são afetados sobretudo por via contratual. ## Quando chamar um especialista Peça ajuda se não sabe se a sua entidade está abrangida pelo DORA, se um cliente financeiro lhe envia um anexo ou um questionário ou se não está claro como se recuperam os sistemas após um incidente grave. O âmbito e as obrigações concretas devem ser confirmados pela sua equipa de conformidade ou por um profissional do direito. Na Impulso Tecnológico trabalhamos em diagnóstico, controlos técnicos e formação: revemos acessos, cópias de segurança e recuperação, aplicamos os controlos técnicos em falta e formamos a equipa. Não prestamos aconselhamento jurídico; o nosso trabalho é técnico e formativo. Consulte o nosso serviço de [cibersegurança](/pt-PT/servicos/ciberseguranca-para-empresas), a página de [serviços financeiros](/pt-PT/setores/servicos-financeiros) (informação setorial, não um serviço de conformidade com o DORA) ou [conte-nos o seu caso](/pt-PT/contacto). ## Saber mais Termos relacionados do glossário: [NIS2](/pt-PT/glossario/nis2), [ISO 27001](/pt-PT/glossario/iso-27001) e [RPO e RTO](/pt-PT/glossario/rpo-rto). Fontes oficiais: o [Regulamento (UE) 2022/2554 no Jornal Oficial](https://www.boe.es/doue/2022/333/L00001-00079.pdf) (cópia em espanhol), a [página da ESMA sobre o DORA](https://www.esma.europa.eu/esmas-activities/digital-finance-and-innovation/digital-operational-resilience-act-dora) e a [da EBA](https://www.eba.europa.eu/activities/direct-supervision-and-oversight/digital-operational-resilience-act), ambas em inglês.
Glossário IT
RGPD

O RGPD, Regulamento (UE) 2016/679 (GDPR em inglês), é a norma europeia de proteção de dados pessoais: regula a forma como as organizações recolhem, usam, conservam e partilham dados de pessoas singulares e reconhece a essas pessoas direitos sobre eles. Aplica-se desde 25 de maio de 2018. Exige um encarregado de proteção de dados (EPD, ou DPO em inglês) apenas em alguns casos. Esta ficha é informação geral e não constitui aconselhamento jurídico. Verificada a 15 de outubro de 2026 face ao Regulamento no Jornal Oficial da UE (cópia publicada pelo BOE espanhol) e à página da CNPD sobre o encarregado de proteção de dados. ## Como funciona Todo o tratamento deve respeitar os princípios do artigo 5.º (licitude, finalidade determinada, minimização, exatidão, conservação limitada, segurança), ter um fundamento jurídico e respeitar direitos como o acesso, a retificação, o apagamento ou a oposição. A organização deve conseguir demonstrar o que faz: saber que dados trata e para quê, formalizar com cada subcontratante um contrato ou outro ato jurídico e aplicar medidas técnicas e organizativas adequadas ao risco. O responsável pelo tratamento notifica a violação de dados pessoais à autoridade de controlo sem demora injustificada e, sempre que possível, até 72 horas após ter tido conhecimento, exceto se for improvável que a violação implique um risco para os direitos e liberdades das pessoas; o subcontratante deve avisá-lo sem demora. Se for provável um risco elevado, comunica-se também às pessoas afetadas, com exceções (por exemplo, se os dados estavam cifrados). ## Encarregado de proteção de dados (EPD) O artigo 37.º obriga a designá-lo quando o tratamento é feito por uma autoridade ou organismo público (exceto os tribunais no exercício da função jurisdicional), quando a atividade principal exige o controlo regular e sistemático de pessoas em grande escala ou quando consiste no tratamento em grande escala de categorias especiais de dados ou de dados penais. O direito da União ou nacional pode exigi-lo noutros casos. Segundo a CNPD, as entidades públicas estão sempre obrigadas e o artigo 12.º da Lei n.º 58/2019 regula a designação nesses casos. Nos restantes casos é voluntária. O EPD aconselha, controla o cumprimento e coopera com a autoridade, com independência. ## Exemplo Exemplo ilustrativo, não um caso real. Uma loja online perde um portátil com clientes sem cifragem. Regista que dados lá estavam e avalia se é provável que haja risco para as pessoas: se houver, notifica a autoridade a tempo e, se for elevado, as pessoas; se não, guarda registo da avaliação. A cifragem e as cópias de segurança preparam-se antes. ## Limites Cumprir o RGPD não consiste em publicar uma política nem em comprar uma ferramenta. O EPD aconselha e controla, mas cumprir e demonstrá-lo continua a ser responsabilidade da organização (artigo 24.º). ## Quando chamar um especialista Peça ajuda se não sabe se tem de designar um EPD, ou se sofreu uma violação de dados e o tempo está a contar. Para interpretar a lei no seu caso, consulte um profissional do direito ou um EPD qualificado. Na Impulso Tecnológico trabalhamos em diagnóstico, controlos técnicos e formação: revemos acessos, cifragem e cópias de segurança, aplicamos os controlos técnicos em falta e formamos a equipa. Não prestamos aconselhamento jurídico; o nosso trabalho é técnico e formativo. Consulte o nosso serviço de [cibersegurança](/pt-PT/servicos/ciberseguranca-para-empresas), o guia do [plano de segurança informática](/pt-PT/recursos/plano-de-seguranca-informatica-guia-e-criterios) ou [conte-nos o seu caso](/pt-PT/contacto). ## Saber mais Termos relacionados do glossário: [DLP](/pt-PT/glossario/dlp), [NIS2](/pt-PT/glossario/nis2) e [ISO 27001](/pt-PT/glossario/iso-27001). Fontes oficiais: a página da CNPD sobre o [encarregado de proteção de dados](https://www.cnpd.pt/organizacoes/outras-obrigacoes/encarregado-de-protecao-de-dados/) e o [Regulamento (UE) 2016/679 no Jornal Oficial](https://www.boe.es/doue/2016/119/L00001-00088.pdf) (cópia em espanhol).
Glossário IT
EDR (Endpoint Detection and Response)

EDR (Endpoint Detection and Response) é uma tecnologia que regista o que acontece em computadores e servidores (processos, ficheiros, ligações, inícios de sessão) para detetar comportamentos suspeitos, investigá-los e responder, por exemplo, isolar o equipamento da rede. ## Como funciona Um agente instalado em cada equipamento envia telemetria para uma consola central. Ao contrário de um antivírus baseado em assinaturas de ficheiros conhecidos, o EDR analisa comportamentos: um documento de escritório que lança um interpretador de comandos e descarrega código é uma cadeia suspeita, mesmo que nenhum ficheiro conste de uma lista negra. A consola permite reconstituir a sequência de eventos e executar ações de resposta: isolar o equipamento, terminar um processo, colocar um ficheiro em quarentena ou bloquear uma conta, consoante o produto e a licença. O MDR (Managed Detection and Response) acrescenta uma equipa que analisa os alertas e atua como parte do serviço. O XDR alarga a telemetria à identidade, ao correio eletrónico e à rede. ## Exemplo Exemplo ilustrativo, não um caso real. Um utilizador abre um anexo de correio eletrónico no portátil. O documento executa um script que tenta cifrar ficheiros de uma pasta partilhada. Se o EDR reconhecer o comportamento, isola o portátil da rede e gera um alerta. O responsável analisa a cronologia, confirma que os restantes equipamentos não mostram a mesma atividade, repõe as credenciais do utilizador afetado e verifica que as cópias de segurança da pasta estão intactas antes de voltar a ligar o equipamento. O valor não está só no aviso, mas em haver quem saiba o que fazer com ele. ## Limites O EDR não garante deteção em tempo real nem cobertura total. Equipamentos sem agente, agentes desativados, sistemas não suportados e regras mal afinadas deixam lacunas; um equipamento que não envia telemetria não deve aparecer como saudável. Isolar um equipamento também pode interromper o trabalho, pelo que é preciso acordar quem pode decidi-lo. Um alerta não é um incidente resolvido: tem de ser investigado e encerrado. E o EDR não substitui atualizações, cópias de segurança nem privilégio mínimo. Como recolhe atividade dos utilizadores, convém definir o que é registado, quem acede e durante quanto tempo se conserva. ## Quando chamar um especialista Convém pedir ajuda quando existe trabalho híbrido ou portáteis fora do escritório, quando ninguém analisa os alertas todos os dias, quando um cliente, uma auditoria ou uma seguradora pedem evidências de proteção dos postos de trabalho, ou quando já ocorreu um incidente. Um diagnóstico prévio analisa quantos equipamentos e servidores existem, que utilizadores têm privilégios, que sistemas não aceitam agente e quem decide isolar um equipamento. Na Impulso Tecnológico trabalhamos em diagnóstico, controlos técnicos e formação, e propomos EDR e MDR geridos no quadro de uma estratégia de cibersegurança: conheça os nossos serviços de [cibersegurança](/pt-PT/servicos/ciberseguranca-para-empresas) ou [conte-nos o seu caso](/pt-PT/contacto). ## Saber mais Termos relacionados do glossário: [MDR](/pt-PT/glossario/mdr), [XDR](/pt-PT/glossario/xdr), [SOC](/pt-PT/glossario/soc), [SIEM](/pt-PT/glossario/siem) e [ransomware](/pt-PT/glossario/ransomware). Fontes oficiais (em inglês): as recomendações de resposta a incidentes do [NIST SP 800-61 Rev. 3](https://csrc.nist.gov/pubs/sp/800/61/r3/final) e o [MITRE ATT&CK](https://attack.mitre.org/), uma base de conhecimento pública sobre táticas e técnicas de atacantes.
Glossário IT
XDR (Extended Detection and Response)

XDR (Extended Detection and Response) combina sinais de vários domínios, como endpoints, identidade, correio, rede e cloud, para apoiar deteção, investigação e resposta. Produtos diferem nos dados que ingerem, retêm e correlacionam, por isso a designação não define cobertura. XDR pode reduzir esforço quando identidades, tempos e ativos reconciliam, mas automação também pode propagar uma decisão errada. A implementação identifica fontes autoritativas, ativos ausentes, permissões, retenção, escalamento e ações que exigem aprovação. Conteúdo de deteção precisa de afinação ao ambiente e ameaças. Validação usa cenários conhecidos e segue cada evento desde recolha até alerta e contenção. Uma consola vazia pode significar ausência de ameaça, ponto cego ou conector falhado.
Glossário IT
MDR (Managed Detection and Response)

MDR (Managed Detection and Response) é um serviço em que um fornecedor apoia operação de deteção, investigação e resposta com telemetria e ferramentas acordadas. O âmbito pode incluir endpoints, identidade, rede ou cloud, mas não se deve presumir cobertura total ou atendimento contínuo se o contrato não o indicar. MDR e EDR não são equivalentes: um descreve operação gerida e o outro capacidade tecnológica. Antes de contratar devem definir-se fontes, horários, severidades, contactos, autoridade para conter, preservação de evidência e responsabilidades do cliente. Integrações e agentes precisam de monitorização porque uma fonte parada reduz visibilidade. A avaliação segue cenários simulados desde deteção até fecho e mede qualidade e tempo de decisão. Mais alertas ou uma consola atendida não garantem menor risco.
Glossário IT
SOC (Centro de Operações de Segurança)

Um SOC (Security Operations Center ou centro de operações de segurança) coordena monitorização, triagem, investigação e resposta a eventos de segurança. Pode ser interno, externo ou híbrido e usar SIEM, EDR e outras fontes, mas horário, autoridade e cobertura dependem do modelo acordado. Um SOC não vê ativos sem telemetria nem corrige automaticamente vulnerabilidades. A operação deve definir fontes, casos de uso, severidades, contactos, escalamento, preservação de evidência e ações autorizadas. Saúde dos conectores e qualidade dos dados precisam de monitorização separada dos alertas. Exercícios controlados validam desde a geração do evento até contenção e recuperação. Mais alertas ou atendimento permanente não garantem menor risco se contexto, decisões e responsabilidades não estiverem claros.
Glossário IT
SIEM (Security Information and Event Management)

