{"id":202,"date":"2026-09-29T09:00:00","date_gmt":"2026-09-29T09:00:00","guid":{"rendered":"https:\/\/leiritech.pt\/blog\/auditoria-acessos-ia-pme-mes-ciberseguranca"},"modified":"2026-09-29T09:00:00","modified_gmt":"2026-09-29T09:00:00","slug":"auditoria-acessos-ia-pme-mes-ciberseguranca","status":"publish","type":"post","link":"https:\/\/leiritech.pt\/blog\/auditoria-acessos-ia-pme-mes-ciberseguranca","title":{"rendered":"Que acessos deste \u00e0 IA? Revis\u00e3o de 30 min para PME"},"content":{"rendered":"<p>&quot;Lig\u00e1mos aquele assistente ao email para resumir as reuni\u00f5es, depois experiment\u00e1mos outro para as propostas, e o estagi\u00e1rio p\u00f4s um terceiro a ler a Drive por causa de um relat\u00f3rio.&quot; Se isto te soa familiar, o problema n\u00e3o \u00e9 a IA ser perigosa. O problema \u00e9 que ningu\u00e9m na empresa sabe dizer, hoje, que ferramentas t\u00eam a chave de qu\u00ea.<\/p>\n<p>Outubro \u00e9 o M\u00eas Europeu da Ciberseguran\u00e7a, coordenado em Portugal pelo CNCS, e a conversa vai ser a do costume: passwords fortes, cuidado com o phishing, autentica\u00e7\u00e3o de dois fatores. Tudo certo. Mas h\u00e1 uma porta que quase ningu\u00e9m menciona e que, numa PME que andou a experimentar IA no \u00faltimo ano, costuma estar escancarada: <strong>os acessos que foste dando \u00e0s ferramentas de IA e que ficaram l\u00e1 depois de deixares de as usar.<\/strong><\/p>\n<p>Este artigo explica porque \u00e9 que esse \u00e9 o risco real (mais do que o modelo &quot;inventar&quot;), e d\u00e1-te uma revis\u00e3o que se faz em 30 minutos, com uma pessoa e um caf\u00e9.<\/p>\n<h2>O risco n\u00e3o est\u00e1 no modelo, est\u00e1 na autoriza\u00e7\u00e3o<\/h2>\n<p>Quando carregas em &quot;Iniciar sess\u00e3o com Google&quot; ou &quot;Permitir acesso&quot; numa ferramenta de IA, n\u00e3o est\u00e1s s\u00f3 a fazer login. Est\u00e1s a assinar uma autoriza\u00e7\u00e3o (tecnicamente, um token OAuth) que diz: esta aplica\u00e7\u00e3o pode ler o meu email, ou os meus ficheiros, ou o meu calend\u00e1rio \u2014 \u00e0s vezes pode tamb\u00e9m enviar, editar e apagar. E essa autoriza\u00e7\u00e3o <strong>n\u00e3o expira quando fechas o separador<\/strong>. Fica ativa at\u00e9 algu\u00e9m a revogar.<\/p>\n<p>Tr\u00eas coisas tornam isto pior numa PME do que numa empresa grande:<\/p>\n<ul>\n<li><strong>N\u00e3o h\u00e1 departamento de TI a ver a lista.<\/strong> Quem autorizou foi o comercial, a contabilista, o estagi\u00e1rio \u2014 cada um na sua conta, sem ningu\u00e9m a centralizar.<\/li>\n<li><strong>O \u00e2mbito pedido \u00e9 quase sempre o m\u00e1ximo.<\/strong> Uma ferramenta que s\u00f3 precisava de ler os anexos de faturas pede &quot;ler, compor, enviar e eliminar email&quot;, porque \u00e9 mais f\u00e1cil para quem a fez. E tu carregaste em &quot;Permitir&quot;.<\/li>\n<li><strong>As pessoas saem, as autoriza\u00e7\u00f5es ficam.<\/strong> Um ex-colaborador que ligou um assistente \u00e0 conta partilhada <code>geral@<\/code> deixou uma aplica\u00e7\u00e3o de terceiros com acesso \u00e0 caixa por onde passam encomendas, IBANs e faturas.