GCA-Toolkit-Handbook-PT (1).pdf

Manual do Kit de ferramentas de cibersegurança da GCA para pequenas

empresas

1 | Manual do Kit de ferramentas de cibersegurança da GCA para pequenas empresas

Damos-lhe as boas-vindas

Estimado(a) colega:Atualmente, a Internet é parte integrante da atividade da maioria das empresas. Proteger o ecossistema digital da sua empresa deve fazer parte dos seus métodos de trabalho. Um ciberataque pode ter consequências devastadoras, incluindo perdas Ƥnanceiras, roubo de informações conƤdenciais, cadeias de fornecimento comprometidas, etc.Tem inúmeras outras preocupações e responsabilidades, pelo que trabalhámos para fornecer um recurso que pode realmente utilizar para satisfazer as suas necessidades de cibersegurança. O Kit de ferramentas de cibersegurança da Global Cyber Alliance (GCA) para pequenas empresas fornece ferramentas gratuitas e eƤcientes para reduzir o ciberrisco. As ferramentas são selecionadas e organizadas cuidadosamente para encontrar e implementar facilmente medidas importantes que irão ajudar a defender a sua empresa contra ciberameaças. Incluímos vídeos e também um fórum da comunidade onde pode encontrar suporte e ver as suas perguntas respondidas pelos seus pares e especialistas em segurança. O kit de ferramentas foi criado a pensar em si e não numa pequena empresa hipotética com uma equipa de especialistas

em cibersegurança e um grande orçamento.O Manual do kit de ferramentas de cibersegurança da GCA para pequenas empresas é um complemento do kit de ferramentas que lhe dá orientações de utilização. Pode transferir o manual na íntegra ou capítulo a capítulo, à medida que avança nas ações recomendadas no kit de ferramentas. Este guia permite-lhe trabalhar ao seu próprio ritmo para tomar medidas e irá servir de documento de referência útil para sua conveniência.Estes recursos serão atualizados regularmente com os contributos de utilizadores, especialistas

do setor e parceiros de todo o mundo.Esperamos que tire partido do kit de ferramentas e do manual para começar a melhorar a sua

cibersegurança hoje mesmo!Atenciosamente,

Philip Reitinger

PRESIDENTE E CEO

1 | Manual do Kit de ferramentas de cibersegurança da GCA para pequenas empresas

Índice

Capítulos do manual

Conheça o seu sistema .......................................3

Atualize as suas defesas ....................................5

Muito mais do que simples palavras-passe ......8

Impeça o phishing e o malware ........................11

Cópia de segurança e recuperação ..................13

Proteja o seu e-mail e a sua reputação ...........15

Glossário de termos ..........................................18

2 | Manual do Kit de ferramentas de cibersegurança da GCA para pequenas empresas

Caixa de ferramentas 1 Conheça o seu sistema

Conheça o seu sistema

Que problema é abordado nesta caixa de ferramentas?

Determinar os recursos de que dispõe é o primeiro passo para melhorar a segurança, simplesmente porque não pode proteger o que não sabe que tem. Tenha em conta que muitos ciberataques e falhas de segurança dos dados ocorrem devido à perda ou ao roubo de portáteis e outros dispositivos, acesso não autorizado a contas e vulnerabilidades de software sem patches. Ao determinar que computadores, dispositivos e software (ou seja, os seus ativos) tem, pode compreender melhor os riscos potenciais existentes e, portanto, tomar decisões informadas e medidas de redução desses riscos. f  Sabe quantos portáteis e dispositivos móveis a sua empresa tem, quem tem acesso aos mesmos e que software e aplicações foram instalados? f  Sabe quantos anos têm os seus computadores e quando foi a última vez que

fez uma atualização de segurança? f  Tem algum sistema ou dispositivo ligado à Internet (como câmaras de segurança ou controlos de edifícios) que também esteja ligado à rede

da empresa? Estes ativos podem abrir uma porta de acesso ao seu ambiente empresarial que permite a um hacker roubar ou daniƤcar os seus dados. Sem sombra de dúvida que saber que dispositivos e sistemas tem é fundamental. Alguns dos seus ativos são mais críticos para as operações empresariais do que outros. Dispor de um inventário completo e atualizado ajuda a priorizar o que precisa de ser protegido e em que nível.

O que esta caixa de ferramentas ajuda a concretizar?

Como utilizar a caixa de ferramentas

Utilize as ferramentas da Caixa de ferramentas Conheça o seu sistema para identiƤcar mais facilmente todos os seus dispositivos (incluindo computadores, portáteis, smartphones e impressoras) e aplicações (por exemplo, e-mail, software, browsers e sites) para poder tomar as medidas de proteção necessárias.Este inventário irá servir como guia e lista de veriƤcação à medida que explora as restantes caixas de ferramentas. CertiƤque-se de que mantém o inventário atualizado, inclusive sempre que adicionar ou eliminar novos equipamentos,

Depois de concluir esta caixa de ferramentas, compreenderá melhor:f como r ealizar um inventário dos seus dados e sistemas f  que dispositivos e aplicações são críticos para as operações da sua empresa

contas ou dados críticos. TransƤra as ferramentas a partir do site e anote as datas de conclusão. Além disso, aproveite esta oportunidade para agendar uma revisão regular para garantir que todas as informações estão atualizadas.

3 | Manual do Kit de ferramentas de cibersegurança da GCA para pequenas empresas

Caixa de ferramentas 1 Conheça o seu sistema

Ligações disponíveis em Conheça o seu sistema:

Navegar nas subcategorias da caixa de ferramentas e informações adicionais a ter em conta

1.1 IdentiƤque os dispositivos

Quando criar um inventário, é importante ter em conta tudo o que existe no ambiente. Isto inclui itens como computadores, portáteis, smartphones, impressoras, CCTV, PoS, dispositivos IoT e routers.Muitos dispositivos IoT de consumo têm poucas ou nenhumas capacidades de segurança integradas. Portanto, pondere se é possível excluí-los da rede

Kit de ferramentas: caixa de ferramentas Conheça o seu

sistema

https://gcatoolkit.org/pt-pt/pequenas-empresas/saiba-

ou removê-los completamente. A garantia dos equipamentos mais antigos pode ter expirado, expondo-os a novas vulnerabilidades, embora sejam importantes para as operações empresariais. Estes equipamentos devem ser identiƤcados como parte do inventário e deve ser elaborado um plano de substituição, atualização

o-que-tem/

Fórum da comunidade: categoria Conheça o seu sistema

ou restrição da respetiva utilização. Por vezes, muitos dispositivos, como routers, CCTV e impressoras, são esquecidos quando se pensa no ambiente de TI. Contudo, tudo o que tenha uma ligação à Internet ou rede local deve ser considerado aquando da realização do inventário de ativos, uma vez que, regra geral, estas ligações constituem frequentemente uma porta que facilita o acesso à empresa.IdentiƤque onde os dados conƤdenciais e críticos do negócio são mantidos, seja em dispositivos autónomos, ligados à rede ou na nuvem. É provável que estes dispositivos necessitem de níveis de proteção adicionais, mas o primeiro passo é documentar onde tudo é guardado.

https://community.globalcyberalliance.org/c/cybersecurity-toolbox/know-what-you-have/

1.2 IdentiƤque as aplicações

IdentiƤque todas as aplicações, incluindo aplicações empresariais, contas online que utilizam o seu endereço de e-mail empresarial e outras aplicações a que acede local ou remotamente através dos seus dispositivos.É importante considerar todas as aplicações e contas, e lembrar-se de todas aquelas que já não utiliza porque são as mais suscetíveis de terem software desatualizado. Se não proporcionarem qualquer benefício, remova-as ou feche as contas. Uma conta online antiga pode conter algumas das suas informações pessoais e, se a organização para a qual conƤgurou originalmente essa conta for alvo de uma falha de segurança, os seus dados poderão ser afetados. Pode encontrar informações adicionais, suporte e orientação durante a implementação na categoria Conheça o seu sistema do Fórum da

comunidade da GCA.