Um SIEM (Security Information and Event Management) é uma plataforma que recolhe os registos (logs) de muitos sistemas, os normaliza e os correlaciona para detetar atividade suspeita, investigar incidentes e conservar evidências. Não protege por si só: só é útil se receber dados de qualidade e se alguém atuar sobre os seus alertas. ## Como funciona Um SIEM recebe eventos de fontes como servidores, equipamentos, firewalls, sistemas de identidade (por exemplo, o Active Directory ou o Entra ID), correio eletrónico, aplicações e serviços na cloud. Converte-os para um formato comum, ordena-os no tempo e aplica regras de correlação: por exemplo, muitas tentativas falhadas de início de sessão seguidas de uma bem-sucedida a partir de outro país. Quando uma regra se verifica, gera um alerta para que uma pessoa o analise. Permite ainda pesquisar o histórico durante uma investigação e conservar os registos durante o prazo definido. O seu valor depende das fontes ligadas, de os relógios estarem sincronizados e de as regras serem afinadas para limitar os falsos positivos. Como os registos contêm dados pessoais (utilizadores, endereços IP), é preciso definir também quem lhes acede e durante quanto tempo se conservam. ## Exemplo Exemplo ilustrativo, não um caso real. Uma empresa liga ao SIEM o seu diretório de utilizadores, a firewall e os portáteis. Numa noite, a conta de um elemento da equipa financeira inicia sessão a partir de outro país e, minutos depois, é descarregado um volume invulgar de ficheiros. Nenhum dos eventos, isoladamente, é alarmante, mas a regra de correlação associa-os e cria um alerta. O responsável analisa-o, bloqueia a conta, repõe as credenciais e usa o histórico para ver o que foi consultado. Sem registos centralizados, essa reconstituição teria exigido verificar cada sistema em separado. ## Limites Um painel sem alertas pode significar que nada aconteceu, que uma regra é inadequada ou que uma fonte deixou de enviar dados: é preciso vigiar o estado das fontes. Muitos eventos não equivalem a cobertura. E um SIEM precisa de pessoas e de um procedimento: quem analisa, com que prioridade e quando se escala. Não substitui o EDR, as cópias de segurança, as atualizações nem o privilégio mínimo. Consoante a dimensão da organização, pode convir começar por centralizar bem os registos mais importantes e definir que casos de uso interessam antes de comprar uma plataforma. ## Quando chamar um especialista Convém pedir ajuda quando uma norma, um cliente ou uma auditoria exigem conservar e analisar registos, quando houve um incidente que não foi possível investigar por falta de logs, ou quando já existe um SIEM e ninguém analisa nem afina os seus alertas. Antes de escolher uma ferramenta, um diagnóstico deve esclarecer que fontes importam, que casos de uso são prioritários, quem responde aos alertas e durante quanto tempo se guardam os dados. Na Impulso Tecnológico trabalhamos em diagnóstico, controlos técnicos e formação: conheça o nosso serviço de [cibersegurança](/pt-PT/servicos/ciberseguranca-para-empresas) ou [conte-nos o seu caso](/pt-PT/contacto). ## Saber mais Termos relacionados do glossário: [SOC](/pt-PT/glossario/soc), [EDR](/pt-PT/glossario/edr), [MDR](/pt-PT/glossario/mdr), [XDR](/pt-PT/glossario/xdr) e [IDS e IPS](/pt-PT/glossario/ids-ips). Fontes oficiais (em inglês): o guia [NIST SP 800-92](https://csrc.nist.gov/pubs/sp/800/92/final) sobre gestão de registos de segurança e as orientações do NCSC [Building a Security Operations Centre](https://www.ncsc.gov.uk/collection/building-a-security-operations-centre).
Glossário IT
Zero Trust

Zero Trust é uma abordagem de segurança que deixa de dar confiança automática a um acesso por vir da rede da empresa: cada pedido de acesso é verificado com a identidade da pessoa, o estado do dispositivo e outros sinais, e autorizado apenas para o recurso concreto de que precisa. É uma forma de conceber o acesso, não um produto. ## Como funciona O modelo tradicional assemelha-se a um castelo com fosso: quem atravessa o perímetro (por exemplo, com uma VPN) costuma circular livremente lá dentro. O Zero Trust parte do princípio de que a rede pode ser hostil, incluindo a própria, e exige verificar cada acesso segundo uma política: quem é a pessoa, a partir de que dispositivo, em que estado e o que tenta abrir. O NIST define-o como um conjunto em evolução de paradigmas que deslocam o foco das defesas de perímetros de rede estáticos para utilizadores, ativos e recursos. O NCSC, o organismo de cibersegurança do Reino Unido, resume as suas bases em princípios como conhecer a arquitetura e as identidades, avaliar o comportamento dos utilizadores e o estado dos dispositivos, decidir com políticas, autenticar e autorizar em todo o lado, vigiar utilizadores, dispositivos e serviços, e não confiar em nenhuma rede. ## Exemplo Exemplo ilustrativo, não um caso real. Uma empresa com colaboradores remotos dá acesso por VPN a toda a rede interna. Decide começar pelo mais sensível: a aplicação de contabilidade e as consolas de administração. A partir de agora só abrem se a pessoa iniciar sessão com um segundo fator e o seu equipamento estiver gerido e atualizado; os restantes recursos migram mais tarde. Antes de ativar, testa-se o que acontece quando um sinal falha, por exemplo se um equipamento deixa de comunicar o seu estado. A regra é negar ou dar um acesso limitado, nunca aprovar em silêncio. ## Limites O NCSC insiste em que o Zero Trust não é um produto, nem uma solução rápida, nem significa não confiar em ninguém, nem obriga a abandonar a VPN, e que nunca fica concluído: é um compromisso estratégico que se adota de forma deliberada e que pode exigir vários anos. Implica também mais controlos de segurança, não menos, e pode ser dispendioso e disruptivo: convém avaliar primeiro se controlos mais direcionados dariam benefícios semelhantes. Uma ferramenta com a etiqueta Zero Trust não prova que os acessos reais seguem estes princípios. As decisões dependem de sinais cuja qualidade tem de ser vigiada, e os sistemas antigos exigem soluções intermédias. Para uma empresa pequena, os primeiros passos úteis tendem a coincidir com os controlos básicos: segundo fator, privilégio mínimo, equipamentos protegidos e atualizados, e inventário de aplicações e acessos. ## Quando chamar um especialista Convém pedir ajuda quando há trabalho remoto ou híbrido, aplicações na cloud a par de sistemas antigos, acessos de fornecedores externos, uma VPN que abre toda a rede ou quando um cliente ou uma auditoria pede que justifique como o acesso é controlado. Um diagnóstico prévio ajuda a priorizar os recursos mais críticos e as alterações que compensam mais. Na Impulso Tecnológico trabalhamos em diagnóstico, controlos técnicos e formação: revemos identidades, acessos e dispositivos e aplicamos os controlos técnicos adequados. Consulte o nosso serviço de [cibersegurança](/pt-PT/servicos/ciberseguranca-para-empresas), o guia do [plano de segurança informática](/pt-PT/recursos/plano-de-seguranca-informatica-guia-e-criterios) ou [conte-nos o seu caso](/pt-PT/contacto). ## Saber mais Termos relacionados do glossário: [MFA](/pt-PT/glossario/mfa), [VPN](/pt-PT/glossario/vpn), [endpoint](/pt-PT/glossario/endpoint) e [NAC](/pt-PT/glossario/nac). Fontes oficiais (em inglês): a publicação do NIST [SP 800-207, Zero Trust Architecture](https://csrc.nist.gov/pubs/sp/800/207/final) e as orientações do NCSC [Demystifying Zero Trust](https://www.ncsc.gov.uk/collection/zero-trust/demystifying-zero-trust) e [Zero trust architecture design principles](https://www.ncsc.gov.uk/collection/zero-trust/architecture-design-principles), pensadas para grandes organizações.
Glossário IT
MFA (Autenticação multifator)

A autenticação multifator (MFA) exige duas ou mais provas de categorias diferentes antes de dar acesso: algo que a pessoa sabe (palavra-passe ou PIN), algo que tem (telemóvel ou chave de segurança) ou algo que é (impressão digital ou rosto). Assim, uma palavra-passe roubada não basta por si só para entrar numa conta. ## Como funciona Ao iniciar sessão, o serviço costuma verificar primeiro a palavra-passe (ou dispensá-la se se usar FIDO2) e pede um segundo elemento: uma aprovação numa aplicação, um código temporário, uma chave física ou uma mensagem. O NCSC, o organismo de cibersegurança do Reino Unido, ordena os que recomenda para serviços empresariais segundo a sua robustez, garantia, acessibilidade e facilidade de utilização, e aconselha adotá-los por esta ordem sempre que possível: credenciais FIDO2 (no dispositivo de confiança ou numa chave física), aplicações de autenticação com desafio, geradores de códigos em aplicação, geradores de códigos em hardware e, por fim, mensagens por correio eletrónico, SMS ou chamada. As chaves FIDO2 resistem ao phishing; os códigos e as aprovações podem ser obtidos com engano ou por insistência. ## Exemplo Exemplo ilustrativo, não um caso real. Uma empresa ativa a MFA no Microsoft 365 para todos os colaboradores e começa pelas contas de administração. Meses depois, uma revisão descobre que uma aplicação antiga de correio eletrónico continua a ligar-se através de um protocolo legado que só pede a palavra-passe, pelo que uma conta com MFA podia ser aberta por essa via sem segundo fator. A solução é fechar a falha: desativar o protocolo legado, substituir a aplicação, rever que contas de serviço não conseguem usar a MFA e decidir como se recupera o acesso quando alguém perde o telemóvel, verificando que esse processo não é mais fácil de enganar do que o próprio controlo. ## Limites O NCSC alerta para três padrões que deixam a proteção a meio: os protocolos legados que permitem entrar só com palavra-passe, as contas excluídas porque alguém acha o segundo fator um incómodo e a reautenticação forçada por tempo, que enfraquece a autenticação em vez de a reforçar. As orientações do NIST (SP 800-63B) tratam ainda a recuperação de conta como um ponto que tem de ser definido com cuidado. A CISA acrescenta ameaças conhecidas: o bombardeamento de notificações até alguém carregar em aceitar, a interceção de SMS e a troca fraudulenta de cartão SIM. Ainda assim, as aprovações com correspondência de números e as aplicações de códigos são uma melhoria clara face à palavra-passe isolada quando ainda não é possível usar FIDO2. E a MFA protege o início de sessão, não o que vem depois: uma sessão roubada pode continuar a dar acesso. ## Quando chamar um especialista Peça ajuda se existem contas de administração sem segundo fator, se não sabe que aplicações usam protocolos legados, se precisa de definir o processo de recuperação ou se um cliente, uma auditoria ou uma seguradora pedem que demonstre que a MFA abrange todos os colaboradores. Na Impulso Tecnológico trabalhamos em diagnóstico, controlos técnicos e formação: revemos que contas têm permissões elevadas e se a MFA é realmente usada, aplicamos os controlos técnicos em falta e explicamos à equipa como os utilizar. Consulte o nosso serviço de [cibersegurança](/pt-PT/servicos/ciberseguranca-para-empresas), o guia do [plano de segurança informática](/pt-PT/recursos/plano-de-seguranca-informatica-guia-e-criterios) ou [conte-nos o seu caso](/pt-PT/contacto). ## Saber mais Termos relacionados do glossário: [phishing](/pt-PT/glossario/phishing), [Zero Trust](/pt-PT/glossario/zero-trust), [Active Directory](/pt-PT/glossario/active-directory) e [VPN](/pt-PT/glossario/vpn). Fontes oficiais (em inglês): as orientações do NCSC [Multi-factor authentication for your corporate online services](https://www.ncsc.gov.uk/collection/mfa-for-your-corporate-online-services), pensadas para grandes organizações e para o setor público, a ficha da CISA [Implementing Phishing-Resistant MFA](https://www.cisa.gov/sites/default/files/publications/fact-sheet-implementing-phishing-resistant-mfa-508c.pdf) e as normas de identidade digital do NIST [SP 800-63B](https://pages.nist.gov/800-63-4/sp800-63b.html).
Glossário IT
DLP (Prevenção de perda de dados)

DLP (Data Loss Prevention ou prevenção de perda de dados) reúne políticas, classificação e controlos destinados a detetar e reduzir a saída indevida de informação sensível. Pode analisar email, navegação, aplicações cloud, endpoints, impressão ou dispositivos removíveis e aplicar ações como alertar, justificar, cifrar ou bloquear. Nenhuma regra evita todas as fugas: contexto insuficiente produz falsos positivos e canais não cobertos criam pontos cegos. Um programa DLP começa por saber que dados existem, quem os utiliza, onde podem circular e quais exceções são legítimas. As regras devem ser testadas, revistas e ligadas a um processo de investigação. DLP complementa identidade, privilégios, formação, contratos e resposta a incidentes; não substitui governo de dados nem decisão jurídica sobre o tratamento.
Glossário IT
Ransomware