<\/li>\n<\/ul>\n<p>N\u00e3o \u00e9 por acaso que, segundo o INE, entre as empresas portuguesas que ainda n\u00e3o usam IA, 55,4% apontam a privacidade como trav\u00e3o e 57,3% a falta de clareza sobre responsabilidades. A intui\u00e7\u00e3o est\u00e1 certa. O que falta \u00e9 transformar o medo numa lista que se verifica.<\/p>\n<p><img decoding=\"async\" src=\"https:\/\/leiritech.pt\/blog\/wp-content\/uploads\/2026\/09\/blog-auditoria-acessos-ia-pme-mes-ciberseguranca-1.png\" alt=\"Dona de uma PME rev\u00ea, no port\u00e1til, a lista de aplica\u00e7\u00f5es ligadas \u00e0 conta da empresa, com uma checklist em papel ao lado\" \/><\/p>\n<h2>A revis\u00e3o de 30 minutos, passo a passo<\/h2>\n<p>Faz isto uma vez agora e depois uma vez por trimestre. Precisas de quem tem a conta de administrador do Google Workspace ou do Microsoft 365 (se n\u00e3o sabes quem \u00e9, esse \u00e9 o primeiro achado).<\/p>\n<p><strong>1. Faz o invent\u00e1rio (10 minutos).<\/strong> Na consola de administra\u00e7\u00e3o do Google Workspace, a sec\u00e7\u00e3o de controlos de API mostra as aplica\u00e7\u00f5es de terceiros com acesso \u00e0s contas da empresa; no Microsoft 365, \u00e9 a lista de aplica\u00e7\u00f5es empresariais no Entra. Se usas contas pessoais ou n\u00e3o tens consola, cada pessoa abre a \u00e1rea de seguran\u00e7a da sua conta e v\u00ea as &quot;apps com acesso&quot;. Escreve numa folha: nome da ferramenta, quem autorizou, a que tem acesso, quando foi usada pela \u00faltima vez.<\/p>\n<p><strong>2. Retira o que ningu\u00e9m usa (5 minutos).<\/strong> Regra simples: se ningu\u00e9m consegue dizer para que serve ou n\u00e3o foi usada nos \u00faltimos 90 dias, sai. Numa empresa de 15 pessoas que andou a testar IA, \u00e9 normal encontrares entre cinco e dez autoriza\u00e7\u00f5es esquecidas. Revogar n\u00e3o apaga nada teu \u2014 s\u00f3 corta o acesso.<\/p>\n<p><strong>3. Reduz o \u00e2mbito do que fica (5 minutos).<\/strong> Para cada ferramenta que sobrevive, pergunta: precisa mesmo de <em>escrever<\/em>? Um assistente que resume reuni\u00f5es precisa de ler o calend\u00e1rio, n\u00e3o de enviar email em teu nome. Se a ferramenta n\u00e3o permite menos do que acesso total, isso \u00e9 informa\u00e7\u00e3o: talvez n\u00e3o seja a ferramenta certa para dados da empresa.<\/p>\n<p><strong>4. Troca as chaves partilhadas (5 minutos).<\/strong> Chaves de API (a &quot;password&quot; que liga uma ferramenta \u00e0 OpenAI, a um CRM ou ao ERP) acabam coladas em folhas de Excel, em mensagens de WhatsApp, em scripts de algu\u00e9m. Se uma chave foi partilhada ou n\u00e3o sabes onde est\u00e1, gera uma nova e desativa a antiga. Custa cinco minutos e fecha uma porta que n\u00e3o sabias que estava aberta.<\/p>\n<p><strong>5. Regista quem aprovou o qu\u00ea (5 minutos).<\/strong> Uma tabela com quatro colunas \u2014 ferramenta, acesso, respons\u00e1vel, data de revis\u00e3o \u2014 chega. \u00c9 isto que, daqui a tr\u00eas meses, torna a pr\u00f3xima revis\u00e3o numa confer\u00eancia de dez minutos em vez de uma arqueologia.