4 | Manual do Kit de ferramentas de cibersegurança da GCA para pequenas empresas

Caixa de ferramentas 2 Atualize as suas defesas

Atualize as suas defesas

O que esta caixa de ferramentas a concretizar?

ajuda

Que problema é abordado nesta caixa de ferramentas?

Depois de concluir esta caixa de ferramentas, compreenderá melhor:f  veriƤcar se está a utilizar a versão mais recente do software no dispositivof deƤnir os dispositiv os para aceitarem e aplicarem automaticamente atualizações de segurançaf implementar deƤnições de conƤguração seguras para dispositivos móveis, browsers e sistemas

Os cibercriminosos procuram fragilidades e falhas (conhecidas como vulnerabilidades) que podem ser utilizadas para obterem acesso a sistemas ou distribuir software malicioso. Os atores maliciosos podem obter acesso às contas Ƥnanceiras da empresa, aos dados dos clientes e muito mais. Pode atualizar as suas defesas para ajudar proteger a sua empresa contra estas ameaças (ou seja, mantendo os sistemas, dispositivos e dados atualizados). Os fabricantes e os programadores de software disponibilizam regularmente atualizações de segurança para os respetivos sistemas operativos e aplicações que resolvem fragilidades ou vulnerabilidades recém-descobertas. Geralmente, estas correções são chamadas de patches, e o processo de implementação

é conhecido como patching. Esta caixa de ferramentas aborda a necessidade de aplicar oportunamente estes patches, incluindo a conƤguração dos sistemas de modo a que possam ser aplicados automaticamente sempre que for possível. Além disso, é importante perceber que, ao longo do tempo, muitos sistemas são adicionados, adaptados ou reconƤgurados, o que pode levar à introdução de fragilidades que podem ser exploradas pelos cibercriminosos. Outra questão a ter em mente é se um fornecedor independente tem acesso aos dados dos seus sistemas. É importante manter registos atualizados, pois permitem-lhe gerir as atualizações necessárias para garantir que os patches mais atuais são aplicados aos sistemas, dispositivos e aplicações.

operativos

Como utilizar a caixa de ferramentas

Utilize as ferramentas da Caixa de ferramentas Atualize as suas defesas para garantir que os seus dispositivos e aplicações têm os patches de segurança mais recentes aplicados e dispõem dos níveis de segurança apropriados para o tipo de dados que contêm. Se criou um inventário na Caixa de ferramentas Conheça o seu sistema, utilize-o como um guia e uma lista de veriƤcação para garantir que todos os dispositivos estão atualizados e conƤgurados para aceitarem atualizações de segurança automáticas. Depois de concluir a Caixa de ferramentas Atualize as suas defesas, atualize a Lista de veriƤcação de segurança e deƤna um lembrete para repetir periodicamente este processo de modo a tornar-se uma rotina.

5 | Manual do Kit de ferramentas de cibersegurança da GCA para pequenas empresas

Caixa de ferramentas 2 Atualize as suas defesas

Navegar nas subcategorias da caixa de ferramentas e informações adicionais a ter em conta

2.1 Atualize os dispositivos e as aplicações

Quando uma solução ou patches são desenvolvidos e lançados para uma vulnerabilidade conhecida, é importante que todos os utilizadores desse sistema ou aplicação apliquem imediatamente esses patches. Idealmente, de modo automático porque até o fazerem correm o risco de exposição

a esta vulnerabilidade. VeriƤque cada dispositivo e aplicação, e conƤgure-os para serem atualizados automaticamente. Fornecemos uma lista dos sistemas e aplicações mais comuns, mas para aqueles não abordados nesta caixa de ferramentas, veriƤque as instruções ou páginas de suporte do dispositivo ou da aplicação especíƤca. Marque cada item da lista à medida que avança e certiƤque-se de seguir este passo sempre que adicionar um novo dispositivo ou aplicação à empresa. Muitas vezes, as conƤgurações mais seguras não são fornecidas como predeƤnição de segurança pronta a utilizar (conhecida como conƤguração) para os dispositivos ou aplicações porque a facilidade de utilização e a conveniência são mais prioritárias do que a segurança. Portanto, deve veriƤcar se há alguma conƤguração de segurança recomendada pelo fabricante para os dispositivos

e aplicações e implementá-las. Todos os dispositivos que deixaram de ser suportados devem ser removidos porque Ƥcam expostos permanentemente a qualquer fragilidade recém-descoberta. Se tal não for possível, devem ser isolados de outros dispositivos e a respetiva utilização deve ser restringida a funções empresariais especíƤcas. As ferramentas existentes nesta caixa de ferramentas oferecem orientação de conƤguração para sistemas comuns aplicarem automaticamente as atualizações. Deve veriƤcar as orientações para todos os seus dispositivos e sistemas de modo a garantir que são conƤgurados em conformidade.

6 | Manual do Kit de ferramentas de cibersegurança da GCA para pequenas empresas

Caixa de ferramentas 2 Atualize as suas defesas

Ligações disponíveis em Atualize as suas defesas:

2.2 Encripte os dados

Se a sua rede de computadores for alvo de uma falha de segurança, muito provavelmente o hacker pretende roubar informações conƤdenciais que pode utilizar para proveito Ƥnanceiro ou político próprio. A encriptação dos dados guardados no disco rígido torna muito mais difícil para os criminosos fazerem uso desses dados porque precisam de ser desencriptados para se

Kit de ferramentas: caixa de ferramentas Atualize as suas defesas

tornarem utilizáveis. A encriptação é o processo pelo qual os dados são convertidos de um formato legível (ou seja, texto simples) para um formulário codiƤcado (ou seja, texto em cifra). Esta codiƤcação foi concebida para ser incompreensível, exceto para quem possua as “chaves” para reverter o processo de codiƤcação. A encriptação permite o armazenamento conƤdencial e a transmissão de dados, bem como comprovar a entidade do respetivo remetente.Estas ferramentas permitem encriptar Ƥcheiros guardados no disco rígido. Se o seu sistema operativo não estiver incluído nesta caixa de ferramentas, podem existir outras opções disponibilizadas pelo fabricante do equipamento ou outras ofertas de segurança à venda no mercado.