Ransomware é malware ou uma operação de extorsão que bloqueia sistemas, cifra informação ou ameaça divulgar dados para exigir pagamento. Um incidente pode combinar acesso inicial, roubo de credenciais, movimento lateral, exfiltração e sabotagem de cópias antes da nota de resgate. Antivírus e backups ajudam, mas não bastam isoladamente. Preparação inclui MFA resistente, privilégio mínimo, segmentação, atualização, registos, deteção e cópias isoladas com restauros testados. O plano define decisões, preservação de evidência, comunicações, obrigações e recuperação de processos prioritários. Pagar não garante recuperar dados nem evita publicação. Validação útil usa exercícios e restauros medidos; um trabalho de backup concluído não prova que o conteúdo seja recuperável ou limpo.
Glossário IT
Phishing

O phishing é um engano que se faz passar por uma pessoa, um serviço ou um fornecedor de confiança, por correio eletrónico, mensagem, chamada, código QR ou site falso, para que a vítima entregue credenciais, aprove um acesso, faça um pagamento ou abra conteúdo malicioso. É engenharia social: aproveita a confiança e a pressa das pessoas, não uma falha do software. ## Como funciona O atacante escolhe um isco credível: uma fatura, uma encomenda pendente ou um pedido urgente da administração. Pode ser um envio em massa ou um ataque dirigido (spear phishing) com dados reais da empresa ou da pessoa. O objetivo final costuma ser roubar credenciais com uma página de início de sessão falsa, instalar código malicioso (incluindo ransomware) ou provocar uma transferência ou uma alteração de dados bancários. O NCSC, o organismo de cibersegurança do Reino Unido, propõe quatro camadas: dificultar que o atacante chegue aos utilizadores (por exemplo, com DMARC, SPF e DKIM, para tornar mais difícil a falsificação do seu domínio), ajudar a identificar e a comunicar mensagens suspeitas, proteger a organização das que passem e responder com rapidez. ## Exemplo Exemplo ilustrativo, não um caso real. Uma pessoa da área administrativa recebe uma mensagem de correio eletrónico que parece de um fornecedor habitual, com uma fatura corrigida e uma ligação para um portal. O portal copia a página de início de sessão do Microsoft 365 e a pessoa escreve o nome de utilizador e a palavra-passe. Se a conta não tiver um segundo fator, o atacante entra, cria uma regra de reencaminhamento na caixa de correio e prepara uma alteração de conta bancária. A reação útil é rápida: a pessoa avisa pelo canal combinado, a equipa de TI repõe a palavra-passe, termina as sessões abertas e verifica as regras da caixa de correio, e qualquer alteração de dados bancários é confirmada por chamada para um número já conhecido, nunca o que consta da mensagem. ## Limites Nem os filtros nem a formação detetam todas as tentativas. Segundo o NCSC, nenhum pacote de formação, simulações incluídas, ensina a reconhecer qualquer phishing, e exigir que cada pessoa analise a fundo cada mensagem é irrealista, porque responder a mensagens e abrir ligações faz parte do trabalho. As simulações podem corroer a confiança e criar risco jurídico: convém combiná-las com os recursos humanos, não punir os cliques e medir também quantas pessoas comunicam. O segundo fator também não é uma garantia: os códigos por SMS podem ser roubados com phishing e as aprovações push, por insistência. As chaves FIDO2 resistem melhor, e a correspondência de números nas aprovações é uma melhoria sensata enquanto não for possível usá-las. ## Quando chamar um especialista Peça ajuda se alguém introduziu credenciais numa página duvidosa, se suspeita de que uma conta está controlada por outra pessoa, se lhe pediram uma alteração de dados bancários que não consegue confirmar, se os seus clientes recebem mensagens falsas em seu nome ou se não existe um canal simples para comunicar mensagens suspeitas. Na Impulso Tecnológico trabalhamos em diagnóstico, controlos técnicos e formação: revemos a proteção da identidade e do correio eletrónico, os controlos em falta e o que a equipa deve saber. Consulte o nosso serviço de [cibersegurança](/pt-PT/servicos/ciberseguranca-para-empresas), o guia do [plano de segurança informática](/pt-PT/recursos/plano-de-seguranca-informatica-guia-e-criterios) ou [conte-nos o seu caso](/pt-PT/contacto). ## Saber mais Termos relacionados do glossário: [MFA](/pt-PT/glossario/mfa), [ransomware](/pt-PT/glossario/ransomware), [EDR](/pt-PT/glossario/edr) e [Zero Trust](/pt-PT/glossario/zero-trust). Fontes oficiais (em inglês): as orientações do NCSC [Phishing attacks: defending your organisation](https://www.ncsc.gov.uk/guidance/phishing), pensadas para organizações médias ou grandes (para as pequenas remete para o Cyber Action Toolkit), e a ficha da CISA [Implementing Phishing-Resistant MFA](https://www.cisa.gov/sites/default/files/publications/fact-sheet-implementing-phishing-resistant-mfa-508c.pdf).
Glossário IT
Regra de backup 3-2-1

A regra de backup 3-2-1 recomenda manter três cópias dos dados, em dois tipos de suporte, com uma cópia fora do local principal. É um princípio de diversificação, não uma garantia de recuperação nem uma configuração única. Cópias sincronizadas com as mesmas credenciais ou vulneráveis ao mesmo erro podem falhar juntas; imutabilidade e isolamento podem reforçar uma das cópias, mas não substituem validação. O desenho deve partir de RPO, RTO, dependências, retenção, cifragem, capacidade e responsáveis. Cada trabalho precisa de monitorização e os erros devem chegar a alguém capaz de atuar. Testes de restauro usam sistemas e volumes representativos, confirmam integridade e medem tempo. Contar três ficheiros não prova que existam três cópias independentes e recuperáveis.
Glossário IT
RPO e RTO

RPO (Recovery Point Objective) e RTO (Recovery Time Objective) são os dois objetivos com que uma empresa decide quantos dados aceita perder e quanto tempo pode esperar após uma falha. O RPO mede a perda de dados aceitável; o RTO, o tempo de paragem aceitável. ## Como funciona O RPO exprime-se como um intervalo de tempo: a distância máxima aceitável entre o último ponto recuperável e o momento do incidente. Se o RPO de um sistema for de uma hora, a cópia ou a réplica tem de ser feita, no mínimo, com essa frequência. O RTO é também um intervalo: o tempo que pode decorrer entre a interrupção e o momento em que o processo volta a um nível de serviço aceitável. Inclui diagnosticar, restaurar, verificar e reabrir o serviço aos utilizadores, e não apenas copiar dados de volta. Ambos se definem por processo de negócio, não por ferramenta. A faturação, o correio eletrónico, a produção e um arquivo de documentos antigos têm impactos diferentes e, por isso, objetivos diferentes. Para os definir, parte-se do impacto de uma paragem, das dependências entre sistemas e da capacidade real de restauro. ## Exemplo Exemplo ilustrativo, com valores inventados. Uma empresa de distribuição faz a cópia de segurança do ERP de faturação todas as noites às 02:00. Se o servidor falhar às 16:00, perde-se tudo o que foi feito desde as 02:00: catorze horas de operações, e no pior momento do dia seriam quase vinte e quatro. A administração decide que, no máximo, consegue refazer uma hora de trabalho, pelo que esse sistema precisa de cópias ou réplicas muito mais frequentes. Num teste de restauro cronometrado, recuperar o ERP demora nove horas, mas a empresa só pode estar quatro sem faturar. O RTO medido não cumpre o objetivo: é preciso mudar o método de recuperação ou rever o objetivo com dados reais. Já o arquivo de documentos antigos pode ter um RPO e um RTO de vários dias sem que o negócio o sinta. ## Erros frequentes Uma cópia concluída com sucesso não prova nem o RPO nem o RTO: só um restauro de teste medido o faz. Definir um único valor para toda a empresa também não funciona. E, antes de aceitar um objetivo por escrito, convém perguntar a qualquer fornecedor o que se mede, desde quando e como se verifica. ## Quando chamar um especialista Convém pedir ajuda quando não está claro que sistemas param o negócio, quando ninguém cronometrou alguma vez um restauro, quando um cliente, uma seguradora ou uma auditoria pedem evidências de continuidade, ou quando a infraestrutura mudou (cloud, Microsoft 365, uma nova instalação) e os objetivos não foram revistos. Um especialista ajuda a ordenar os sistemas por impacto, a traduzir os objetivos numa política de cópias e a confirmar, com restauros de teste, que são cumpridos. Na Impulso Tecnológico trabalhamos em diagnóstico, controlos técnicos e formação: conheça os nossos [serviços geridos](/pt-PT/servicos/servicos-geridos-e-manutencao-informatica), o guia de [cópias de segurança na nuvem para empresas](/pt-PT/recursos/copias-de-seguranca-na-nuvem-para-empresas-guia) ou [conte-nos o seu caso](/pt-PT/contacto). ## Saber mais Termos relacionados do glossário: a [regra de cópias 3-2-1](/pt-PT/glossario/backup-3-2-1), o [backup imutável](/pt-PT/glossario/backup-imutavel), o [disaster recovery](/pt-PT/glossario/disaster-recovery) e o [plano de continuidade de negócio](/pt-PT/glossario/plano-continuidade-negocio). Fonte oficial (em inglês): o guia [NIST SP 800-34 Rev. 1](https://csrc.nist.gov/pubs/sp/800/34/r1/upd1/final), sobre planeamento de contingência, e as definições de [RPO](https://csrc.nist.gov/glossary/term/recovery_point_objective) e [RTO](https://csrc.nist.gov/glossary/term/recovery_time_objective) no glossário do NIST.
Glossário IT
vCISO (CISO virtual)

Um vCISO (virtual Chief Information Security Officer) presta liderança de segurança de forma externa ou fracionada. Pode ajudar a definir estratégia, riscos, políticas, prioridades, métricas, resposta a incidentes e coordenação com direção, IT, fornecedores, auditoria e conformidade. O papel não equivale automaticamente a operação diária de ferramentas nem transfere para o consultor a responsabilidade legal da organização. O âmbito deve indicar autoridade, disponibilidade, entregáveis, acesso a informação, conflitos e relação com os responsáveis internos. Para ser útil, o vCISO trabalha sobre evidências do ambiente e mantém um plano com proprietários e datas, em vez de produzir apenas documentos genéricos. Certificações, experiência setorial e independência devem ser confirmadas quando forem requisitos da contratação.
Glossário IT
SD-WAN

SD-WAN (Software-Defined Wide Area Network) utiliza controlo por software e políticas centrais para encaminhar tráfego entre sedes, centros de dados e cloud através de uma ou várias ligações. Pode selecionar caminhos conforme aplicação, qualidade, custo ou disponibilidade e criar uma sobreposição cifrada, dependendo da solução. Não melhora uma ligação física saturada nem garante desempenho por si só: a rede subjacente, os destinos e a configuração continuam a limitar o serviço. Também não substitui automaticamente firewall, identidade ou segmentação. O desenho deve considerar aplicações, latência, perda, capacidade durante falhas, endereçamento, saída local, observabilidade e gestão fora de banda. Testes de corte e recuperação confirmam se políticas e sessões se comportam como previsto antes de retirar circuitos ou equipamentos anteriores.
Glossário IT
Microsoft 365

Microsoft 365 é uma família de serviços cloud e aplicações por subscrição que pode incluir Exchange Online, Teams, SharePoint, OneDrive e Office, conforme a licença. Capacidades de segurança, conformidade, armazenamento e gestão variam por plano e configuração e não devem ser inferidas apenas pelo nome. A Microsoft opera a plataforma, enquanto o cliente mantém responsabilidades sobre identidades, permissões, dispositivos, partilha, governo e escolhas de retenção ou recuperação. A adoção deve definir proprietário do tenant, funções administrativas, MFA, convidados, ciclo de vida e saída. Reciclagem e retenção nativas não equivalem automaticamente a uma cópia independente. Licenciamento, configuração, monitorização e comportamento dos utilizadores determinam o resultado operacional mais do que a simples migração de correio e ficheiros.
Glossário IT
Teste de penetração (pentest)

