Está a candidatar-se a um ciberseguro, a renovar uma apólice, ou a preencher a secção de segurança informática que os seguros de responsabilidade civil profissional incluem cada vez mais? As perguntas são técnicas: autenticação multifator, cópias de segurança, proteção de terminais, atualizações, contas de administrador, segurança do correio eletrónico, resposta a incidentes. O Cyber Insurance Express ajuda-o a preparar cada resposta a partir do que está efetivamente configurado no seu inquilino Microsoft 365, e indica-lhe claramente quais as perguntas que o Microsoft 365 não consegue responder.
O questionário de segurança tornou-se uma parte central da contratação ou renovação de um ciberseguro, e raramente é fácil responder com rigor.
A autenticação multifator é obrigatória para todos os acessos remotos e para todos os administradores? As cópias de segurança estão offline ou são imutáveis, e foi testada uma restauração? Todos os terminais têm uma ferramenta de deteção e resposta? A autenticação de correio eletrónico legada está desativada? Um gerente de empresa, um diretor financeiro ou mesmo um generalista de informática sobrecarregado raramente tem estas respostas à mão, com prova.
O questionário faz parte da forma como a seguradora avalia o risco que aceita. Uma resposta que se revele inexata pode tornar-se motivo de discussão com a seguradora, sobretudo após um incidente. As consequências exatas dependem do seu contrato e da lei que o rege: verifique-as com o seu mediador ou com a seguradora. O que controla é a exatidão do que declara.
Verificar, uma a uma e pergunta a pergunta, as políticas de acesso condicional, as atribuições de funções de administração, os protocolos das caixas de correio, os registos DNS de autenticação do correio, a conformidade dos dispositivos e o registo de auditoria é um trabalho de horas em vários portais de administração. Numa empresa pequena ou média, este trabalho concorre com tudo o resto que a equipa de informática tem de fazer.
Nova candidatura, renovação anual, mudança de mediador ou de seguradora, concurso de um grande cliente que pergunta pela sua cobertura: as mesmas perguntas voltam, muitas vezes com outra redação. Sem um dossier de provas estruturado, cada ronda recomeça do zero e o trabalho anterior perde-se.
Cada seguradora redige o seu próprio questionário, e a redação muda de um formulário e de um ano para o outro. Os temas abaixo são os que surgem com frequência. Estão aqui descritos como temas recorrentes, e não como a transcrição do formulário de nenhuma seguradora em particular.
Para cada tema, explicamos o que a pergunta normalmente procura apurar, o que o seu inquilino Microsoft 365 pode mostrar como prova, e o que fica fora do Microsoft 365 e tem de ser documentado de outra forma. As ligações apontam para a documentação pública da própria Microsoft sobre a funcionalidade em causa.
O que normalmente se pergunta: o MFA é exigido para o correio eletrónico, para o acesso remoto, para as aplicações na nuvem e para todas as contas de administrador, com ou sem exceções?
O que o Microsoft 365 pode mostrar: se as predefinições de segurança estão ativas ou quais as políticas de Acesso Condicional que exigem MFA, a quem se aplicam e quem fica excluído; os métodos de autenticação registados pelos utilizadores; se os protocolos de autenticação legados, que não suportam MFA, estão bloqueados.
Fora do M365: uma VPN, um gateway de ambiente de trabalho remoto ou uma aplicação de negócio que não autentica através do Microsoft Entra ID deve ser documentado à parte.
O que normalmente se pergunta: os sistemas e dados críticos têm cópia de segurança, pelo menos uma cópia está isolada da rede ou protegida contra alterações, com que frequência, e quando foi testada pela última vez uma restauração?
O que o Microsoft 365 pode mostrar: pouco que responda a esta pergunta. As definições de retenção do Microsoft 365 não são uma cópia de segurança isolada das suas próprias contas de administrador, e não as apresentaremos como tal.
Fora do M365: a sua solução de cópias de segurança, o isolamento das respetivas cópias e os relatórios dos seus testes de restauração. O assistente guiado pede-lhe que os descreva e anexe as suas próprias provas, e o documento classifica esta resposta como declarada, e não como medida.