https://gcatoolkit.org/pt-pt/pequenas-empresas/atualize-as-suas-defesas/

Fórum da Comunidade: categoria Atualize as suas defesas

https://community.globalcyberalliance.org/c/cybersecurity-toolbox/update-your-defences/

2.3 Proteja os seus sites

Para muitas empresas, o site é fundamental para as operações empresariais. O modo como é utilizado pode incluir o ƥuxo de informações conƤdenciais de toda a cadeia de fornecimento ou constituir a plataforma de negociação principal que sustenta o seu negócio. Se os hackers obtiverem acesso ao site, podem intercetar ou roubar dados, alterar o conteúdo, infetar o site com malware ou assumir o controlo das operações. Qualquer uma destas situações pode ter um impacto devastador na capacidade operacional da organização.Aqui, encontra ferramentas que pode utilizar para efetuar veriƤcações regulares no site (conhecidas como análises) de modo a identiƤcar vulnerabilidades e potenciais fragilidades. CertiƤque-se de que todos os problemas identiƤcados são avaliados pelo pessoal de TI e que são tomadas as medidas apropriadas.As subcategorias da caixa de ferramentas fornecem instruções e ferramentas para sistemas comummente utilizados. Para outros cenários, procure ajuda no site do fornecedor ou peça conselhos na categoria Atualize as suas defesas do Fórum da comunidade da GCA ou na Comunidade de pequenas empresas.

Comunidade de pequenas empresas

https://community.globalcyberalliance.org/c/community-discussions/small-business-community/

7 | Manual do Kit de ferramentas de cibersegurança da GCA para pequenas empresas

Caixa de ferramentas 3 Muito mais do que simples palavras-passe

Muito mais do que simples palavras-passe

Que problema é abordado nesta caixa de ferramentas?

As palavras-passe são uma primeira linha de defesa na proteção de contas e dados (como e-mail, registos de pessoal ou bases de dados de clientes). Infelizmente, as palavras-passe são frequentemente um alvo fácil para os cibercriminosos, e as violações de dados relacionadas com acessos ilícitos ocorrem na maior parte dos casos devido a palavras-passe fracas. Os hackers têm muitas maneiras de experimentar e aceder às palavras-passe, desde a utilização de decifradores de palavras-passe facilmente obteníveis, que são programas que percorrem combinações comummente utilizadas, até à utilização de um nome de utilizador e de uma palavra-passe obtidos através de uma conta que foi alvo de uma falha de segurança, aplicando-as noutros sites populares. Estas técnicas precisam de poucos conhecimentos técnicos, são rápidas, totalmente automatizadas e estão imediatamente disponíveis para quem sabe onde pode encontrá-las na Internet. O problema torna-se ainda mais grave para as pequenas e médias empresas, uma vez que muitas não têm uma política de palavra-passe ou, quando existente, não a aplicam rigorosamente.Portanto, ter palavras-passe fortes é vital para a proteção dos dados. Contudo, também precisa de dar outro passo mediante a implementação da autenticação

O que esta caixa de ferramentas ajuda a concretizar?

de dois fatores ou multifator (2FA).A 2FA requer várias credenciais, tornando muito mais difícil para um atacante

Depois de concluir esta caixa de ferramentas, compreenderá melhor:f criar uma pala vra-passe fortef testar as contas par a determinar se foram comprometidasf  conƤgurar a 2FA para as contas online mais comuns

obter acesso às suas contas. f Com a 2FA, um utilizador precisa do seguinte:f Algo que conhece, como uma palavra-passe;f  E algo que tem, como um token (Google Authenticator, Authy, Okta, RSA, etc.) ou um código de veriƤcação enviado para o telemóvel; ouf Algo que é, como a impressão digital ou o rosto (biometria).Esta caixa de ferramentas ajuda a criar palavras-passe mais fortes e exclusivas para cada uma das suas contas e mostra-lhe como conƤgurar a 2FA, ambos passos importantes para proteger o acesso às contas e aos dados.

8 | Manual do Kit de ferramentas de cibersegurança da GCA para pequenas empresas

Caixa de ferramentas 3 Muito mais do que simples palavras-passe

Como utilizar a caixa de ferramentas

Utilize as ferramentas da Caixa de ferramentas Muito mais do que simples palavras-passe para garantir que os seus dispositivos e aplicações são conƤgurados com palavras-passe fortes e a 2FA. Se criou um inventário em Conheça o seu sistema, utilize-o como um guia e uma lista de veriƤcação para garantir que aplicou estas medidas em todas as suas contas.Depois de concluir a Caixa de ferramentas Mais do que simples palavras-passe, atualize a Lista de veriƤcação de segurança e deƤna um lembrete para repetir periodicamente este processo de modo a tornar-se uma rotina.

Navegar nas subcategorias da caixa de ferramentas e informações adicionais

a ter em conta

3.1 Palavras-passe fortes

Um dos métodos mais comuns que os criminosos utilizam para obter acesso a contas, redes e informações é iniciarem sessão com as suas credenciais.

É realmente importante que:f  Utilize uma palavra-passe forte e única (ou frase de acesso) para cada uma

das suas contas. f  Utilize letras, números e carateres especiais para garantir a criação de uma

palavra-passe forte.f Altere de imediato a palavra-passe caso seja alvo de uma falha de segurança.f Mantenha as suas palavras-passe privadas e seguras.

f Nunca reutilize uma palavra-passe.f  Nunca clique numa ligação a pedir-lhe para repor a palavra-passe. Aceda sempre ao site da conta através do browser. f Evite iniciar sessão em contas através de redes de Wi-Fi públicas.Utilizar a mesma palavra-passe em várias contas signiƤca que, se um criminoso obtiver uma das suas palavras-passe, obterá efetivamente acesso a todas as suas contas que a utilizam. Os detalhes do nome de utilizador e da palavra-passe podem ser vendidos online por criminosos que os roubaram num ciberataque e ser reutilizados até que a palavra-passe seja alterada. O rápido avanço da tecnologia signiƤca que um portátil moderno e pouco dispendioso pode percorrer rapidamente todas as combinações para descobrir palavras-passe curtas e simples. Deve ter uma política de palavra-passe que seja compreendida e seguida por todos os colaboradores e quaisquer adjudicatários que tenham acesso aos seus sistemas. Alguns sistemas e aplicações podem possibilitar a aplicação de uma palavra-passe mínima permitida. É certamente algo que merece ser investigado

nas deƤnições de segurança.

9 | Manual do Kit de ferramentas de cibersegurança da GCA para pequenas empresas

Caixa de ferramentas 3 Muito mais do que simples palavras-passe

Ligações disponíveis em Muito mais do que simples palavras-passe:

Pode utilizar as ferramentas disponíveis em Palavras-passe fortes para saber mais sobre palavras-passe e veriƤcar se o seu endereço de e-mail foi roubado durante uma falha de segurança. Em caso aƤrmativo, altere imediatamente a palavra-passe e nunca reutilize palavras-passe.Lembre-se também de veriƤcar as deƤnições de palavra-passe em routers, impressoras e outros equipamentos ligados à rede. Estes podem ser facilmente esquecidos e, geralmente, são enviados com palavras-passe predeƤnidas simples. Trabalhe com o inventário que criou em Conheça o seu sistema e marque os itens à medida que avança!