Um pentest, ou teste de penetração, é um teste de segurança autorizado em que especialistas tentam explorar vulnerabilidades de sistemas concretos, com regras acordadas previamente, para demonstrar o que um atacante real poderia conseguir e com que impacto. ## Como funciona Antes de começar, assina-se um âmbito: que sistemas são testados, em que datas e horários, que técnicas ficam excluídas (por exemplo, a negação de serviço ou a engenharia social, salvo autorização expressa), quem é o contacto de emergência e como se interrompe o teste se algo se degradar. Os especialistas combinam ferramentas automáticas com validação manual e encadeiam fragilidades para perceber até onde um ataque consegue chegar. O teste pode ser feito sem informação prévia (caixa preta), com informação completa (caixa branca) ou num ponto intermédio, e centrar-se na rede externa, na rede interna, em aplicações web, na cloud ou em dispositivos. O resultado é um relatório com constatações confirmadas, evidências, risco, percurso do ataque e recomendações ordenadas por prioridade. ## Exemplo Exemplo ilustrativo, não um caso real. Uma empresa publica um portal para os seus clientes e acorda testar apenas esse portal e o respetivo servidor, em horário noturno e sem testes de negação de serviço. Os especialistas verificam que um painel de administração continua acessível a partir da Internet e que uma conta usa uma palavra-passe fraca; com ela chegam a dados de clientes de teste. O relatório descreve os passos, as evidências e o risco, e recomenda fechar o acesso, ativar a autenticação multifator e rever permissões. Depois da correção, esses pontos são verificados novamente (reteste) para confirmar que ficaram fechados, em vez de se dar o assunto por resolvido só porque a tarefa foi encerrada. ## O que um pentest não é Não é uma análise de vulnerabilidades automática: esta costuma ser mais ampla e repetível, ao passo que o pentest valida se uma fragilidade é realmente explorável. Não testa o que ficou fora do âmbito nem prova que não existem outras falhas. É uma fotografia de um momento. Segundo o NCSC, o organismo de cibersegurança do Reino Unido, só valida que os sistemas não são vulneráveis a problemas conhecidos no dia do teste, e a sua qualidade depende da competência de quem o realiza. Um certificado ou o nome de uma ferramenta não provam cobertura. E, sem autorização escrita do titular dos sistemas, testar sistemas alheios pode ser ilegal. ## Quando chamar um especialista Convém encomendar um pentest quando um cliente, uma seguradora ou uma norma o pedem, quando se lança uma aplicação ou um serviço exposto à Internet, ou depois de alterações importantes, e quando já existe uma gestão básica de atualizações e de acessos: caso contrário, o relatório enche-se de constatações evitáveis. Peça que o âmbito conste por escrito, que quem executa seja independente de quem administra os sistemas e que se inclua um reteste. Na Impulso Tecnológico trabalhamos em diagnóstico, controlos técnicos e formação: podemos ajudar com o diagnóstico prévio, com os controlos técnicos que o relatório recomendar e com a formação da equipa. Consulte o nosso guia de [auditoria informática aos sistemas](/pt-PT/recursos/auditoria-informatica-aos-sistemas-guia-para-decidir), o serviço de [cibersegurança](/pt-PT/servicos/ciberseguranca-para-empresas) ou [conte-nos o seu caso](/pt-PT/contacto). ## Saber mais Termos relacionados do glossário: [gestão de patches](/pt-PT/glossario/gestao-patches), [EDR](/pt-PT/glossario/edr) e [SIEM](/pt-PT/glossario/siem). Fontes oficiais e de referência (em inglês): o guia [Penetration testing](https://www.ncsc.gov.uk/guidance/penetration-testing) do NCSC, a publicação [NIST SP 800-115](https://csrc.nist.gov/pubs/sp/800/115/final) sobre testes e avaliações de segurança e o [OWASP Web Security Testing Guide](https://owasp.org/www-project-web-security-testing-guide/).
Glossário IT
Segmentação IT/OT

A segmentação IT/OT separa e controla as comunicações entre tecnologia de informação empresarial e tecnologia operacional usada em produção, energia, edifícios ou logística. O objetivo não é criar duas redes sem contacto, mas permitir apenas os fluxos necessários, com proprietários e regras documentadas. Um projeto começa pelo inventário de ativos, protocolos, acessos remotos, dependências e consequências operacionais. Zonas e condutas, firewalls industriais, monitorização e bastions podem fazer parte do desenho, conforme o ambiente. Alterações devem ser testadas numa área representativa com produção informada e possibilidade de reversão. Equipamentos legacy, fabricantes externos e requisitos de segurança funcional exigem tratamento específico. A segmentação reduz propagação e exposição, mas não substitui patches, cópias, identidade ou resposta a incidentes.
Glossário IT
SCADA

SCADA (Supervisory Control and Data Acquisition) monitoriza processos industriais e permite supervisão ou controlo autorizado através de dispositivos de campo, comunicações, servidores e interfaces de operador. É usado em energia, água e indústria, mas arquitetura e responsabilidades de segurança variam. SCADA nem sempre é o controlador do processo, e “tempo real” depende do requisito operacional. A conectividade cria visibilidade e também dependências e vias de ataque. Segurança deve começar por inventário, fluxos, segmentação, acesso remoto controlado, cópias, registos e mudanças testadas que respeitem disponibilidade e safety. Protocolos antigos e janelas reduzidas exigem cautela. A validação cobre qualidade dos dados, alarmes, perda de comunicações, operação manual e recuperação, não apenas o dashboard.
Glossário IT
OEE (Eficiência global dos equipamentos)

OEE (Overall Equipment Effectiveness ou eficiência global dos equipamentos) é um indicador de produção normalmente calculado como disponibilidade multiplicada por desempenho e qualidade. Mostra que parte do tempo planeado produziu unidades boas ao ritmo ideal definido. O valor depende das definições de tempo planeado, paragens, ciclo ideal e unidade boa, por isso linhas ou empresas podem não ser comparáveis. OEE não explica causa raiz e não deve incentivar ocultação de paragens ou defeitos. As equipas usam componentes e perdas para orientar investigação e verificam melhorias com evidência operacional. Recolha de dados, códigos de motivo e controlo de alterações importam tanto como a fórmula. Uma subida só é útil quando segurança, qualidade, procura e manutenção continuam aceitáveis.
Glossário IT
Indústria 4.0

Indústria 4.0 descreve a integração de sistemas físicos, automação, sensores, dados e conectividade para tornar processos industriais mais observáveis e adaptáveis. Pode incluir IIoT, análise, robótica, cloud ou edge, mas não é um produto único nem exige substituir toda a fábrica. O valor depende de um problema operacional definido, dados fiáveis e capacidade de agir sobre o resultado. Ligar equipamentos também cria dependências e vias de ataque, especialmente em sistemas antigos. Um projeto deve mapear ativos, fluxos, segurança, safety, propriedade dos dados, integração e operação manual durante falhas. Pilotos precisam de métricas de produção, qualidade, manutenção e energia, não apenas dashboards. Escalar exige suporte, versões e formação. Mais dados ou conectividade não garantem produtividade sem mudança de processo validada.
Glossário IT
WMS (Sistema de gestão de armazém)

Um WMS (Warehouse Management System ou sistema de gestão de armazém) coordena receção, arrumação, reposição, picking, embalagem e expedição. Pode trocar pedidos e movimentos com ERP, transporte, automação, operadores e clientes. O registo só é fiável quando dados mestres, leitura, interfaces e exceções são controlados. Cobertura sem fios, terminais, impressoras e identidade podem ser tão críticos como a aplicação. Antes de implementar devem definir-se localizações, unidades, lotes ou séries, funções, cut-offs e operação durante falha de integração ou dispositivo. Testes seguem percursos físicos completos e reconciliam quantidades e estado entre sistemas. Ecrãs mais rápidos não garantem throughput; layout, carga, formação, dados e processo devem ser medidos em conjunto.
Glossário IT
POS (Ponto de venda)

Um sistema POS (ponto de venda) regista vendas e pode coordenar produtos, preços, impostos, stock, recibos e dispositivos de pagamento. Caixa, aplicação, rede, terminal e back-office podem ter proprietários e falhas diferentes. O terminal de cartão é apenas um componente, e processar pagamento não prova atualização de inventário ou contabilidade. O desenho deve separar dados de pagamento quando necessário, restringir acessos, manter software suportado e definir operação offline. Disponibilidade considera energia, conectividade, periféricos, credenciais e reconciliação após recuperação. Suporte deve identificar o componente afetado antes de substituir equipamento. Testes cobrem venda, devolução, recibo, stock e recuperação. Âmbito de segurança depende do fluxo real de dados, não apenas do nome POS.
Glossário IT
Omnicanalidade

Omnicanalidade coordena canais físicos e digitais para que uma pessoa continue uma interação sem perder contexto quando o processo o permite. Identidade, catálogo, stock, pedidos, apoio e devoluções podem ser partilhados, mas todos os canais não precisam de funções idênticas. O desafio é alinhar dados, regras e responsabilidade, não apenas acrescentar uma aplicação. Antes de implementar devem definir-se percursos prioritários, sistemas mestres, atualização de inventário, consentimento, exceções e comportamento quando uma integração falha. Medidas como abandono, resolução, precisão de stock e tempo de ciclo devem ser avaliadas por percurso. Uma visão única errada pode prejudicar mais do que canais separados, por isso reconciliação, qualidade do dado e uma via manual de recuperação são requisitos operacionais.
Glossário IT
VLAN

Uma VLAN (rede local virtual) cria um domínio lógico de broadcast de camada 2 em equipamentos compatíveis. Pode separar utilizadores, voz, convidados, gestão ou dispositivos sem um switch físico por grupo. VLANs organizam tráfego, mas não aplicam segurança automaticamente: comunicação entre elas depende de routing, firewall e controlos. Tags, VLAN nativa, trunks e listas permitidas devem coincidir nos enlaces, enquanto portas finais usam a VLAN prevista. Configuração incorreta pode causar fuga, loops ou perda de ligação. O desenho documenta identificadores, sub-redes, gateways, DHCP, proprietário e fluxos permitidos. A validação comprova isolamento e comunicação necessária em portas e redes sem fios reais. Um diagrama não basta sem reconciliação com configuração e política.
Glossário IT
Modelo Purdue

O Modelo Purdue organiza funções industriais em níveis, desde processo físico e controlo até operações e sistemas empresariais, para ajudar a pensar em dependências e separação. É uma referência conceptual, não um mapa universal nem uma regra de que toda comunicação deve seguir uma hierarquia rígida. Ambientes modernos podem incluir cloud, acesso remoto, IIoT e sistemas de safety que exigem representação explícita. O desenho deve partir de ativos e fluxos reais, zonas, conduítes, proprietários e impacto operacional. Colocar uma firewall entre níveis não garante segmentação se existem rotas alternativas ou regras amplas. Inventário e diagramas precisam de reconciliação com configuração. Testes autorizados verificam comunicações necessárias e bloqueadas, operação durante perda de ligação e recuperação, respeitando safety e disponibilidade do processo.
Glossário IT
SLA (Acordo de nível de serviço)

Um SLA (Service Level Agreement ou acordo de nível de serviço) regista compromissos mensuráveis entre cliente e fornecedor para um serviço definido. Pode incluir horário, disponibilidade, tempo de resposta, prioridade, resolução, manutenção, exclusões, dependências e forma de medição. “Resposta” não significa necessariamente “resolução”, e um valor médio pode esconder incidentes críticos; cada métrica precisa de início, pausa, fonte de dados e fuso horário claros. O acordo também deve distinguir obrigações do fornecedor e do cliente, por exemplo acesso, aprovação ou informação necessária. Penalizações não substituem continuidade nem corrigem um objetivo mal desenhado. A revisão usa relatórios reconciliados, exceções explicadas e tendência, não apenas percentagens verdes. Um SLA só é útil quando reflete o impacto real, é operacionalmente possível e conduz a ações definidas.
Glossário IT
Serviços IT geridos (MSP)

Serviços IT geridos atribuem a um fornecedor, normalmente designado MSP, operações tecnológicas recorrentes. O âmbito pode incluir helpdesk, monitorização, patches, backup, identidade, administração cloud ou segurança, mas a designação não define ferramenta, horário, tempo de resposta ou preço. Em comparação com suporte reativo, o modelo procura trabalhar com inventário, prevenção, alertas, procedimentos e revisão periódica. Um acordo útil identifica sistemas incluídos, responsáveis, prioridades, janelas de manutenção, escalamento a fabricantes, evidências, gestão de alterações e condições de saída. As métricas precisam de fonte e período conhecidos, e telemetria ausente não deve ser apresentada como estado saudável. O serviço pode substituir uma função interna ou complementá-la, desde que as responsabilidades entre cliente, fornecedor e terceiros fiquem explícitas.
Glossário IT
Outsourcing IT