<\/p>\n<p><img decoding=\"async\" src=\"https:\/\/leiritech.pt\/blog\/wp-content\/uploads\/2026\/09\/blog-auditoria-acessos-ia-pme-mes-ciberseguranca-2.png\" alt=\"Respons\u00e1vel de opera\u00e7\u00f5es de um armaz\u00e9m desativa, na consola de administra\u00e7\u00e3o, o acesso de um ex-colaborador, com o port\u00e1til e o crach\u00e1 devolvidos em cima da secret\u00e1ria\" \/><\/p>\n<h2>Um exemplo concreto: a distribuidora com a caixa geral@<\/h2>\n<p>Imagina uma distribuidora de material el\u00e9trico em Leiria, 20 pessoas. Na revis\u00e3o encontram sete aplica\u00e7\u00f5es ligadas \u00e0s contas da empresa. Tr\u00eas s\u00e3o de um teste de &quot;IA para responder a emails&quot; feito em mar\u00e7o por um comercial que j\u00e1 saiu \u2014 e uma delas tem permiss\u00e3o para enviar email a partir de <code>encomendas@<\/code>. Outra \u00e9 uma extens\u00e3o de navegador que &quot;resume p\u00e1ginas&quot; e pediu acesso \u00e0 Drive inteira, onde est\u00e3o as tabelas de pre\u00e7os e as condi\u00e7\u00f5es de cada cliente. A chave da API do assistente que gera propostas est\u00e1 num ficheiro Excel partilhado com toda a equipa comercial.<\/p>\n<p>Resultado da meia hora: quatro autoriza\u00e7\u00f5es revogadas, duas reduzidas a leitura, uma chave trocada, uma tabela criada. N\u00e3o se gastou um euro. E a pergunta &quot;quem pode mandar um email em nome da empresa com um IBAN novo?&quot; passou a ter uma resposta.<\/p>\n<h2>A obje\u00e7\u00e3o: &quot;ent\u00e3o mais vale n\u00e3o ligar a IA a nada&quot;<\/h2>\n<p>N\u00e3o. Uma IA que n\u00e3o v\u00ea os teus dados s\u00f3 serve para escrever textos gen\u00e9ricos \u2014 e os ganhos reais numa PME est\u00e3o precisamente em perguntar coisas aos teus dados: o stock de um artigo, as faturas em atraso de um cliente, as encomendas da semana. A quest\u00e3o n\u00e3o \u00e9 <em>se<\/em> ligas, \u00e9 <em>como<\/em>.<\/p>\n<p>Tr\u00eas regras distinguem uma liga\u00e7\u00e3o segura de uma porta aberta:<\/p>\n<ul>\n<li><strong>S\u00f3 leitura por defeito.<\/strong> Se a ferramenta s\u00f3 precisa de responder a perguntas, n\u00e3o deve conseguir alterar, enviar ou apagar nada. Isto elimina a maior parte do risco \u00e0 partida.<\/li>\n<li><strong>Permiss\u00f5es m\u00ednimas e por pessoa.<\/strong> O armaz\u00e9m v\u00ea stock; a fatura\u00e7\u00e3o v\u00ea faturas; ningu\u00e9m v\u00ea tudo s\u00f3 porque a ferramenta &quot;d\u00e1 jeito&quot;.<\/li>\n<li><strong>Registo de tudo.<\/strong> Cada pergunta e cada resposta ficam guardadas: quem perguntou, o qu\u00ea, a que dados a IA foi buscar a resposta. Se algo correr mal, sabes exatamente o qu\u00ea.<\/li>\n<\/ul>\n<p>\u00c9 assim que constru\u00edmos o Nemea na Leiritech: perguntas ao teu ERP (por exemplo, o PHC que j\u00e1 usas) em portugu\u00eas, no WhatsApp, e a resposta vem dos teus dados reais \u2014 mas a liga\u00e7\u00e3o \u00e9 s\u00f3 de leitura, cada utilizador v\u00ea apenas o que o seu perfil permite, e cada pergunta fica auditada. N\u00e3o \u00e9 uma quest\u00e3o de confian\u00e7a na IA; \u00e9 uma quest\u00e3o de arquitetura. Uma IA que n\u00e3o consegue escrever no ERP n\u00e3o consegue estragar o ERP.