Kit de ferramentas: caixa de ferramentas Muito mais do que simples palavras-passe

3.2 Ferramentas de 2FA

https://gcatoolkit.org/pt-pt/pequenas-empresas/muito-mais-do-que-simples-palavras-passe/

Além das palavras-passe, a autenticação de dois fatores (2FA) constitui uma importante segunda linha de defesa para proteger as contas contra acesso não autorizado. Há vários métodos de autenticação diferentes que podem ser utilizados como 2FA. Incluem um código único enviado por SMS para o telemóvel, um token de hardware que tem sempre consigo, uma impressão

Fórum da Comunidade: categoria Muito mais do que simples palavras-

digital ou o reconhecimento facial. As ferramentas de 2FA contêm recursos transferíveis que fornecem métodos de autenticação aceites para muitas contas comuns.Quando implementar as ferramentas e as orientações da Caixa de ferramentas Muito mais do que simples palavras-passe, considere também que permissões cada utilizador tem quando acede a aplicações empresariais. Considere restringir o acesso aos utilizadores que precisam dele e na medida em que

passe

https://community.globalcyberalliance.org/c/cybersecurity-toolbox/beyond-simple-passwords/

a respetiva função o exija.

3.3 Faça a gestão das suas palavras-passe

Os gestores de palavras-passe permitem manter todas as suas palavras-passe num local seguro para não ter de se lembrar de cada uma individualmente. Isto signiƤca que só tem de se lembrar de uma palavra-passe sempre que quiser iniciar sessão numa das contas cuja palavra-passe está guardada no gestor de palavras-passe. Os gestores de palavras-passe são realmente práticos. No entanto, se o gestor de palavras-passe for comprometido, o atacante pode obter acesso a todas as palavras-passe. Pode encontrar informações adicionais, suporte e orientação durante a implementação na categoria Mais do que simples palavras-passe do Fórum

da comunidade da GCA.

10 | Manual do Kit de ferramentas de cibersegurança da GCA para pequenas empresas

Caixa de ferramentas 4 Impeça o phishing e o malware

Impeça o phishing e o malware

Que problema é abordado nesta caixa de ferramentas?

Todos os anos, muitas pequenas empresas são vítimas de ataques dispendiosos de malware e phishing. Quando um utilizador clica num site infetado com malware ou abre um anexo infetado num e-mail de phishing, podem ocorrer vários problemas, como a eliminação ou alteração dos Ƥcheiros, a modiƤcação de aplicações ou a desativação das funções do sistema. O malware é qualquer software projetado para causar danos e/ou permitir o acesso não autorizado a dispositivos ou redes. Os e-mails de phishing levam o utilizador a pensar que está a lidar com uma entidade Ƥdedigna para que o atacante possa obter acesso não autorizado a conteúdo privado, conƤdencial e restrito ou dinheiro. O atacante fará o que puder para que o respetivo e-mail pareça genuíno e atraente de modo a incentivar o utilizador a clicar nele ou abri-lo. Os e-mails podem parecer ter um remetente que conhece, podem imitar os logótipos e o formato dos e-mails de organizações conhecidas, ou podem referir-se a manchetes recentes ou a um trabalho que acabou de fazer.Algumas estimativas sugerem que mais de 90% dos ciberataques começam com um e-mail de phishing. Se clicar no link ou abrir o anexo num e-mail de phishing, poderá acionar inúmeras atividades que o atacante tenha conƤgurado, desde roubar os seus dados, criar uma rota secreta (conhecida como backdoor) no seu computador para utilização posterior, instalar um tipo de malware através do qual bloqueia o acesso aos dados e exigir que lhe pague um resgate para recuperar o acesso (conhecido como ransomware) ou transferir outro tipo de malware que permita ver o que escreve, como palavras-passe ou números de

O que esta caixa de ferramentas ajuda a concretizar?

Depois de concluir esta caixa de ferramentas, compreenderá melhor:f como o softwar e antivírus protege os sistemas e os dadosf como instalar softwar e antivírus no sistemaf  anúncios digitais e os riscos inerentesf como instalar um bloqueador de publicidade para bloquear anúncios pop-up, vídeos e outro conteúdo indesejadof o que signiƤca DNS e por que razão é importantef  como funciona a segurança DNS e que tipos de ataques mitigaf como instalar o Quad9 em dispositivos Android e computadores

conta (conhecido como spyware). As consequências dos ataques de phishing e malware são graves para as pequenas empresas. Os efeitos podem incluir perda ou danos nos dados, perda de receitas se a empresa tiver de encerrar durante um ataque, despesas incorridas para reparar/substituir equipamentos, custos para notiƤcar os clientes sobre uma falha de segurança, e ainda perda de reputação e possíveis

processos legais. A Caixa de ferramentas Impeça o phishing e o malware aumenta a resiliência a ataques para ajudar a reduzir os riscos. Foram incluídas ferramentas para ajudar a impedir o acesso a sites infetados, software antivírus para ajudar a impedir vírus e outro malware de entrarem nos sistemas e bloqueadores de publicidade para ajudar a bloquear anúncios online que podem transportar vírus.

11 | Manual do Kit de ferramentas de cibersegurança da GCA para pequenas empresas

Caixa de ferramentas 4 Impeça o phishing e o malware

Ligações disponíveis em Impeça o phishing

e o malware

Navegar nas subcategorias da caixa de ferramentas e informações adicionais

Kit de ferramentas: caixa de ferramentas Impeça o phishing e o malware

a ter em conta

As ferramentas foram cuidadosamente escolhidas com base em normas globais reconhecidas e não são apresentadas aqui numa ordem especíƤca

https://gcatoolkit.org/pt-pt/pequenas-empresas/evite-phishing-e-software-malicioso/

nem prioridade recomendada.

4.1. Antivírus

Fórum da comunidade: categoria Impeça o phishing e o malware

É importante utilizar antivírus em tempo real porque procuram vírus em tempo real, no preciso momento em que ocorrem, removendo-os antes de poderem causar danos, e são atualizados à medida que novas proteções contra vírus são desenvolvidas.

https://community.globalcyberalliance.org/c/cybersecurity-toolbox/prevent-phishing-and-viruses/

4.2 Bloqueadores de publicidade

Alguns anúncios online ou mensagens apresentadas enquanto navega num site são úteis. No entanto, outros podem conter código malicioso e infetar o computador com malware se clicar neles. Um bloqueador de publicidade pode ser utilizado para impedir a apresentação de anúncios em páginas Web, oferecendo proteção adicional durante a navegação.