Outsourcing IT significa atribuir a um fornecedor externo algumas ou todas as funções tecnológicas. Pode abranger perfis, helpdesk, administração, segurança, projetos ou coordenação; não transfere necessariamente estratégia nem todo o departamento. Ao contrário de uma intervenção pontual, estabelece responsabilidades continuadas. Antes de contratar devem definir-se âmbito, propriedade de ativos e dados, horários, escalamento, métricas, acessos, subcontratados, saída e coordenação interna. O fornecedor permanece sujeito a prioridades e controlos acordados. Expressões como departamento IT externo não garantem cobertura nacional, tempos de resposta ou modelo de equipa. Um acordo sólido torna exclusões, dependências e responsabilidades do cliente visíveis e testa como conhecimento e acessos serão devolvidos no fim.
Glossário IT
Virtualização

A virtualização abstrai recursos físicos para executar máquinas virtuais ou outros ambientes isolados sobre um hipervisor. Permite consolidar cargas, atribuir CPU, memória, armazenamento e rede e mover responsabilidades para uma camada comum de gestão. Não cria capacidade ilimitada nem disponibilidade automática: contenção, drivers, licenças, armazenamento, rede e domínio de falha continuam relevantes. Um snapshot facilita mudanças de curto prazo, mas não substitui uma cópia independente nem um processo de recuperação testado. O desenho deve mapear cargas, dependências, reservas, crescimento, acesso administrativo e comportamento quando um host falha. Monitorização do convidado e do hipervisor responde a perguntas diferentes. A validação mede desempenho e recuperação com carga representativa. Consolidar muitos serviços também concentra impacto, pelo que redundância e operação precisam de evidência.
Glossário IT
Alta disponibilidade (HA)

Alta disponibilidade (HA) é uma abordagem de arquitetura que reduz interrupções ao remover pontos únicos de falha e usar redundância, verificações de estado e comutação. Pode abranger energia, rede, computação, armazenamento e aplicação; duplicar um componente não torna disponível todo o serviço. Uma percentagem de disponibilidade precisa de período, exclusões e fronteira definidos, pois é um objetivo mensurável e não uma funcionalidade automática. HA também não substitui backup ou recuperação de desastre: um erro replicado pode afetar vários nós. O desenho deve analisar quórum, capacidade degradada, consistência, manutenção e retorno ao nó principal. Testes controlados de falha e tempos observados confirmam se as dependências continuam utilizáveis.
Glossário IT
Recuperação de desastres (DR)

Recuperação de desastres (Disaster Recovery ou DR) é o conjunto de planos, pessoas, tecnologia e procedimentos para restaurar sistemas e dados após uma interrupção grave. Deve partir de processos prioritários, dependências e objetivos RPO e RTO aprovados, não apenas de uma ferramenta de replicação. Cópia de segurança, alta disponibilidade e DR são complementares: dados disponíveis não garantem que identidade, rede, aplicações e equipas consigam operar. O plano precisa definir declaração do desastre, responsabilidades, comunicação, ordem de recuperação, critérios de aceitação e retorno ao ambiente normal. Testes regulares e cronometrados devem incluir falhas plausíveis e registar resultados e exceções. Um documento nunca exercitado ou uma réplica que partilha as mesmas credenciais pode criar confiança sem capacidade real de recuperação.
Glossário IT
Plano de continuidade de negócio (BCP)

Um plano de continuidade de negócio (BCP) define como produtos e processos prioritários continuam ou recuperam durante uma interrupção. Parte de uma análise de impacto que identifica tempos, dependências, recursos mínimos e alternativas; não é apenas um documento de IT. O plano atribui responsáveis, critérios de ativação, comunicações, locais, fornecedores, trabalho manual e regresso à normalidade. Backup, recuperação de desastre, redundância e gestão de crise apoiam partes diferentes. As prioridades devem considerar pessoas, instalações, dados, tecnologia e terceiros. Um plano cujos contactos ou acessos dependem do sistema afetado pode falhar. Exercícios de mesa e testes operacionais validam pressupostos, tempos e decisões e geram ações corretivas. A existência do documento não demonstra capacidade de continuidade se não estiver atualizado, acessível e testado.
Glossário IT
Backup imutável

Um backup imutável é uma cópia de recuperação protegida contra alteração ou eliminação durante um período de retenção definido, incluindo ações administrativas correntes. A imutabilidade reduz o risco de ransomware ou de uma conta comprometida destruir todas as cópias, mas a implementação depende do armazenamento, das credenciais e dos controlos de retenção. Não prova que os dados capturados estejam completos, limpos ou recuperáveis; uma origem mal configurada pode conservar conteúdo inútil. O desenho deve separar funções, proteger identidades de backup, definir bloqueios, monitorizar falhas e manter uma via independente quando adequado. Capacidade e retenção legal também exigem planeamento. Testes de recuperação verificam cargas reais, integridade, dependências e tempo; uma tarefa concluída apenas prova que houve cópia.
Glossário IT
Firewall

Uma firewall aplica regras ao tráfego entre redes, zonas ou cargas para permitir, bloquear e registar comunicações. Pode operar por endereços e portas e, em produtos de nova geração, reconhecer aplicações, utilizadores ou conteúdo, conforme licenças e configuração. A presença do equipamento não garante proteção: regras amplas, firmware antigo, administração exposta ou registos não revistos criam risco. O desenho deve partir dos fluxos necessários, negar o restante, separar gestão e documentar proprietário, justificação e validade de cada exceção. Inspeção cifrada exige avaliação técnica, privacidade e capacidade. Revisões periódicas, cópia da configuração, alertas e testes de recuperação são essenciais. Uma firewall complementa identidade, endpoint, segmentação e monitorização; não substitui essas camadas.
Glossário IT
VPN (Rede privada virtual)

Uma VPN (Virtual Private Network ou rede privada virtual) cria um túnel protegido entre utilizadores, locais ou redes através de uma infraestrutura não confiável, normalmente a internet. Pode cifrar tráfego e autenticar extremos, mas não torna seguro um dispositivo comprometido nem controla por si só o que o utilizador faz após entrar. Existem VPN de acesso remoto e site-to-site, com protocolos, rotas e modelos de confiança diferentes. O desenho deve definir identidade, MFA, redes permitidas, DNS, divisão de túnel, registos, capacidade e revogação. Dar acesso a toda a rede aumenta o impacto de credenciais roubadas; privilégios mínimos e segmentação reduzem exposição. A validação verifica rotas, resolução de nomes, aplicações, perda de ligação e remoção de acesso. Um túnel estabelecido não demonstra que o percurso ou as permissões sejam corretos.
Glossário IT
SAN (Rede de área de armazenamento)

Uma SAN (Storage Area Network ou rede de área de armazenamento) fornece conectividade de blocos entre servidores e armazenamento partilhado, normalmente por Fibre Channel ou iSCSI. Os hosts veem volumes lógicos, não partilhas comuns de ficheiros. Pode centralizar capacidade e apoiar clusters, mas desempenho e disponibilidade não são automáticos: controladores, redes, caminhos, zoning, multipathing e cargas precisam de desenho conjunto. A redundância deve evitar falhas comuns e ser testada. Acessos, firmware, monitorização, snapshots e backup têm papéis distintos; um snapshot no mesmo sistema não é uma cópia independente. O dimensionamento usa latência, throughput, IOPS, filas e crescimento. Gestão de mudanças reduz o risco de uma alteração afetar muitos sistemas.
Glossário IT
Helpdesk

O helpdesk é o ponto de contacto que regista, classifica e acompanha incidentes e pedidos dos utilizadores. Pode resolver em primeira linha ou encaminhar para especialistas, fabricantes ou responsáveis internos, mantendo histórico e comunicação. A designação não garante por si só horário, SLA ou resolução ilimitada; essas condições dependem do âmbito contratado. A operação deve definir categorias, prioridades, canais, dados mínimos, escalamento, propriedade e critérios de fecho. Métricas como primeira resposta, resolução, reabertura e satisfação precisam de período, fonte e exclusões. Uma fila vazia também não prova que tudo funciona, pois pode revelar pouca adoção ou monitorização ausente. O helpdesk concentra-se no suporte, enquanto um service desk costuma incluir processos de serviço mais amplos.
Glossário IT
Endpoint

Um endpoint é um dispositivo ou carga que comunica numa rede e atua como ponto de origem ou destino, como portátil, desktop, telemóvel, servidor, máquina virtual ou equipamento especializado. A definição pode variar por ferramenta, por isso o inventário deve indicar quais tipos estão incluídos e qual o respetivo responsável. Endpoints processam identidades e dados e podem tornar-se via de entrada, mas instalar um agente não garante proteção completa. Gestão eficaz combina inventário, configuração, atualizações, cifragem, privilégios, proteção, registos e resposta a incidentes. Dispositivos sem suporte, temporários ou sem agente precisam de tratamento explícito. Cobertura deve ser reconciliada entre fontes e estados; “zero alertas” num endpoint que deixou de comunicar não significa que esteja saudável.
Glossário IT
Hiperconvergência (HCI)

Hiperconvergência (HCI) combina computação, armazenamento definido por software e virtualização em nós geridos como um conjunto. Pode simplificar expansão e operação ao usar blocos semelhantes, mas não elimina dependências de rede, licenças, capacidade ou domínio de falha. Adicionar um nó aumenta recursos segundo regras do produto e pode não resolver o componente realmente saturado. O desenho deve separar capacidade útil de bruta, considerar replicação, crescimento, manutenção, compatibilidade e comportamento durante falhas. Gestão central facilita mudanças, mas também concentra privilégios. Cópias, snapshots e redundância interna têm funções diferentes; dados replicados no mesmo cluster não são uma recuperação independente. Testes devem medir cargas reais, reconstrução, perda de nó, atualização e restauro. Simplicidade comercial não substitui dimensionamento nem procedimentos operacionais.
Glossário IT
VoIP (Voz sobre IP)

VoIP (Voice over IP ou voz sobre IP) transporta sinalização e áudio de chamadas através de redes de dados em vez de uma linha telefónica dedicada tradicional. Uma solução pode incluir terminais, softphones, PBX, operador SIP, numeração e integrações empresariais, mas estes componentes têm responsabilidades distintas. A qualidade depende de latência, perda, jitter, codecs, capacidade e prioridade de tráfego; maior largura de banda não corrige todos os problemas. O desenho deve ainda considerar segurança das contas, fraude, cifragem compatível, gravação, privacidade, alimentação elétrica, chamadas de emergência e continuidade quando falham internet ou cloud. Antes da migração convém testar números, filas, transferências, identificação, fax ou equipamentos especiais e documentar reversão. O custo deve incluir licenças, conectividade, dispositivos, suporte e requisitos regulatórios.
Glossário IT
IaaS (Infraestrutura como serviço)

IaaS (Infrastructure as a Service ou infraestrutura como serviço) disponibiliza computação virtual, armazenamento e rede sob pedido, enquanto o fornecedor cloud opera instalações e hardware físico. O cliente normalmente gere sistemas operativos, identidades, aplicações, dados e parte da rede; a divisão exata depende do serviço. IaaS evita a compra imediata de hardware, mas não elimina arquitetura, patches, segurança, cópias ou controlo de custos. Antes da adoção devem ser avaliadas regiões, quotas, desempenho, saída de dados, licenças, registos, recuperação e saída da plataforma. Infraestrutura como código, etiquetas, orçamentos e privilégio mínimo melhoram governo. Funcionalidades de disponibilidade precisam de configuração e testes: uma máquina virtual numa região cloud não torna a aplicação automaticamente resiliente.
Glossário IT
PaaS (Plataforma como serviço)

PaaS (Platform as a Service ou plataforma como serviço) fornece um ambiente gerido para desenvolver, executar e escalar aplicações sem que o cliente administre diretamente toda a infraestrutura e o sistema operativo. O fornecedor pode tratar runtime, patches, capacidade e componentes integrados, enquanto o cliente mantém responsabilidades sobre código, dados, identidades, configuração e utilização segura. Os limites variam por serviço e contrato; PaaS não inclui automaticamente cópias, recuperação ou disponibilidade adequada a cada aplicação. Antes da adoção devem ser avaliados runtime suportado, observabilidade, rede, residência e exportação de dados, custos, quotas e dependência de funcionalidades proprietárias. Testes de portabilidade e recuperação, juntamente com infraestrutura e configuração versionadas, reduzem o risco de uma plataforma conveniente se tornar um ponto de bloqueio.
Glossário IT
SaaS (Software como serviço)

