Cloud empresarial, Microsoft 365 e Azure. Sem sustos na fatura, sem surpresas na segurança.

O cloud já não é o destino, é o ponto de partida

Há dez anos, “ir para o cloud” era uma decisão estratégica que se discutia durante meses em comité. Hoje, é a base sobre a qual se constrói qualquer projeto IT sério: correio, escritório e colaboração, armazenamento, cópias de segurança, identidade, análise de dados. A pergunta mudou por completo — já não é se deve mover a infraestrutura para o cloud, mas como fazê-lo bem para que a fatura não duplique ao fim de 18 meses, a segurança seja real e os utilizadores trabalhem melhor, não pior.

Na Impulso Tecnológico, desenhamos, migramos e operamos ambientes cloud para empresas médias desde antes de o Microsoft 365 ter esse nome. Migrámos os primeiros mailboxes para BPOS em 2011, movemo-los para Office 365 quando mudou de designação e, agora, gerimos e governamos em Microsoft 365 com Defender, Purview, Entra ID e todo o ecossistema associado. A diferença entre um cloud que funciona e um cloud que pesa não está na ferramenta — está em como é desenhado, segmentado, licenciado e operado. E é isso que fazemos.

Microsoft 365: o terreno comum do posto de trabalho moderno

O Microsoft 365 é provavelmente a plataforma mais completa — e, ao mesmo tempo, a mais mal aproveitada — do mercado atual. A maioria das empresas que nos procura utiliza apenas três das quinze funcionalidades que paga: correio, Teams para videoconferência e OneDrive como disco pessoal. O restante (SharePoint estruturado, Power Automate, Defender, Purview, Intune, Entra ID Conditional Access) está pago, mas “desligado”. O nosso trabalho, antes de migrar qualquer coisa nova, é ativar o que o cliente já tem e demonstrar o retorno antes de propor mais licenças.

Quando existe migração real, fazemos com metodologia própria:

• Análise prévia: auditoria do estado atual (Exchange on-prem, Google Workspace, IMAP genérico…) e inventário de mailboxes, distribuições, salas, recursos partilhados, calendários e regras. Sem inventário, não há migração limpa.
• Migração por vagas: nunca para toda a gente ao mesmo tempo. Começamos com um grupo piloto, ajustamos o que falha e avançamos por departamentos em janelas planeadas — com coexistência de mailboxes para não haver perda de correio durante o período de sobreposição.
• Ativação de segurança base desde o primeiro dia: MFA obrigatória, bloqueio de protocolos legados (IMAP/POP/SMTP básico), políticas anti-phishing do Defender for Office 365, registo de auditoria ativado e revisto.
• Formação ao utilizador no momento da mudança: não manuais em PDF que ninguém lê, mas microvídeos de 3 minutos enviados no dia da migração com o que muda no dia a dia.

Microsoft Azure: infraestrutura quando precisa, não antes

O Azure é a outra perna do cloud Microsoft e a que mais confusão gera em empresas médias. A diferença face ao Microsoft 365 é simples: M365 é software como serviço (consome aplicações já prontas); Azure é infraestrutura e plataforma como serviço (constrói o que precisa sobre máquinas, redes e serviços geridos). Na Impulso implementamos Azure quando existe um caso de uso real:

• Servidores virtuais para aplicações que não encaixam em SaaS (ERP proprietário, software de engenharia específico, ambientes de desenvolvimento, terminal server com licenças por utilizador).
• Bases de dados geridas (Azure SQL, MySQL flexível, PostgreSQL) quando o cliente quer retirar a manutenção do motor, mantendo controlo sobre os dados.
• Backup e disaster recovery com replicação geográfica para cargas críticas — a cópia imutável no Azure Blob é um dos argumentos mais fortes contra ransomware.
• Ambientes híbridos ligados com ExpressRoute ou VPN site-to-site, quando existem servidores físicos que ainda não é possível migrar (impressoras industriais, controladores de fábrica, infraestrutura legada com dependências).

O que não fazemos é implementar Azure por moda. Se a carga de trabalho funciona melhor num servidor on-premise bem dimensionado e mantido, dizemo-lo. O cloud não é a resposta certa para todas as perguntas — é a resposta certa para as perguntas certas.

Licenciamento e FinOps: o cloud fica caro quando não é governado

O grande segredo do cloud — o que os comerciais evitam mencionar — é que, sem disciplina financeira, o custo mensal cresce silenciosamente até duplicar o orçamento previsto. Máquinas virtuais ligadas que ninguém usa, cópias de segurança sem política de retenção, licenças E5 atribuídas a utilizadores que só precisam de Business Standard, contentores de testes que continuam a correr há um ano e meio. Na Impulso aplicamos um modelo FinOps contínuo para cada cliente:

• Revisão mensal do consumo: relatório executivo com custo por departamento, top 10 dos recursos mais caros e proposta de otimização com poupança estimada.
• Rightsizing automático: análise do uso real de CPU/memória/disco em máquinas Azure para detetar sobrecapacidade e propor redimensionamento sem afetar o desempenho.
• Reserved Instances e Savings Plans: compromisso a um ou três anos para cargas previsíveis, com descontos de 30-65% face ao preço “pay-as-you-go”.
• Auditoria trimestral de licenças M365: deteção de contas inativas, licenças sobredimensionadas para o perfil real do utilizador e alinhamento entre o faturado e o realmente utilizado.