Comunidade de pequenas

empresas

https://community.globalcyberalliance.org/c/community-discussions/small-business-community/

4.3 Segurança DNS

A segurança DNS utiliza o Sistema de Nomes de Domínio (o equivalente na Internet a uma lista telefónica) para traduzir o nome do site baseado em texto (nome de domínio) que um utilizador escreve no browser para um conjunto de números (endereço IP) único que os computadores compreendem.Muitos atacantes tentam utilizar nomes de domínio de sites semelhantes para levar as vítimas a pensar que estão a ligar-se a um site legítimo. Estes sites podem parecer ter o nome real do site, mas uma inspeção mais atenta pode

mostrar as diferenças. Assim, por exemplo, o URL do site legítimo de uma empresa pode ser: “www. mygreatwidgets. com”, mas o falso pode ser:

“www. rnygreatwidgets.com”.As Ƥrewalls DNS, um tipo de segurança DNS, podem ajudar a impedir vírus e ataques de phishing porque veriƤcam se o endereço IP do site que está a ser pedido é conhecido por alojar código malicioso e, se for o caso, bloqueiam o acesso. Os utilizadores podem implementar serviços de Ƥltragem de DNS nos respetivos sistemas através das ferramentas desta subcategoria para ajudar a impedir o acesso a sites maliciosos conhecidos. As subcategorias da caixa de ferramentas fornecem ferramentas para sistemas comummente utilizados. Para obter mais suporte, pesquise ou faça perguntas na categoria Impeça o phishing e o malware do Fórum da comunidade da GCA ou na Comunidade de pequenas empresas.

12 | Manual do Kit de ferramentas de cibersegurança da GCA para pequenas empresas

Caixa de ferramentas 5 Cópia de segurança e recuperação

Cópia de segurança e recuperação

Que problema é abordado nesta caixa de ferramentas?

A perda ou corrupção de dados pode resultar de um ciberataque (como ransomware) ou falha ou roubo de equipamento, erro humano, danos acidentais, incêndio ou inundação. Independentemente da causa, o impacto da perda de dados ou do tempo de inatividade do equipamento pode afetar seriamente a produtividade e a rentabilidade da sua empresa.Uma cópia de segurança é uma cópia dos dados, guardada num local diferente do local dos dados originais, e pode ajudar a recuperar de um ataque ou perda de dados. A realização regular de cópias de segurança online e ofƥine facilita uma recuperação mais rápida da perda ou corrupção dos dados. Ambas são importantes porque as cópias de segurança online são conƤguradas para serem realizadas automaticamente numa rede, enquanto as cópias de segurança ofƥine exigem a ligação e posterior remoção de um dispositivo externo (por exemplo, uma pen USB ou um disco rígido) para armazenamento físico noutro local (o que também ajuda a proteger contra a cópia de segurança acidental de

dados já corrompidos).

Como utilizar a caixa de ferramentas

O que esta caixa de ferramentas a concretizar?

Utilize as ferramentas da Caixa de ferramentas Cópia de segurança e recuperação para garantir a realização regular de cópias de segurança dos sistemas com um nível e uma frequência adequados para o tipo de dados que contêm. O que incluir nas cópias de segurança? Depende das suas informações e do risco de perda dessas informações. Se criou um inventário na caixa de ferramentas Conheça o seu sistema, utilize-o como um guia e uma lista de veriƤcação, e atualize-o à medida que avança.Depois de concluir a Caixa de ferramentas Cópia de segurança e recuperação, atualize a Lista de veriƤcação de segurança e deƤna um lembrete de revisão periódica para garantir que a sua política permanece relevante

ajuda

Depois de concluir esta caixa de ferramentas, compreenderá melhor:f por que r azão as cópias de segurança são importantes para a sua empresa, em especial para a recuperação de um ataque de ransomwaref como ativ a a cópia de segurança integral num computador Windows

para a sua empresa.

ou Mac

13 | Manual do Kit de ferramentas de cibersegurança da GCA para pequenas empresas

Caixa de ferramentas 5 Cópia de segurança e recuperação

Ligações disponíveis em Cópia de segurança e recuperação

Navegar nas subcategorias da caixa de ferramentas e informações adicionais

a ter em conta

O ransomware é um método de ataque que se tornou um problema sério para as pequenas empresas. O ransomware é um tipo de software malicioso que infecta computadores e bloqueia o acesso aos dados. O criminoso exige pagamento, por vezes na forma de criptomoeda (ou seja, bitcoin, que é menos fácil de rastrear do que as transferências tradicionais), com a promessa de que os dados serão restaurados assim que o resgate seja recebido. Ter cópias de segurança dos dados é uma proteção importante para manter o acesso às suas informações se for vítima de ransomware.

Kit de ferramentas: caixa de ferramentas Cópia de segurança e recuperação

https://gcatoolkit.org/pt-pt/pequenas-empresas/copia-de-seguranca-e-recuperacao/

5.1 Cópia de segurança de sistemas operativos

Fórum da Comunidade: categoria Cópia de segurança e recuperação

Ter uma política sólida de cópia de segurança que inclua cópias de segurança online e ofƥine ajuda a facilitar uma recuperação mais rápida em caso de perda

ou corrupção dos dados.f  Os diferentes conjuntos de dados que possui devem ser categorizados no inventário (consulte a Caixa de ferramentas Conheça o seu sistema para obter ajuda para a criação de um inventário).f  Considere encriptar as informações conƤdenciais (consulte a Caixa de ferramentas Atualize as suas defesas para obter mais informações sobre

https://community.globalcyberalliance.org/c/cybersecurity-toolbox/back-up-

and-recover/

a encriptação).f  Ponha em prática uma abordagem lógica de cópia de segurança de cada conjunto de dados após ter ponderado o “impacto da perda” de cada um. O impacto da perda pode ser reputacional, Ƥnanceiro ou legal. Na subcategoria Cópia de segurança de sistemas operativos, encontra instruções para a realização de cópias de segurança de sistemas operativos comuns. Se o seu sistema operativo não constar da lista, procure ajuda no site do fornecedor ou pergunte na categoria Cópia de segurança e recuperação do

Fórum da comunidade da GCA.CertiƤque-se também de que tem um plano de recuperação após desastre, o que ajuda a permitir a recuperação de sistemas críticos após um desastre (seja acidental ou natural). Ter um plano ajuda a minimizar o tempo de recuperação e os danos nos sistemas, protege contra possíveis responsabilidades e também pode melhorar a segurança. Existem muitos modelos e guias para o desenvolvimento de um plano disponíveis online. CertiƤque-se de que o mantém atualizado e simule alguns cenários para o testar e garantir que todos sabem como implementá-lo.

14 | Manual do Kit de ferramentas de cibersegurança da GCA para pequenas empresas

Caixa de ferramentas 6 Proteja o seu e-mail e a sua reputação

Proteja o seu e-mail e a sua reputação

Que problema é abordado nesta caixa de ferramentas?