SaaS (Software as a Service ou software como serviço) é uma aplicação fornecida através da internet e gerida principalmente pelo fornecedor, normalmente por subscrição. O cliente evita operar a infraestrutura da aplicação, mas mantém responsabilidades sobre utilizadores, permissões, configuração, dispositivos, dados e conformidade. Atualizações, disponibilidade, retenção e cópias dependem do contrato e do desenho; não devem ser presumidas. Antes da adoção convém rever residência e exportação de dados, autenticação, integração, registos, recuperação, limites, portabilidade e saída. Também importa saber o que ocorre se falhar a ligação ou terminar a subscrição. O custo total inclui licenças, implementação, integrações, formação e governo, não apenas a mensalidade publicada.
Glossário IT
Cloud híbrida

Cloud híbrida é um modelo operacional que liga infraestrutura sob controlo privado a um ou mais serviços de cloud pública, permitindo que aplicações, dados ou gestão atravessem ambos os ambientes. Não significa que as cargas se movam livremente; a portabilidade depende da arquitetura, plataformas e desenho dos dados. Pode responder a latência, regulação, investimento existente, resiliência ou migração faseada, mas cada fronteira acrescenta complexidade de identidade, rede, monitorização e suporte. O desenho deve definir localização das cargas, conectividade, responsáveis, fluxos de dados, consistência, segurança, custo e comportamento perante falhas. Ferramentas comuns melhoram visibilidade, mas não eliminam diferenças entre fornecedores. Um modelo útil atribui uma razão a cada carga e mantém percursos de recuperação testados.
Glossário IT
Microsoft Azure

Microsoft Azure é uma plataforma cloud com serviços de computação, armazenamento, rede, bases de dados, identidade e gestão distribuídos por várias regiões. Funcionalidades, resiliência e preço dependem do serviço, região, nível e configuração escolhidos. A Microsoft opera a plataforma até uma fronteira acordada, enquanto o cliente mantém responsabilidades por identidades, dados, acessos, cargas, configuração e custos. Migrar um servidor para Azure não o torna automaticamente escalável, seguro ou altamente disponível. A arquitetura deve definir subscrições, proprietários, rede, registos, cópias, recuperação, quotas e saída. Integrações nativas também exigem permissões e ciclo de vida explícitos. Testes de implementação, falha, restauro e faturação validam melhor o desenho do que um estado verde do recurso.
Glossário IT
Migração para a cloud

Migração para a cloud move ou transforma aplicações, dados e dependências para serviços cloud. As estratégias podem incluir realojar, adaptar, substituir ou retirar, e uma carteira costuma combinar várias. Copiar uma máquina virtual não resolve arquitetura, identidade, rede, licenças, desempenho, conformidade ou custo. Antes da mudança devem inventariar-se responsáveis, fluxos, dados, dependências, linha de base e critérios de aceitação. O plano define fases, backup, sincronização, testes, transição, reversão e operação posterior. A coexistência temporária pode aumentar complexidade e despesa. Cada carga precisa de validação funcional, segurança, desempenho, recuperação e observabilidade no destino. Terminar a transferência não conclui a migração: ainda faltam reconciliação, retirada segura da origem, documentação, suporte e confirmação do resultado pretendido.
Glossário IT
PoE (Power over Ethernet)

PoE (Power over Ethernet) transporta dados e energia elétrica pelo mesmo cabo Ethernet para dispositivos compatíveis, como pontos de acesso, telefones IP, sensores ou câmaras. O equipamento que fornece energia é PSE e o que recebe é PD. Os padrões IEEE definem negociação e classes de potência; não basta que os conectores coincidam. Devem ser verificados padrão, potência necessária, orçamento total do switch, distância e qualidade do cabo. Um injetor pode acrescentar PoE, mas também precisa de compatibilidade. Perdas e temperatura reduzem margem, e um sistema pode falhar quando todos os equipamentos consomem em simultâneo. A validação deve medir ligação, consumo e comportamento durante reinícios ou carga máxima, não apenas confirmar que o dispositivo liga.
Glossário IT
Fibra ótica

Fibra ótica transporta informação como luz através de um núcleo de vidro ou plástico. Fibra monomodo e multimodo utilizam óticas, distâncias e condições diferentes, enquanto conectores, emendas, limpeza e raio de curvatura afetam o enlace completo. A palavra fibra não garante velocidade, redundância ou nível de serviço. O desenho deve definir percurso, número de fibras, conectores, orçamento ótico, transceivers, crescimento, proteção física e proprietário. Registos e etiquetas precisam de coincidir nas duas extremidades. A validação inclui inspeção, medição de perdas e, quando necessário, ensaio de traço contra a especificação escolhida. Luz de ligação apenas confirma algum sinal recebido; não prova margem, polaridade, capacidade esperada ou resistência a uma falha do percurso.
Glossário IT
Cablagem estruturada

Cablagem estruturada é um sistema normalizado de cabos, conectores, painéis, racks e caminhos que suporta comunicações num edifício ou campus através de uma topologia documentada. Organiza-se em subsistemas e categorias de desempenho; usar um componente de categoria elevada não certifica a ligação completa. O desenho deve considerar percursos, separação elétrica, raio de curvatura, ocupação, ligação à terra quando aplicável, PoE, crescimento e etiquetagem. Após a instalação, cada ligação é testada contra o limite e a norma relevantes, associando o relatório a um identificador. Um rack arrumado não demonstra desempenho elétrico. Plantas, inventário de portas e controlo de alterações ajudam a localizar falhas e evitam que ampliações posteriores degradem uma instalação inicialmente válida.
Glossário IT
Switch de rede

Um switch de rede liga dispositivos numa rede local e encaminha quadros para a porta associada ao endereço de destino. Modelos geridos podem suportar VLAN, spanning tree, agregação, QoS, PoE, autenticação e monitorização, mas estas funções dependem do modelo, licença e configuração. A capacidade anunciada não garante desempenho em qualquer cenário; portas, uplinks, tabelas, buffer, potência e padrões de tráfego também contam. O desenho deve considerar redundância sem ciclos, orçamento PoE, gestão protegida, firmware suportado e documentação de portas. Uma configuração guardada não prova que exista cópia recuperável nem que o equipamento de substituição seja compatível. A validação inclui tráfego real, falha de enlaces, alimentação e acesso de gestão. Luzes verdes indicam ligação física, não confirmam VLAN, rota ou aplicação correta.
Glossário IT
Largura de banda

Largura de banda é a quantidade máxima de dados que uma ligação pode transportar por unidade de tempo, normalmente expressa em Mbps ou Gbps. Descreve capacidade e não a velocidade percebida por uma aplicação. O débito real também depende de latência, perda, jitter, protocolos, congestionamento, condições Wi-Fi, servidores remotos e partilha entre utilizadores. A capacidade pode ser assimétrica e variar ao longo do percurso, pelo que um teste isolado não representa todo o dia de trabalho. O dimensionamento deve usar medições representativas, picos, percentis, crescimento e necessidades durante falhas. Qualidade de serviço pode priorizar tráfego, mas não cria capacidade. Qualquer resultado deve indicar origem, destino, horário, método e se o segmento medido era cabo, rádio ou internet.
Glossário IT
QoS (Qualidade de serviço)

QoS (Quality of Service ou qualidade de serviço) classifica e trata tráfego de rede segundo políticas para proteger aplicações sensíveis a atraso, perda ou jitter, como voz e vídeo. Pode marcar, priorizar, limitar ou organizar filas, conforme equipamento e percurso. QoS não cria largura de banda nem corrige um circuito saturado de forma permanente; decide que tráfego sofre primeiro quando há contenção. A política precisa de classes claras, confiança nas marcações, capacidade e aplicação coerente em todos os pontos relevantes. Prioridade excessiva para uma classe pode prejudicar outras. Antes de ativar, devem ser medidos padrões reais e estabelecido baseline. Testes sob carga e métricas por classe confirmam se latência, perda e filas melhoraram sem efeitos indesejados.
Glossário IT
DNS (Sistema de nomes de domínio)

DNS (Domain Name System ou sistema de nomes de domínio) traduz nomes usados por pessoas e aplicações em registos como endereços IP e localizações de serviços. A resolução pode envolver caches locais, resolvedores recursivos, servidores autoritativos e registrars, com proprietários e falhas distintos. DNS não se limita a associar um site a um endereço, e respostas em cache podem atrasar mudanças. O desenho deve documentar zonas, delegação, propriedade, TTL, acessos e recuperação. Servidores redundantes precisam de evitar falha comum se for necessária independência real. DNSSEC autentica dados assinados, mas não cifra consultas nem corrige um registo errado. Testes usam percursos internos e externos, confirmam respostas e observam expiração. Um servidor responder não prova que todos os resolvedores vejam a mesma configuração atual.
Glossário IT
Wi-Fi 6

Wi-Fi 6 é a designação comercial associada a IEEE 802.11ax, uma geração sem fios criada para usar melhor o espectro e servir ambientes densos. Inclui técnicas como OFDMA e MU-MIMO, mas a melhoria real depende de clientes compatíveis, canais, interferência, potência, cablagem e capacidade dos pontos de acesso. Trocar o router não garante mais velocidade em cada dispositivo nem corrige má cobertura. O desenho deve partir de requisitos, planta, densidade, aplicações e medições de rádio e também considerar segurança e roaming. Canais demasiado largos podem aumentar interferência. A validação ocorre nas áreas e dispositivos reais, verificando cobertura, capacidade, latência e estabilidade sob carga, não apenas velocidade junto do ponto de acesso.
Glossário IT
NAC (Controlo de acesso à rede)

NAC (Network Access Control ou controlo de acesso à rede) aplica políticas antes ou durante a ligação de utilizadores e dispositivos à rede. Pode combinar identidade, certificado, tipo de equipamento, localização e estado de segurança para atribuir acesso, colocar em quarentena ou limitar recursos. A capacidade varia entre soluções e métodos de implementação; equipamentos sem agente, dispositivos industriais e visitantes exigem fluxos próprios. NAC não substitui segmentação, gestão de identidades nem proteção do endpoint, e uma classificação errada pode bloquear operações legítimas. Antes da aplicação total convém inventariar dispositivos, testar políticas em modo de observação, definir exceções com prazo e preparar recuperação. Registos de decisão, cobertura e falsos positivos permitem avaliar se a política funciona realmente, em vez de confiar apenas no número de equipamentos registados.
Glossário IT
IDS / IPS (Deteção e prevenção de intrusões)

IDS (Intrusion Detection System) analisa tráfego ou atividade para identificar padrões suspeitos e gerar alertas; IPS (Intrusion Prevention System) pode também bloquear ou alterar o fluxo em linha. As funções podem coexistir no mesmo produto, mas dependem de posição, protocolos visíveis, assinaturas, comportamento e configuração. Tráfego cifrado, segmentos não monitorizados e regras desatualizadas criam pontos cegos. Um IPS mal afinado pode interromper atividade legítima, pelo que novas políticas devem ser testadas e implementadas com recuperação definida. Alertas precisam de contexto, responsável e resposta; quantidade não equivale a eficácia. A validação usa cenários controlados para confirmar visibilidade, deteção, bloqueio esperado e registos. IDS/IPS complementa firewall, endpoint e segmentação, não substitui essas camadas.
Glossário IT
WAF (Firewall de aplicações web)

Um WAF (Web Application Firewall) inspeciona tráfego HTTP e HTTPS para aplicar regras à frente de uma aplicação web ou API. Pode bloquear padrões conhecidos, limitar pedidos e dar visibilidade, mas não corrige código vulnerável nem compreende todos os processos de negócio. Colocação, TLS, acesso à origem e headers de proxy determinam o que consegue proteger. Regras genéricas precisam de afinação: agressividade bloqueia utilizadores e exceções permissivas criam lacunas. APIs, uploads, áreas autenticadas e clientes automáticos podem exigir políticas distintas. Registos devem apoiar resposta sem reter dados desnecessários. Validação combina testes seguros, monitorização e revisão de bypass. Um painel limpo não prova segurança nem que todo o tráfego passe pelo WAF.
Glossário IT
Ataque DDoS