O que normalmente se pergunta: todas as estações de trabalho e servidores estão protegidos por uma ferramenta de deteção e resposta em terminais, essa ferramenta é monitorizada, e os dispositivos são cifrados?
O que o Microsoft 365 pode mostrar: quando os dispositivos são geridos com o Microsoft Intune e protegidos com o Microsoft Defender, o inventário de dispositivos, os resultados das políticas de conformidade (por exemplo, cifragem e versão mínima do sistema operativo) e as recomendações de segurança reportadas no Microsoft Secure Score.
Fora do M365: um EDR de terceiros, dispositivos não geridos e servidores locais não inscritos nas ferramentas Microsoft. São assinalados, não adivinhados.
O que normalmente se pergunta: com que rapidez são aplicadas as atualizações de segurança, se ainda há sistemas operativos sem suporte em uso, e se são acompanhadas as vulnerabilidades críticas nos sistemas expostos à Internet?
O que o Microsoft 365 pode mostrar: nos dispositivos geridos com o Intune, as regras de conformidade sobre versões mínimas do sistema operativo e quais os dispositivos que não as cumprem; quando licenciado, as recomendações do Defender.
Fora do M365: equipamento de rede, firewalls, servidores e aplicações de gestão e o próprio procedimento de atualização. O assistente ajuda-o a descrevê-lo em linguagem simples.
O que normalmente se pergunta: quantas pessoas detêm direitos de administrador, os administradores usam contas separadas para o trabalho diário, o MFA é-lhes exigido, e o acesso privilegiado é limitado no tempo ou aprovado?
O que o Microsoft 365 pode mostrar: quem detém cada função de administrador do Microsoft Entra, se as atribuições são permanentes ou elegíveis através do Privileged Identity Management (quando licenciado), e se o MFA se aplica a essas funções.
Fora do M365: contas de administrador locais em servidores e estações de trabalho, administradores de domínio num Active Directory local, e acessos de administração a sistemas de terceiros.
O que normalmente se pergunta: estão implementados o SPF, o DKIM e o DMARC, o phishing e os anexos maliciosos são filtrados, os protocolos legados das caixas de correio estão desativados, e o reencaminhamento automático para endereços externos é controlado?
O que pode ser mostrado: os registos SPF e DMARC publicados dos seus domínios (dados DNS públicos), a configuração de assinatura DKIM, as políticas de proteção do Exchange Online e do Defender para Office 365, e os protocolos permitidos nas caixas de correio.
Fora do M365: um gateway de correio de terceiros colocado à frente do Microsoft 365, e a formação de sensibilização dos utilizadores, que documenta por si próprio.
O que normalmente se pergunta: existe um plano escrito de resposta a incidentes, quem é contactado em primeiro lugar, foi testado, e os registos de segurança são conservados durante tempo suficiente para investigar?
O que o Microsoft 365 pode mostrar: se o registo de auditoria unificado está ativo e é pesquisável, e a retenção que lhe é aplicável. A Microsoft documenta que a Auditoria (Standard) está ativa por predefinição nas organizações com a subscrição adequada e conserva os registos durante 180 dias.
Fora do M365: o próprio plano. O assistente produz um primeiro rascunho de um plano de resposta curto, incluindo, para as organizações em França, a necessidade de apresentar queixa no prazo de 72 horas (ver abaixo).
Os questionários perguntam também, com frequência, sobre o número de trabalhadores e de registos detidos, incidentes anteriores, a utilização de prestadores de serviços com acesso aos seus sistemas, a cifragem de dados e a formação em segurança. Alguns destes factos só a sua empresa pode declarar. Outros, como as definições de partilha externa ou as contas de convidado no Microsoft 365, podem ser medidos.
O próprio Microsoft Secure Score indica que não é uma medida absoluta da probabilidade de sofrer uma violação. Usamos as definições medidas como prova para respostas específicas, nunca como garantia.