O e-mail é utilizado frequentemente como ponto de partida para um ciberataque. É extremamente rápido e pouco dispendioso enviar milhares de e-mails para destinatários incautos na esperança de que, pelo menos, alguns utilizadores sejam levados a clicar na ligação do site malicioso ou transferir o anexo nocivo. Uma das técnicas que os cibercriminosos utilizam é fazer com que o e-mail pareça ter sido enviado a partir de uma origem legítima, como uma instituição Ƥnanceira, um cliente, um parceiro de negócios ou outra organização familiar. Uma dessas técnicas é conhecida como spooƤng (usurpação) do domínio de e-mail, em que o endereço de e-mail “spoofed” (usurpado) utilizado é exatamente igual ao genuíno, fazendo com que pareça ter sido realmente enviado por essa organização e dando ao destinatário pouca razão para suspeitar que não foi realmente enviado pela organização. Se o domínio de e-mail da sua empresa (a parte do endereço de e-mail após a “@”) for usurpado, pode ter graves consequências para si, os seus clientes e a cadeia de fornecimento. Se o destinatário desse e-mail agiu como sugerido no e-mail porque realmente acreditava que o tinha enviado, o respetivo sistema informático pode ser infetado com alguma forma de malware ou ransomware. Também pode permitir que o criminoso assuma o controlo e manipule os seus dados bancários, para que os clientes façam pagamentos para outras contas

O que esta caixa de ferramentas a concretizar?

ajuda

pensando que lhe estão a pagar.A Caixa de ferramentas Proteja o seu e-mail e a sua reputação fornece orientação e ferramentas para se proteger contra este tipo de ameaça, inclusive instruções de utilização de uma norma de e-mail conhecida como DMARC (Domain-based Authentication, Reporting, and Conformance). A DMARC é uma maneira eƤciente de impedir os remetentes de spam e phishers de utilizarem domínios de empresas para levarem a cabo ciberataques perigosos. É uma forma de veriƤcar se o remetente de um e-mail tem permissão para utilizar o domínio do seu e-mail e enviar o e-mail. Os atacantes também podem conƤgurar sites “sósia”. Por exemplo, o domínio genuíno “BestBusiness .com” pode ser usurpado mediante o registo como “BestBusness .com” ou “BestBusiness .net” para levar os clientes ou utilizadores

Depois de concluir esta caixa de ferramentas, compreenderá melhor:f  o que signiƤca DMARC, por que razão é importante e que ataques mitiga f o Guia de conƤgur ação da DMARCf como v eriƤcar o seu próprio domínio de e-mail para ver se a DMARC está ativada

a visitá-lo.Se os domínios do e-mail ou site forem usurpados, a sua reputação e marca podem ser afetadas, e os seus clientes prejudicados. Utilizar as ferramentas de Proteja o seu e-mail e a sua reputação ajuda a identiƤcar e evitar a usurpação de identidade.

15 | Manual do Kit de ferramentas de cibersegurança da GCA para pequenas empresas

Caixa de ferramentas 6 Proteja o seu e-mail e a sua reputação

Como utilizar a caixa de ferramentas

Utilize as ferramentas da Caixa de ferramentas Proteja o seu e-mail e a sua reputação para garantir que a sua empresa está protegida contra spooƤng de domínio de e-mail através da implementação da DMARC e potenciais domínios

de sites sósia são identiƤcados.Atualize a sua Lista de veriƤcação de segurança quando terminar e incentive os seus clientes e cadeia de fornecimento com domínios próprios a fazer o mesmo porque a eƤciência da DMARC depende de o remetente e o destinatário a terem implementado.

Navegar nas subcategorias da caixa de ferramentas e informações adicionais

a ter em conta

6.1 Implemente a DMARC

Utilize as ferramentas nesta subcategoria para saber mais sobre a DMARC, veriƤcar se o seu domínio de e-mail está protegido pela DMARC e, em caso

aƤrmativo, até que nível.

6.2 Compreenda os relatórios da DMARC

Depois de conƤgurar uma política de DMARC no domínio de e-mail, começa a receber relatórios que mostram como o seu domínio de e-mail está a ser utilizado. Estes relatórios podem ser difíceis de compreender sem um

formato deƤnido. As ferramentas na subcategoria Compreenda os relatórios da DMARC ajudam a interpretar e identiƤcar mais rapidamente a atividade fraudulenta. Isto permite-lhe avançar com conƤança nos níveis da política de “nenhum” para “quarentena” e, Ƥnalmente, até o nível mais alto de “rejeitar”. É importante também considerar qualquer organização ou serviço de e-mail autorizado a enviar e-mails em seu nome, como serviços de marketing por e-mail, e veriƤcar se implementaram a DMARC. As vantagens da DMARC só irão produzir frutos quando o seu domínio de

e-mail alcançar o nível “rejeitar”.

16 | Manual do Kit de ferramentas de cibersegurança da GCA para pequenas empresas

Caixa de ferramentas 6 Proteja o seu e-mail e a sua reputação

Ligações disponíveis em Proteja o seu e-mail e a sua reputação:

6.3 Proteção de marca registada

Os vigaristas podem registar domínios parecidos com o seu domínio na esperança de que as pessoas cliquem neles. Utilize as ferramentas disponibilizadas aqui para simpliƤcar a identiƤcação de domínios que tentam imitar o seu, bem como domínios que contêm phishing ou conteúdo malicioso

direcionado para o seu domínio. Para obter mais suporte durante a implementação da DMARC, consulte o Fórum da DMARC ou a categoria Proteja o seu e-mail e a sua reputação no Fórum da

Kit de ferramentas: caixa de ferramentas Proteja o seu e-mail e a sua reputação

comunidade da GCA.

https://gcatoolkit.org/pt-pt/pequenas-empresas/proteja-o-seu-e-mail-e-a-sua-reputacao/

Fórum da comunidade: Fórum da DMARC

https://community.globalcyberalliance.org/c/dmarc/)

Categoria Proteja o seu e-mail e a sua reputação

https://community.globalcyberalliance.org/c/cybersecurity-toolbox/protect-your-email-and-reputation

1717 | | Manual do Kit de fManual do Kit de ferrerramentas de ciberseguramentas de cibersegurança da GCA parança da GCA para pequenas empra pequenas empresasesas

Glossário de termos

Glossário de termos

Um glossário de alguns termos comummente utilizados relacionados com cibersegurança. Alguns destes termos foram incluídos nos capítulos do Manual do kit de ferramentas de cibersegurança da GCA para pequenas empresas, enquanto outros são fornecidos como informações adicionais caso deseje

explorar mais por conta própria.