Um ataque DDoS (negação de serviço distribuída) tenta esgotar capacidade de rede, recursos de protocolo ou funções de uma aplicação com tráfego de múltiplas origens. Nem todos os ataques produzem volume enorme; alguns exploram operações dispendiosas ou estados limitados. Um firewall local pode saturar antes de filtrar, por isso a mitigação costuma exigir coordenação com operador, rede de entrega ou serviço especializado. A preparação identifica serviços críticos, dependências, limiares, contactos e escalamento. Rate limiting, cache, distribuição e filtragem reduzem impacto, mas precisam de testes sem bloquear utilizadores legítimos. Métricas de rede, aplicação e negócio ajudam a distinguir ataque, falha e procura real. Recuperar disponibilidade não prova que a causa desapareceu nem que não exista uma intrusão paralela.
Glossário IT
Central telefónica virtual

Uma central telefónica virtual fornece funções de telefonia empresarial a partir de infraestrutura operada por um fornecedor, em vez de manter o controlo de chamadas num equipamento local. Pode gerir extensões, números, encaminhamento, correio de voz, filas e aplicações, conforme o plano. Terminais, acesso à internet, rede local, chamadas de emergência, portabilidade e integrações continuam a criar dependências do cliente. Estar alojada na cloud não prova qualidade nem funcionamento contínuo; a resiliência depende do fornecedor, circuitos, dispositivos e rotas alternativas. Antes da adoção devem definir-se propriedade, fronteiras de suporte, chamadas simultâneas, gravação, retenção, segurança, saída e comportamento durante falhas. Os testes cobrem entrada, saída, transferências, identificação, áudio bidirecional e recuperação. A subscrição não representa todo o custo operacional ou de migração.
Glossário IT
SIP (Session Initiation Protocol)

SIP (Session Initiation Protocol) é um protocolo de sinalização usado para criar, modificar e terminar sessões de comunicação IP, como chamadas de voz ou vídeo. Negocia participantes e parâmetros, enquanto o áudio costuma viajar por protocolos como RTP; sinalização bem-sucedida não garante qualidade. Uma implementação pode envolver terminais, PBX, operador, NAT, DNS e controlos de segurança com responsabilidades separadas. O desenho deve abordar autenticação, cifragem compatível, fraude, numeração, codecs, portas e comportamento em falha. SBC, firewall e políticas podem reduzir exposição, mas exigem configuração. Testes cobrem chamadas recebidas e efetuadas, transferência, identidade, áudio em ambos os sentidos, emergência quando aplicável e recuperação após perda de conectividade ou fornecedor.
Glossário IT
Troncal SIP

Uma troncal SIP é um serviço IP que liga a central telefónica de uma empresa a um operador para chamadas recebidas e efetuadas. SIP trata sinalização, enquanto voz normalmente usa RTP ou equivalente protegido; registo bem-sucedido não garante áudio bidirecional ou qualidade. O serviço pode depender de PBX, SBC, firewall, NAT, DNS, numeração e internet, com responsabilidades diferentes. Capacidade costuma ser expressa em chamadas simultâneas. O desenho aborda autenticação, cifragem compatível, fraude, emergência quando aplicável, apresentação de números e rotas de falha. Testes cobrem entrada, saída, transferências, identidade, codecs, áudio e recuperação após perder circuito ou operador. Custo e resiliência dependem do contrato e arquitetura concretos.
Glossário IT
IVR (Resposta de voz interativa)

IVR (Interactive Voice Response ou resposta de voz interativa) atende chamadas e permite ao utilizador escolher opções por voz ou teclado antes de encaminhar a chamada, consultar informação ou iniciar uma tarefa. Pode integrar-se com telefonia, CRM, filas, horários e sistemas de autenticação. Um menu longo ou sem alternativa humana aumenta abandono, por isso o desenho deve partir dos motivos reais de contacto e testar linguagem, ordem, acessibilidade e tratamento de erros. Métricas úteis incluem abandono, repetição, transferência incorreta e resolução no percurso, sempre com contexto. Gravação, identificação e tratamento de dados requerem informação e controlos adequados. Um IVR organiza o fluxo, mas não substitui capacidade de atendimento nem garante que a necessidade do cliente seja resolvida.
Glossário IT
CCTV (Circuito fechado de televisão)

CCTV (circuito fechado de televisão) é um sistema em que câmaras enviam vídeo para equipamentos ou serviços autorizados para visualização, gravação e gestão. Pode usar gravadores locais, NVR, armazenamento cloud ou uma combinação, e pode integrar deteção de eventos e controlo de acesso. A expressão “circuito fechado” descreve acesso restrito, não uma garantia de segurança. O desenho deve considerar cobertura, ângulo, iluminação, largura de banda, retenção, exportação, continuidade elétrica, permissões e logs. A videovigilância também envolve finalidade, base legal, informação às pessoas, acesso às imagens e prazos de conservação definidos pela organização segundo a regra aplicável. A tecnologia escolhida não substitui essa avaliação nem garante que toda a área esteja adequadamente coberta.
Glossário IT
NVR (Gravador de vídeo em rede)

Um NVR (Network Video Recorder ou gravador de vídeo em rede) recebe, armazena e permite consultar vídeo de câmaras IP. Pode gerir gravação contínua ou por eventos, utilizadores, exportação e análise, conforme modelo e licenças. A capacidade depende de câmaras, resolução, imagens por segundo, compressão, retenção e atividade; contar apenas terabytes pode subdimensionar o sistema. O desenho deve considerar largura de banda, discos adequados, redundância necessária, hora, permissões, cifragem e localização das gravações. Acesso remoto exige controlos próprios e não deve ficar exposto por defeito. Os testes devem confirmar reprodução, pesquisa, exportação, perda de câmara, falha de disco e recuperação. Um NVR ligado não prova que todas as câmaras gravam com qualidade e retenção esperadas.
Glossário IT
Câmara IP

Uma câmara IP capta vídeo digital e envia-o por uma rede Ethernet ou sem fios para um gravador, serviço ou utilizador autorizado. Pode receber energia por PoE e incluir áudio, armazenamento ou analítica, conforme modelo e licença. A utilidade da imagem depende de lente, distância, ângulo, luz, frame rate, compressão e movimento; resolução anunciada não basta. O projeto deve definir finalidade, campo de visão, retenção, acessos, largura de banda, sincronização horária e comportamento se rede ou gravador falhar. Credenciais, firmware e serviços expostos precisam de proteção. Testes devem usar cenas reais de dia e noite e confirmar gravação, pesquisa e exportação. Ligação à rede não exige exposição à internet, e imagem ao vivo não prova que o vídeo fique guardado.
Glossário IT
ONVIF

ONVIF é uma iniciativa da indústria que publica especificações e perfis para facilitar a interoperabilidade entre produtos de segurança física baseados em IP, incluindo câmaras, gravadores, controlo de acesso e plataformas de gestão. Cada perfil reúne funções específicas; dois produtos com indicação ONVIF podem suportar perfis ou versões diferentes e não partilhar todas as funcionalidades proprietárias. Por isso devem ser confirmados modelo, firmware, perfil e requisitos, testando vídeo, eventos, áudio, descoberta e controlo quando aplicável. A compatibilidade também não garante segurança. Continuam necessários credenciais únicas, atualizações, segmentação, cifragem suportada e desativação de serviços desnecessários. Uma prova com os equipamentos exatos reduz o risco de descobrir limitações apenas depois da compra ou da instalação no local.
Glossário IT
Analítica de vídeo

A analítica de vídeo utiliza software para interpretar imagens ou streams de câmaras e assinalar eventos, objetos ou padrões definidos. Funções comuns incluem cruzamento de linha, lotação, filas ou objetos abandonados, mas a capacidade varia com câmara, modelo, licença e cenário. Um alerta é uma observação probabilística, não prova de intenção ou identidade. Ângulo, luz, clima, oclusão, resolução e mudanças do espaço afetam precisão, pelo que uma demonstração noutro ambiente não basta. O projeto deve definir finalidade, tratamento lícito, retenção, revisão humana, falsos positivos aceitáveis e resposta. Testes precisam de cenas representativas de dia e noite. Mais alertas não significam melhor segurança; a utilidade depende de deteção validada e de um processo de atuação viável.
Glossário IT
LPR (Reconhecimento de matrículas)

LPR (License Plate Recognition), também designado ANPR em alguns mercados, utiliza câmaras e processamento de imagem para localizar uma matrícula e convertê-la em texto pesquisável. Pode apoiar acessos, estacionamento, investigação e registo quando integrado com o sistema adequado. A precisão varia com ângulo, distância, velocidade, luz, clima, estado e formato da matrícula, pelo que uma percentagem de laboratório não é garantia local. O desenho deve cobrir posição da câmara, listas, exceções manuais, retenção, auditoria e falhas de leitura. Matrículas podem constituir dados pessoais e exigem finalidade, acessos e retenção apropriados. Os testes devem usar veículos e condições representativas e medir leituras perdidas e correspondências incorretas antes de automatizar barreiras ou alertas.
Glossário IT
Controlo de acessos

Um sistema de controlo de acessos administra quem pode entrar ou utilizar um espaço físico, em que zonas e horários, através de credenciais como cartões, telemóveis, códigos ou biometria. Normalmente combina leitores, controladores, fechaduras, sensores e software, mas a autorização depende da identidade e das regras configuradas. Não impede por si só que duas pessoas passem juntas nem substitui procedimentos para visitantes e emergências. O desenho deve considerar saída segura, evacuação, perda de credenciais, alimentação, funcionamento sem rede, registos e proteção de dados. As permissões precisam de responsável, validade e revisão periódica. Os testes devem verificar acessos permitidos e negados, alarmes, abertura de emergência e recuperação após falhas, e não apenas se o leitor reconhece um cartão.
Glossário IT
Biometria

Biometria reconhece ou verifica uma pessoa através de características físicas ou comportamentais, como impressão digital, rosto, íris ou voz. O sistema compara uma amostra com um modelo e produz uma probabilidade, não uma certeza absoluta. Qualidade do sensor, ambiente, população e limiar afetam falsos aceites e rejeições. Ao contrário de uma palavra-passe, uma característica biométrica não é facilmente substituída se o modelo for comprometido. A implementação deve justificar finalidade, base aplicável, minimização, retenção, proteção do modelo, alternativa para exceções e revisão humana. Deteção de vivacidade pode reduzir alguns ataques, mas também tem limites. Testes devem usar condições e utilizadores representativos, medir erros e confirmar revogação. Conveniência não elimina riscos de privacidade, acessibilidade ou indisponibilidade.
Glossário IT
RFID (Identificação por radiofrequência)

RFID (identificação por radiofrequência) identifica objetos ou credenciais etiquetados através de ondas de rádio. Uma solução combina etiquetas, leitores, antenas e software e pode usar frequências, alcances e velocidades diferentes. Etiquetas passivas obtêm energia do leitor; ativas incorporam fonte própria. RFID pode apoiar acesso, inventário e rastreabilidade, mas detetar uma etiqueta não prova identidade ou localização sem controlos de processo. Metal, líquidos, orientação e interferência afetam leituras. Segurança varia: um identificador pode ser observado ou copiado se não existir autenticação adequada. Um piloto deve testar etiquetas, ambiente, colisões, exceções, integração e reconciliação com o sistema que mantém o dado mestre. Mais leituras não significam inventário correto se o processo físico não estiver controlado.
Glossário IT
Qualidade do ar interior (IAQ)

Qualidade do ar interior (IAQ) descreve condições dentro de um edifício que podem afetar conforto, saúde e atividade, incluindo ventilação, dióxido de carbono, partículas, humidade, temperatura e compostos voláteis. Uma leitura de sensor é um indicador, não um diagnóstico: colocação, calibração, ocupação, ar exterior e método do equipamento influenciam o resultado. O dióxido de carbono pode ajudar a avaliar ventilação em espaços ocupados, mas não representa todos os poluentes. Um programa IAQ deve definir objetivo, locais, intervalo de amostragem, critérios aplicáveis, manutenção e responsável pelos alertas. Tendências e medições de confirmação são mais úteis do que um valor isolado. Ações corretivas devem considerar o edifício e o HVAC; questões de saúde ou conformidade exigem avaliação profissional competente.
Glossário IT
HVAC (Climatização)