De onde vem cada resposta e como será identificada no seu documento.
| Tema | Origem das provas | Classificação no seu documento |
|---|---|---|
| MFA | Microsoft Entra ID: predefinições de segurança, políticas de Acesso Condicional, métodos de autenticação registados, estado da autenticação legada | Medido, com as exceções indicadas pelo nome da política ou do grupo |
| Cópias de segurança | A sua ferramenta de cópias de segurança e os relatórios de testes de restauração | Declarado por si, com os seus anexos |
| Proteção de terminais | Intune e Defender, quando utilizados; caso contrário, a sua consola EDR | Medido para os dispositivos geridos; declarado para o restante |
| Atualizações | Resultados de conformidade do Intune; o seu procedimento para servidores e equipamento de rede | Em parte medido, em parte declarado |
| Contas privilegiadas | Atribuições de funções do Microsoft Entra, Privileged Identity Management quando licenciado | Medido para o Microsoft 365; declarado para o local |
| Segurança do correio eletrónico | DNS público (SPF, DMARC), configuração DKIM, políticas do Exchange Online e do Defender para Office 365 | Medido |
| Resposta a incidentes e registos | Estado do registo de auditoria unificado; o seu plano escrito | Registos medidos; plano redigido no assistente, validado por si |
Regra simples: nada no documento é apresentado como medido se não tiver sido medido. Uma pergunta a que o Microsoft 365 não consegue responder fica claramente assinalada como tal, para que seja a sua empresa, e não uma ferramenta, a decidir o que declarar à sua seguradora.
Um percurso em autosserviço em quatro passos. Mantém o controlo desde a primeira pergunta até ao documento final.
Um teste online curto: está a candidatar-se a um ciberseguro, a renová-lo, ou a responder à secção de segurança informática de um seguro de responsabilidade civil profissional ou de outra apólice? A sua empresa está em França, onde se aplica a regra da queixa em 72 horas? Que partes da sua informática funcionam no Microsoft 365? O resultado indica-lhe quais os temas que se aplicam e o que terá de reunir.
Um assistente em linha percorre consigo cada tema. Responde livremente, ao seu ritmo, com explicações sobre o que significa cada pergunta e porque é que a seguradora a faz. Quando o Microsoft 365 puder fornecer provas, o resultado medido é colocado ao lado da sua resposta, para que qualquer diferença entre o que acredita e o que está configurado fique visível antes de declarar seja o que for.
Recebe um documento estruturado em nome da sua empresa: respostas tema a tema, as provas anexadas a cada uma, os pontos fora do âmbito assinalados e um primeiro rascunho de uma ficha de resposta a incidentes. É uma base de trabalho, a rever e validar pelo seu próprio consultor, mediador ou advogado antes de ser utilizada.
Se quiser uma segunda opinião, um consultor parceiro pode rever o documento consigo, ajudar a fechar lacunas antes da renovação ou ajudar a documentar os pontos que ficam fora do Microsoft 365. Este passo é opcional; os três primeiros foram concebidos para serem concluídos por si.
Importante: o documento é uma base de trabalho e não constitui aconselhamento jurídico. Não substitui o questionário da sua seguradora, que preenche e assina por si próprio, e não compromete nenhuma seguradora a garantir a sua cobertura. A exatidão da sua declaração final continua a ser da sua responsabilidade.
Um único dossier de provas, rigoroso quanto ao que foi medido e ao que não foi, que pode reutilizar em cada renovação.
Uma resposta clara para cada tema recorrente, pronta a transpor para o formulário da sua seguradora.
As definições que sustentam cada resposta, tal como encontradas no seu inquilino na data da medição.
Quando a sua resposta e a configuração medida não coincidem, isso aparece aqui em primeiro lugar.
Um primeiro rascunho curto a completar com os seus próprios contactos e a validar internamente.
Cada afirmação jurídica ou regulamentar do documento remete para a sua fonte oficial.
No ano seguinte, volta a medir e compara em vez de recomeçar.
Dois minutos para separar o que é regra jurídica do que são boas práticas, com a fonte oficial em cada caso.
Desde 24 de abril de 2023, o artigo L12-10-1 do Código dos Seguros francês (Code des assurances) condiciona qualquer pagamento de seguro que compense perdas e danos causados por um ataque a um sistema de tratamento automatizado de dados ao facto de a vítima apresentar queixa junto das autoridades competentes, o mais tardar 72 horas após ter tomado conhecimento do ataque. O prazo começa a contar quando toma conhecimento do ataque, e não quando este começou.