conta Geralmente, refere-se ao acesso a um sistema informático ou serviço online que normalmente exige a inserção de uma palavra-passe de acesso.adversário Um indivíduo, grupo, organização ou governo que realiza ou tem a intenção de realizar atividades prejudiciais.antivírus Software projetado para detetar, impedir e remover vírus e outros tipos de software malicioso.aplicação (app) Um programa projetado para executar tarefas especíƤcas. Normalmente, o termo app refere-se a programas transferidos para dispositivos móveis.ativo Uma pessoa, estrutura, instalação, informação, registos, sistemas e recursos de tecnologia da informação, material, processo, relações ou reputação que tenha valor. Qualquer coisa útil que contribua para o sucesso de algo, como uma missão organizacional; os ativos são coisas de valor ou propriedades às quais é possível atribuir valor.ataque Uma tentativa de obter acesso não autorizado a serviços, recursos ou informações do sistema, ou uma tentativa de comprometer a integridade do sistema. O ato intencional de tentar contornar um ou mais serviços de segurança ou controlos de um sistema de informação.assinatura de ataque Um padrão característico ou distintivo que pode ser pesquisado ou utilizado na correspondência com ataques identiƤcados anteriormente. para realizar atividades sob o comando e o controlo de

superfície de ataque O conjunto de formas através das quais um adversário pode aceder a um sistema e potencialmente causar danos. Características de um sistema de informação que permitem que um adversário investigue, ataque ou mantenha a presença no sistema de informação.atacante Ator malicioso que pretende explorar sistemas informáticos com a intenção de alterar, destruir, roubar ou desativar as respetivas informações e, em seguida,

explorar o resultado.autenticação O processo para veriƤcar se alguém é quem aƤrma ser quando tenta aceder a um computador ou serviço online. Também a origem e a integridade dos dados, utilizador, processo ou dispositivo.backdoor Uma forma secreta de os cibercriminosos obterem acesso não autorizado a um sistema informático.cópia de segurança Uma cópia dos dados, guardada num local diferente do local dos dados originais, e que pode ajudar a recuperar de um ataque ou uma perda de dados.fazer cópia de segurança Para fazer uma cópia dos dados guardados num computador ou servidor para diminuir o impacto potencial da falha ou perda.bot Um computador ou dispositivo ligado à Internet que foi comprometido secretamente por código malicioso

um administrador remoto. botnet Uma rede de dispositivos infetados (bots), ligados à Internet, utilizados na realização de ciberataques coordenados sem o conhecimento do proprietário.

18 | Manual do Kit de ferramentas de cibersegurança da GCA para pequenas empresas

Glossário de termos

falha de segurança Um incidente no qual dados, sistemas informáticos ou redes são acedidos ou afetados de forma

denial of service (DoS) Um ataque no qual o acesso aos serviços do computador (ou recursos) é negado aos utilizadores legítimos, geralmente sobrecarregando

não autorizada.ataque de força bruta Utilizar um poder computacional para inserir automaticamente um grande número de combinações de valores, geralmente para descobrir palavras-passe e obter acesso.erro Um defeito, falha, deƤciência ou imperfeição inesperada e relativamente pequena num sistema de informação ou dispositivo.conƤguração A disposição dos componentes de software e hardware de um sistema informático ou dispositivo. conƤgurar O processo de conƤgurar o software ou dispositivos para um computador, sistema ou

o serviço com pedidos.dispositivo Uma peça de hardware informático projetada para uma função especíƤca. Exemplos incluem portátil,

telemóvel ou impressora.DMARC SigniƤca Domain-based Message Authentication, Reporting and Conformance. A DMARC é um mecanismo que permite que os remetentes e destinatários monitorizem e melhorem a proteção do respetivo domínio contra

e-mails fraudulentos.spooƤng de domínio de e-mail Uma técnica utilizada por cibercriminosos na qual o endereço de e-mail usurpado (“spoofed”) utilizado é exatamente igual ao genuíno, fazendo com que pareça ter sido realmente enviado por

tarefa especíƤca.ciberataque Tentativas maliciosas de daniƤcar, interromper ou obter acesso não autorizado a sistemas informáticos, encriptação Conversão de dados num formato que não pode ser facilmente compreendido por pessoas não autorizadas.Ƥrewall Um dispositivo de hardware/software ou um programa de software que limita o tráfego de rede de acordo com um conjunto de regras que estipulam que acesso é e não permitido ou autorizado. hacker Alguém que viola a segurança do computador por razões maliciosas, elogios ou ganho pessoalhardware Um computador, os respetivos componentes e equipamento relacionado. O hardware inclui unidades e redes, e as respetivas informações, contra roubo ou danos.de disco, circuitos integrados, monitores, cabos, modems, altifalantes e impressoras.ameaça interna Uma pessoa ou um grupo de pessoas com acesso e/ou conhecimento interno de uma empresa, organização ou Ƥrma que pode representar um risco potencial por violar políticas de segurança com a intenção de causar danos.Internet das coisas (IoT) Refere-se à capacidade de objetos de utilização quotidiana (em vez de computadores e dispositivos) se ligarem à Internet. Exemplos incluem chaleiras, frigoríƤcos e televisores.intrusão Um ato não autorizado de contornar os mecanismos de segurança de uma rede ou um sistema de informação.

essa organização.

redes ou dispositivos através de meios cibernéticos.ciberincidente Uma falha nas regras de segurança para um sistema ou serviço; mais comummente, tentativas de obter acesso não autorizado a um sistema e/ou dados, utilização não autorizada de sistemas para o processamento ou armazenamento de dados, alterações no Ƥrmware, software ou hardware de sistemas sem o consentimento dos respetivos proprietários, interrupção maliciosa e/ou

denial of service.cibersegurançaa A proteção de dispositivos, serviços

criptomoeda Dinheiro digital. A criptomoeda é guardada numa carteira digital (online, no computador ou noutro hardware. Normalmente, a criptomoeda não tem aval de nenhum governo e, como tal, não tem as mesmas proteções que o dinheiro existente num banco.ataque de dicionário Um tipo de ataque de força bruta no qual o atacante utiliza palavras do dicionário, frases ou palavras-passe comuns conhecidas como suposições.pegada digital Uma “pegada” de informações digitais que a atividade online de um utilizador deixa para trás.

19 | Manual do Kit de ferramentas de cibersegurança da GCA para pequenas empresas

Glossário de termos

sistema de deteção de intrusão (IDS) Programa ou dispositivo utilizado para detetar se um atacante está ou rede ou um sistema informático projetado para procurar tentou aceder sem autorização aos recursos do computador.fragilidades de segurança para que possam ser corrigidas.sistema de prevenção de intrusão (IPS) Sistema de deteção Informações Pessoais/Informações IdentiƤcativas (PII) As informações que permitem que a identidade de um indivíduo seja direta ou indiretamente inferida.pharming Um ataque à infraestrutura de rede que resulta no direcionamento do utilizador para um site ilegítimo, apesar de o utilizador ter inserido o endereço correto.phishing E-mails em massa não direcionados enviados para muitas pessoas a pedir informações conƤdenciais (como dados bancários) ou incentivando-as a visitar um site falso. Uma forma digital de engenharia social para levar os indivíduos a fornecer informações conƤdenciais.texto simples Informações não encriptadas. servidor proxy Servidor que atua como intermediário entre os utilizadores e outros servidores, validando os pedidos dos utilizadores.ransomware Software malicioso que torna os dados ou os sistemas inutilizáveis até que a vítima faça um pagamento.recuperação As atividades após um incidente ou evento para restaurar serviços e operações essenciais a curto e médio prazo, e restaurar totalmente todos os recursos pertencentes a uma organização que não estão autorizadas a longo prazo.resiliência A capacidade de adaptação às condições em mudança e preparação, resistência e recuperação rápida da interrupção.e outros símbolos) utilizada para autenticar uma identidade restaurar A recuperação de dados após falha ou perda do computador.avaliação de riscos O processo de identiƤcação, análise e avaliação de riscos, juntamente com as potenciais consequências nocivas, com o objetivo de informar prioridades, desenvolver ou comparar cursos de ação e informar a tomada de decisões.SIEM (Gestão de Informações e Eventos de Segurança) Processo no qual as informações de rede são agregadas, ordenadas e correlacionadas para a deteção de atividades suspeitas.software para melhorar a segurança e/ou a funcionalidade.