HVAC reúne aquecimento, ventilação e ar condicionado para controlar condições interiores como temperatura, renovação do ar, humidade e conforto. O sistema pode incluir produção térmica, unidades de tratamento, condutas, ventiladores, sensores, controlo e alimentação, com responsabilidades diferentes. Climatização não equivale apenas a arrefecer: ventilação, filtragem, pressões e cargas do espaço influenciam o resultado. O desempenho depende do projeto, ocupação, manutenção, envolvente e clima exterior; um valor no termóstato não demonstra qualidade do ar ou eficiência. A operação deve definir horários, limites, alarmes, calibração, filtros e resposta a falhas. Tendências de energia e condições, juntamente com inspeção competente, ajudam a identificar desvios sem atribuir automaticamente a causa a um único equipamento.
Glossário IT
Sensor de CO₂

Um sensor de CO₂ mede a concentração de dióxido de carbono no ar e pode ajudar a observar ventilação em espaços ocupados. O valor é um indicador parcial, não uma medição completa da qualidade do ar nem prova direta de risco infeccioso. Precisão depende de tecnologia, calibração, localização, altura, fluxo, ocupação e manutenção. Colocá-lo junto a uma pessoa, janela ou insuflação pode distorcer leituras. O projeto deve definir objetivo, intervalo, registo, alarmes, responsável e ação prevista, usando critérios aplicáveis ao edifício e atividade. Comparar dispositivos sem verificar calibração pode induzir decisões erradas. A validação inclui referência, resposta a mudanças de ocupação e falhas de comunicação. Um painel verde no sistema não prova que o sensor esteja bem colocado ou a medir corretamente.
Glossário IT
IA generativa

IA generativa descreve modelos que produzem texto, imagens, código ou outros conteúdos a partir de instruções e contexto. A saída é probabilística e pode ser plausível mas incorreta, incompleta ou derivada de dados inadequados. O modelo não conhece automaticamente políticas internas nem confirma factos. Antes de uso empresarial devem definir-se finalidade, dados permitidos, revisão humana, direitos, retenção, segurança, fornecedores e resposta a erros. Informação sensível não deve ser enviada sem base e controlos apropriados. Integração com ferramentas pode ampliar impacto porque uma resposta passa a executar ações. A validação usa casos representativos, mede qualidade, risco e custo e mantém rastreabilidade proporcional. Automatizar geração não transfere responsabilidade; decisões relevantes precisam de supervisão, critérios e alternativa quando o serviço falha.
Glossário IT
LLM (Grande modelo de linguagem)

Um LLM (Large Language Model ou grande modelo de linguagem) é um modelo treinado para prever e gerar sequências de linguagem a partir de grandes conjuntos de dados. Pode resumir, classificar, extrair ou criar texto e código, mas a resposta é probabilística e pode conter factos inventados, vieses ou instruções inseguras. O modelo não consulta automaticamente uma fonte atual nem compreende responsabilidade empresarial. Uso adequado define dados permitidos, contexto, revisão humana, avaliação, retenção, fornecedores e limites de ação. Acrescentar pesquisa ou ferramentas pode melhorar utilidade e também ampliar impacto. Testes devem usar casos representativos e medir erro, segurança, latência e custo. Fluência não é prova de verdade; resultados importantes precisam de evidência verificável e alternativa quando o modelo falha.
Glossário IT
RPA (Automatização robótica de processos)

RPA (Robotic Process Automation ou automatização robótica de processos) utiliza bots de software para executar ações repetitivas e baseadas em regras em interfaces ou APIs, como copiar dados, validar campos ou gerar resultados de rotina. Funciona melhor em processos estáveis, com volume e decisões explícitas; entradas ambíguas ou aplicações que mudam frequentemente aumentam manutenção e falhas. Automatizar um processo deficiente pode multiplicar erros, pelo que o fluxo deve ser simplificado e controlado primeiro. Em produção são necessários gestão de credenciais, privilégio mínimo, registos, filas de exceção, monitorização, versões e um responsável pelo processo. A automação por interface tende a ser mais frágil do que uma API suportada. Deve existir recuperação manual e os benefícios precisam incluir custo de manutenção e casos não processados.
Glossário IT
Machine learning

Machine learning é uma área da inteligência artificial em que modelos identificam padrões em dados para classificar, prever, recomendar ou gerar resultados sem programar manualmente cada regra. O modelo aprende durante o treino, mas não “compreende” o problema como uma pessoa e pode reproduzir erros ou enviesamentos dos dados. A qualidade depende do objetivo, conjunto de treino, variáveis, validação e monitorização depois da implementação. Uma métrica elevada num teste não garante bom desempenho em dados novos nem em todos os grupos. Antes de usar machine learning convém definir decisão, responsável, privacidade, explicabilidade, tolerância ao erro e alternativa manual. Mudanças nos dados podem degradar o resultado, pelo que versões, sinais de drift e critérios de retirada devem ficar documentados.
Glossário IT
RMM (Monitorização e gestão remota)

RMM (Remote Monitoring and Management ou monitorização e gestão remota) é uma plataforma para observar e administrar equipamentos, servidores ou redes com agentes e integrações. Pode inventariar, alertar, executar scripts, distribuir mudanças e apoiar suporte, conforme produto e permissões. O acesso privilegiado concentra risco: identidade, MFA, funções, aprovação, registo e isolamento devem ser desenhados com cuidado. Um agente instalado não garante telemetria recente nem cobertura completa. Automações precisam de testes, limites, lotes e reversão porque um erro pode propagar-se. O processo deve distinguir saudável, sem alertas, desligado e desconhecido. Inventário RMM precisa de reconciliação com fontes autorizadas e baixas. A eficácia valida-se com falhas controladas, receção de alertas e resposta, não por quantidade de painéis verdes.
Glossário IT
Active Directory

Active Directory é o serviço de diretório da Microsoft usado para organizar identidades, computadores, grupos e políticas em domínios Windows. A autenticação depende de componentes como controladores de domínio, DNS, tempo e replicação; uma consola acessível não prova que todos funcionem corretamente. Grupos e políticas simplificam administração, mas privilégios herdados, contas antigas ou relações de confiança podem ampliar impacto. A operação deve separar funções administrativas, proteger credenciais, rever contas de serviço, manter cópias adequadas e monitorizar alterações sensíveis. Replicar controladores oferece disponibilidade, não substitui recuperação nem elimina corrupção lógica. Testes devem incluir início de sessão, políticas, DNS, replicação e restauração autorizada. Inventário, proprietários e ciclo de vida das contas são essenciais porque o diretório costuma ser uma dependência central de outros serviços.
Glossário IT
ITIL

ITIL é um conjunto de orientações para gerir produtos digitais e serviços IT através de princípios, práticas e melhoria contínua. Abrange incidentes, pedidos, mudanças, problemas, níveis de serviço e configuração, mas não é um mapa obrigatório de processos nem um produto de software. Cada organização seleciona e adapta práticas ao seu contexto em vez de implementar toda a terminologia. Uma adoção útil começa por resultados, papéis, fluxos de valor e evidência de onde o trabalho espera ou falha. As métricas devem refletir experiência e resultado de negócio, não apenas rapidez do ticket. Uma ferramenta apresentada como compatível com ITIL não demonstra responsabilidades eficazes. A revisão contínua deve equilibrar controlo e fluidez, pois aprovações excessivas também reduzem valor.
Glossário IT
Gestão de patches

Gestão de patches identifica, avalia, testa, distribui e verifica atualizações de sistemas operativos, aplicações, firmware e dispositivos. Instalar tudo imediatamente nem sempre é seguro, mas adiar sem critério mantém a exposição; a prioridade deve considerar gravidade, exploração, importância do ativo, dependências e controlos compensatórios. Inventário e estado de suporte são pré-requisitos, porque uma consola apenas informa sobre equipamentos que conhece e consegue contactar. O processo define responsáveis, janelas, cópias, piloto, exceções, reversão e tratamento de falhas. Algumas alterações exigem reinício ou requisitos prévios e podem afetar compatibilidade. A validação confirma a versão instalada e o funcionamento do serviço, não apenas a conclusão da tarefa. As métricas devem separar pendentes, excluídos, falhados e não observados.
Glossário IT
ISO 27001

ISO/IEC 27001:2022 é uma norma internacional com requisitos para estabelecer, implementar, manter e melhorar um sistema de gestão de segurança da informação. A abordagem parte do contexto, partes interessadas e riscos da organização e abrange pessoas, processos e tecnologia. Implementar a norma não equivale automaticamente a obter certificação. Um certificado deve ser verificado quanto a entidade, âmbito, versão, organismo emissor e validade; também não garante ausência de incidentes. O sistema precisa de liderança, política, avaliação e tratamento de riscos, objetivos, competências, operação, medição, auditoria e melhoria. Os controlos selecionados devem ser justificados no contexto, não copiados como lista universal. A aplicabilidade e versão atual devem confirmar-se em fontes oficiais, e uma definição resumida não substitui a norma nem uma avaliação competente. Guia completo: [ENS ou ISO 27001: qual precisa a sua PME e como certificar](/pt-PT/recursos/ens-ou-iso-27001-qual-precisa-a-sua-pme).
Glossário IT
PCI DSS

PCI DSS (Payment Card Industry Data Security Standard) define requisitos técnicos e operacionais para proteger dados de contas de pagamento em ambientes que os armazenam, processam ou transmitem, podendo também abranger prestadores capazes de afetar a sua segurança. O âmbito parte dos fluxos e sistemas ligados, não de uma lista genérica. Inclui controlos de rede, configuração, acesso, vulnerabilidades, registos, testes e políticas. Conformidade não elimina risco nem substitui outras obrigações. A forma de validação depende do papel da entidade e de requisitos de marcas de pagamento ou adquirentes. Reduzir dados, segmentar e conservar evidência facilita avaliação, mas cada exclusão precisa de justificação e revisão. A aplicabilidade deve ser confirmada com fontes oficiais e as partes competentes.
Glossário IT

Fale connosco

Precisa de ajuda com algum termo?

Traduzimos tecnologia para decisões claras, sem jargão desnecessário.

Conte-nos o seu caso Ver recursos

Vocabulário IT, sem jargão.

NIS2

Esquema Nacional de Segurança (ENS)

DORA

RGPD

EDR (Endpoint Detection and Response)

XDR (Extended Detection and Response)

MDR (Managed Detection and Response)

SOC (Centro de Operações de Segurança)

SIEM (Security Information and Event Management)

Zero Trust

MFA (Autenticação multifator)

DLP (Prevenção de perda de dados)

Ransomware

Phishing

Regra de backup 3-2-1

RPO e RTO

vCISO (CISO virtual)

SD-WAN

Microsoft 365

Teste de penetração (pentest)

Segmentação IT/OT

SCADA

OEE (Eficiência global dos equipamentos)

Indústria 4.0

WMS (Sistema de gestão de armazém)

POS (Ponto de venda)

Omnicanalidade

VLAN

Modelo Purdue

SLA (Acordo de nível de serviço)

Serviços IT geridos (MSP)

Outsourcing IT

Virtualização

Alta disponibilidade (HA)

Recuperação de desastres (DR)

Plano de continuidade de negócio (BCP)

Backup imutável

Firewall

VPN (Rede privada virtual)

SAN (Rede de área de armazenamento)

Helpdesk

Endpoint

Hiperconvergência (HCI)

VoIP (Voz sobre IP)

IaaS (Infraestrutura como serviço)

PaaS (Plataforma como serviço)

SaaS (Software como serviço)

Cloud híbrida

Microsoft Azure

Migração para a cloud

PoE (Power over Ethernet)

Fibra ótica

Cablagem estruturada

Switch de rede

Largura de banda

QoS (Qualidade de serviço)

DNS (Sistema de nomes de domínio)

Wi-Fi 6

NAC (Controlo de acesso à rede)

IDS / IPS (Deteção e prevenção de intrusões)

WAF (Firewall de aplicações web)

Ataque DDoS

Central telefónica virtual

SIP (Session Initiation Protocol)

Troncal SIP

IVR (Resposta de voz interativa)

CCTV (Circuito fechado de televisão)

NVR (Gravador de vídeo em rede)

Câmara IP

ONVIF

Analítica de vídeo

LPR (Reconhecimento de matrículas)

Controlo de acessos

Biometria

RFID (Identificação por radiofrequência)

Qualidade do ar interior (IAQ)

HVAC (Climatização)

Sensor de CO₂

IA generativa