O artigo foi criado pelo artigo 5.º da Lei n.º 2023-22, de 24 de janeiro de 2023 (conhecida como LOPMI). Não obriga ninguém a subscrever um ciberseguro: estabelece uma condição para ser pago quando um contrato já cobre ciberataques.
Uma ficha informativa do Ministério do Interior, distribuída através do Cybermalveillance.gouv.fr, a plataforma governamental francesa para as vítimas de cibercrime, lembra às vítimas profissionais que a lei de 2023 as obriga a apresentar queixa para preservar o seu direito a indemnização ao abrigo do contrato de seguro, no prazo de 72 horas após terem tomado conhecimento do ataque. Enumera também a ativação do processo de indemnização do seguro entre os motivos para apresentar queixa.
A Agência da União Europeia para a Cibersegurança (ENISA) publicou "Cyber Insurance - Models and methods and the use of AI" a 21 de fevereiro de 2024. O seu objetivo declarado é introduzir o risco cyber e o ciberseguro, dar uma visão geral das investigações e abordagens de modelização existentes e identificar lacunas para investigação futura. É um contexto útil para perceber porque é que as seguradoras procuram avaliar a postura de segurança das empresas que cobrem.
Para as entidades abrangidas, o artigo 21.º da Diretiva (UE) 2022/2555 (NIS2) enumera medidas de gestão dos riscos de cibersegurança que incluem o tratamento de incidentes, a continuidade de atividade, como a gestão de cópias de segurança e a recuperação de desastres, a higiene cibernética básica e a formação, o controlo de acessos e a utilização de autenticação multifator. Mesmo fora da NIS2, a sobreposição com os temas das seguradoras faz com que as provas reunidas para um dos exercícios servem também para o outro.
A ANSSI, agência nacional francesa de cibersegurança, e a AMRAE, associação francesa dos gestores de riscos e de seguros, publicaram um guia para dirigentes, «Controlling the digital risk - the trust advantage», disponível em inglês e em francês. Apresenta a gestão do risco digital como uma abordagem passo a passo, para organizações de qualquer dimensão, que é exatamente o enquadramento em que o questionário de uma seguradora deve ser lido.
O artigo 32.º do RGPD exige medidas técnicas e organizativas adequadas, incluindo, quando for caso disso, a capacidade de restabelecer a disponibilidade dos dados pessoais em tempo útil após um incidente e um processo de testes, apreciação e avaliação regulares da eficácia dessas medidas. As cópias de segurança, os testes de restauro e o controlo de acessos têm, por isso, uma importância que vai muito além do seu dossier de seguro.
Fora de França: a regra da queixa em 72 horas acima é direito francês. Outros países têm regras próprias sobre seguros e sobre a denúncia de cibercrime, e o seu contrato pode fixar prazos de notificação próprios. Verifique-os com o seu mediador, com a seguradora ou com o seu consultor jurídico. Esta página é informativa e não constitui aconselhamento jurídico.
O que contém cada opção. A disponibilidade e as condições serão publicadas quando o serviço abrir.
Está a candidatar-se a um ciberseguro, ou a responder pela primeira vez a uma secção de segurança informática.
O questionário volta com a renovação e a sua informática mudou desde o ano passado.
Um novo formulário, com outra redação, mas que pergunta pelos mesmos controlos.
Respostas curtas, com a fonte oficial sempre que esteja em causa uma regra.
Consultadas em 13 de outubro de 2026. Quando um texto está em francês, a tradução nesta página é nossa e não oficial.
Microsoft, Microsoft 365, Microsoft Entra, Intune, Defender e Purview são marcas da Microsoft. São citados apenas para designar as funcionalidades de onde são lidas as provas. A SYAGA Consulting não está associada à Microsoft, à ENISA, à ANSSI nem a qualquer seguradora.
O percurso em autosserviço está a ser preparado. Entretanto, para perguntas: contact@syaga.eu
Uma base de trabalho, não aconselhamento jurídico. A declaração final à sua seguradora, e a sua exatidão, continuam a ser da sua responsabilidade.