pentest (teste de penetração) Um teste autorizado de uma

de intrusão que também bloqueia o acesso não autorizado

quando é detetado.keylogger Software ou hardware que rastreia batimentos de tecla e eventos de teclado, geralmente secretamente, para monitorizar ações do utilizador de um sistema

de informação.malvertising Utilizar publicidade online como um método

de entrega de malware.malware (software malicioso) Um termo que inclui vírus, cavalos de Troia, worms ou qualquer código ou conteúdo que possa ter um impacto adverso em organizações ou indivíduos. Software destinado a inƤltrar-se e daniƤcar

ou desativar computadores.mitigação A aplicação de uma ou mais medidas para reduzir a probabilidade de uma ocorrência indesejada e/ou atenuar as suas consequências.rede Dois ou mais computadores ligados tendo em vista

a partilha de recursos.ameaça externa Uma pessoa ou um grupo de pessoas não a aceder aos respetivos ativos e representam um risco potencial para a organização e respetivos ativos.palavra-passe Uma cadeia de carateres (letras, números ou veriƤcar a autorização de acesso.decifradores de palavras-passe Programas projetados para adivinhar uma palavra-passe, muitas vezes passando por combinações comummente utilizadas ou um nome de utilizador e uma palavra-passe obtidos a partir de uma conta alvo de uma falha de segurança.gestores de palavras-passe Programas que permitem aos utilizadores gerar, guardar e gerir senhas num local

com segurança.aplicação de patches Aplicar atualizações ao Ƥrmware ou

20 | Manual do Kit de ferramentas de cibersegurança da GCA para pequenas empresas

Glossário de termos

smishing Phishing via SMS: mensagens de texto em massa administrador de sistema (admin) Pessoa que instala, enviadas aos utilizadores a pedir informações conƤdenciais conƤgura, resolve problemas e mantém as conƤgurações

(por exemplo, detalhes bancários) ou incentivando-os

do servidor (hardware e software) para garantir a respetiva conƤdencialidade, integridade e disponibilidade; também gere contas, Ƥrewalls e patches; responsável pelo controlo do acesso, palavras-passe, criação de contas

a visitar um site falso.assinatura Um padrão distintivo reconhecível. Os tipos de assinaturas podem incluir assinatura de ataque, assinatura e administração.

digital e assinatura eletrónica.engenharia social Manipular pessoas para realizarem ações especíƤcas ou divulgarem informações que são

ameaça Algo que possa causar danos num sistema ou

numa organização.ator da ameaça Um indivíduo, grupo, organização ou governo que realiza ou tem a intenção de realizar atividades nocivas.trojan (cavalo de Troia) Um programa informático que é disfarçado de software legítimo, mas com uma função oculta que é utilizada para invadir o computador da vítima.

úteis para um atacante.software Refere-se a programas para controlar o funcionamento de um computador ou processar

dados eletrónicos.spam O abuso de sistemas de mensagens eletrónicas para enviar indiscriminadamente mensagens em massa

Um tipo de malware.autenticação de dois fatores (2FA) A utilização de dois componentes diferentes para veriƤcar a identidade aƤrmada de um utilizador. Também conhecida como

não solicitadas.spear-phishing Uma forma mais direcionada de phishing em que o e-mail é projetado para parecer que é de uma pessoa que o destinatário conhece e/ou em quem conƤa.spooƤng FalsiƤcação do endereço de envio de uma transmissão para obter acesso ilegal [não autorizado] a um sistema seguro. A usurpação de identidade, o mascaramento, o piggybacking e a imitação são

autenticação multifator.rede virtual privada (VPN) Uma rede encriptada frequentemente criada para permitir ligações seguras para utilizadores remotos; por exemplo, numa organização com escritórios em vários locais.vírus Um programa informático que pode replicar-se, infetar um computador sem permissão ou conhecimento do utilizador e, em seguida, espalhar-se ou propagar-se para outro computador. Um tipo de malware.vulnerabilidade Uma fragilidade, ou falha, no software, num sistema ou num processo. Um atacante pode tentar explorar uma vulnerabilidade para obter acesso não

formas de spooƤng.spyware Malware que transmite informações sobre as atividades do utilizador de um computador a uma

entidade externa.cadeia de fornecimento Um sistema de organizações, pessoas, atividades, informações e recursos que cria e move produtos, incluindo componentes de produtos e/ou serviços de fornecedores para os respetivos clientes.sistema Geralmente, refere-se a um sistema de um ou mais computadores ou dispositivos que introduzem, enviam, processam e armazenam dados e informações.

autorizado a um sistema.ataque spear phishing a alvos importantes Ataques de phishing altamente direcionados (mascarados de e-mails legítimos) que visam executivos seniores.worm Um programa autorreplicante, autopropagante e autocontido que utiliza mecanismos de rede para se propagar. Um tipo de malware.

21 | Manual do Kit de ferramentas de cibersegurança da GCA para pequenas empresas

Glossário de termos

DeƤnições compiladas a partir de recursos produzidos por:

British Standards Institute

www.bsigroup.com/en-GB/Cyber-Security/Glossary-of-cyber-security-terms/

National Cyber Security Centre (NCSC - UK)

www.ncsc.gov.uk/information/ncsc-glossary

National Initiative for Cybersecurity Careers and Studies (NICCS-US)

niccs.us-cert.gov/about-niccs/cybersecurity-glossary

Recursos adicionais:

Glossário do Australian Cyber Security Centre

www.cyber.gov.au/acsc/view-all-content/glossary

Global Knowledge

www.globalknowledge.com/us-en/topics/cybersecurity/glossary-of-terms/

Glossário de termos de segurança do SANS Institute

www.sans.org/security-resources/glossary-of-terms/

22 | Manual do Kit de ferramentas de cibersegurança da GCA para pequenas empresas

A Global Cyber Alliance é uma organização sem Ƥns lucrativos dedicada a tornar a Internet um lugar mais seguro, reduzindo o ciberrisco. Criamos programas, ferramentas e parcerias para sustentar uma Internet Ƥdedigna que possibilite o progresso social e económico para todos. A GCA é uma organização 501(c)(3) nos EUA e uma organização sem Ƥns lucrativos no Reino Unido e na Bélgica.

Copyright @ 2020 Global Cyber Alliance

23 | Manual do Kit de ferramentas de cibersegurança da GCA para pequenas empresas