<\/p>\n<p><img decoding=\"async\" src=\"https:\/\/leiritech.pt\/blog\/wp-content\/uploads\/2026\/09\/blog-auditoria-acessos-ia-pme-mes-ciberseguranca-3.png\" alt=\"Chefe de equipa num corredor de armaz\u00e9m consulta o stock ao ERP pelo WhatsApp no telem\u00f3vel\" \/><\/p>\n<h2>Onde isto n\u00e3o chega (sendo honesto)<\/h2>\n<p>A revis\u00e3o de 30 minutos n\u00e3o substitui uma pol\u00edtica de seguran\u00e7a, c\u00f3pias de seguran\u00e7a testadas ou forma\u00e7\u00e3o contra phishing \u2014 trata de uma porta espec\u00edfica. Tamb\u00e9m n\u00e3o resolve o &quot;shadow IT&quot; de quem cola dados de clientes em ferramentas gratuitas sem ligar nada: isso \u00e9 uma conversa de regras internas, n\u00e3o de permiss\u00f5es. E se tens dados de sa\u00fade ou dados sens\u00edveis de clientes, o RGPD pede mais do que uma tabela: registo de atividades de tratamento e, muitas vezes, uma avalia\u00e7\u00e3o de impacto. A\u00ed, vale a pena falar com quem trata da tua prote\u00e7\u00e3o de dados.<\/p>\n<h2>Para fazer esta semana<\/h2>\n<p>Marca 30 minutos na primeira semana de outubro. Abre a consola, faz a lista, revoga o que ningu\u00e9m defende, reduz o resto a leitura, troca as chaves partilhadas e escreve quem aprovou o qu\u00ea. Repete em janeiro.<\/p>\n<p>Se, ao fazer a lista, perceberes que queres mesmo p\u00f4r a equipa a perguntar coisas ao ERP \u2014 mas com uma liga\u00e7\u00e3o s\u00f3 de leitura e auditada, em vez de mais uma app com acesso total \u2014 fala connosco em hello@leiritech.com ou em leiritech.pt. Somos uma equipa pequena em Leiria, e quem te responde \u00e9 quem escreve o c\u00f3digo.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Aquela app de IA que testaste em mar\u00e7o ainda l\u00ea o email da empresa. Revis\u00e3o de 30 minutos para o M\u00eas da Ciberseguran\u00e7a: revogar, reduzir, registar.<\/p>\n","protected":false},"author":1,"featured_media":199,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[2],"tags":[281,280,206,282,284,283,285],"class_list":["post-202","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-literacia-de-ia-para-pme","tag-acessos-ferramentas-ia","tag-ciberseguranca-pme","tag-ia-read-only","tag-mes-europeu-da-ciberseguranca","tag-permissoes-microsoft-365","tag-revogar-acesso-apps-google-workspace","tag-rgpd-inteligencia-artificial"],"_links":{"self":[{"href":"https:\/\/leiritech.pt\/blog\/wp-json\/wp\/v2\/posts\/202","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/leiritech.pt\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/leiritech.pt\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/leiritech.pt\/blog\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/leiritech.pt\/blog\/wp-json\/wp\/v2\/comments?post=202"}],"version-history":[{"count":0,"href":"https:\/\/leiritech.pt\/blog\/wp-json\/wp\/v2\/posts\/202\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/leiritech.pt\/blog\/wp-json\/wp\/v2\/media\/199"}],"wp:attachment":[{"href":"https:\/\/leiritech.pt\/blog\/wp-json\/wp\/v2\/media?parent=202"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/leiritech.pt\/blog\/wp-json\/wp\/v2\/categories?post=202"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/leiritech.pt\/blog\/wp-json\/wp\/v2\/tags?post=202"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}