Segurança da identidade: no cloud, a identidade é o novo perímetro

Quando os servidores estavam numa sala com chave, o perímetro era físico. No cloud, a identidade é o novo perímetro — e por isso quase todos os ataques atuais começam com credenciais roubadas, não com vulnerabilidades técnicas. O nosso padrão mínimo para qualquer tenant Microsoft 365 inclui:

• MFA obrigatória para 100% dos utilizadores, sem exceções (nem executivos nem administradores). Preferencialmente com Microsoft Authenticator + number matching, não SMS.
• Conditional Access: políticas que bloqueiam acessos a partir de geografias não autorizadas, dispositivos não geridos, sessões com risco detetado pelo Entra ID Protection, ou clientes legados sem capacidade de MFA.
• Privileged Identity Management (PIM): funções administrativas atribuídas just-in-time — um técnico não é administrador global todo o dia; é durante a hora que precisa para uma tarefa concreta, com aprovação e registo.
• Defender for Office 365 Plan 2: proteção anti-phishing avançada, sandbox para anexos suspeitos, simulação de ataques internos para treino.
• Defender for Endpoint integrado com o tenant: os postos de trabalho Windows reportam para o mesmo Security Center que o cloud, com resposta automatizada perante indicadores de compromisso.

Backup do Microsoft 365: o que a Microsoft não faz por si

Existe uma confusão perigosa muito comum: “Se os meus dados estão no Microsoft 365, a Microsoft faz o backup”. Falso. A Microsoft replica dados para garantir a disponibilidade do serviço (para que o correio não se perca se cair um datacenter), mas não protege contra eliminações acidentais, ataques internos, ransomware que cifre OneDrive, ou erros humanos para além da sua janela de retenção (30-93 dias consoante o serviço). A responsabilidade do backup recai sobre o cliente. Na Impulso implementamos Veeam Backup for Microsoft 365 como padrão:

• Backup diário de mailboxes, OneDrive, SharePoint e Teams com retenção configurável (um ano mínimo, retenção legal quando aplicável).
• Armazenamento em cloud independente (Azure Blob imutável ou objetos S3 com Object Lock) para que nem um compromisso do tenant consiga apagar as cópias.
• Restauro granular: um email específico, uma versão anterior de um documento, uma conversa de Teams, um site completo de SharePoint.
• Testes trimestrais de restauro documentados. Um backup não testado é uma suposição, não uma proteção.

Governação de Teams, SharePoint e OneDrive

Microsoft 365 sem governação é uma selva ao fim de seis meses: centenas de equipas criadas sem critério, ficheiros importantes no OneDrive pessoal de pessoas que já não estão, acessos externos distribuídos sem controlo, sites SharePoint sem proprietário. Desenhamos e implementamos um enquadramento de governação adaptado ao cliente:

• Política de criação de Teams com templates aprovados e padrão de nomenclatura consistente.
• Sensitivity labels (Purview) para classificar informação confidencial e restringir a partilha externa.
• Revisão periódica de acessos externos: convidados B2B inativos, links de partilha públicos, acessos herdados.
• Migração de OneDrive pessoal para SharePoint quando o documento é de equipa, não do utilizador.
• Retenção e eliminação automática de acordo com a política documental — alinhada com RGPD e normas setoriais.

Suporte e operação: quando o cloud falha, à segunda-feira às 9

Toda esta arquitetura fica bem em apresentações, mas a realidade é que o cloud também falha. Um utilizador fica sem acesso ao Teams numa reunião com cliente. Um tenant inteiro perde conectividade por uma alteração de DNS mal feita. Uma licença E5 fica sem atribuição porque mudou o plano de faturação. É para isso que existe o nosso serviço de operação cloud contínuo:

• Suporte 9×5 com SLA de resposta inferior a 1 hora para incidentes críticos.
• Prevenção 24×7 opcional para ambientes em que a operação não pode parar.
• Monitorização proativa do estado do tenant (Service Health, alertas de segurança, anomalias de utilização).
• Suporte multilingue (português, inglês e espanhol) — relevante para clientes com operação na Península Ibérica e mercados internacionais.

Como trabalhamos

Cada projeto cloud entra pela valoração gratuita (1 hora, presencial ou remota) → auditoria técnica do ambiente atual e plano de migração (1-3 semanas consoante o volume) → proposta fechada com orçamento fixo por fase → execução por vagas sem parar o negócio → operação contínua com SLA, FinOps mensal e revisão trimestral de segurança.

Se a sua empresa tem um incidente cloud crítico neste momento, contacte o +34 91 505 7575. A primeira resposta chega em minutos, não em dias.