Gerir corretamente as palavras-passe na empresa: o guia prático

Negligência no tratamento das palavras-passe

Cerca de um terço dos utilizadores de Internet na Alemanha utiliza a mesma palavra-passe para vários serviços (Bitkom, 30/01/2025) – e é precisamente através dessas palavras-passe que passam a maioria dos ataques bem-sucedidos, das tentativas de força bruta ao Credential Stuffing. O nosso artigo Palavras-passe idênticas mostra porque uma única palavra-passe exposta se transforma numa reação em cadeia. Este guia trata o lado organizacional: como estruturar e impor corretamente o tratamento de palavras-passe na empresa.

Criar uma política de palavras-passe para a empresa: BSI, NIST, 2FA e Passkeys

Em muitas empresas faltam políticas de palavras-passe vinculativas ou a sua aplicação. As palavras-passe são partilhadas por e-mail ou messenger, as listas ficam não encriptadas em partilhas de rede. É exatamente aqui que entra uma gestão de palavras-passe central e bem estruturada:

• Palavras-passe fortes e individuais para todas as contas – sem esforço de memorização para os utilizadores.
• Políticas centrais sobre comprimento, estrutura, verificação contra listas de bloqueio (por exemplo, palavras-passe comprometidas) e obrigações de 2FA.
• Responsabilidades transparentes e audit trails para rastreabilidade.
• Revogação imediata dos direitos de acesso em caso de mudança de função ou de saída.

O Password Depot ajuda-o a impor um elevado padrão de segurança – por exemplo, através da análise da qualidade das palavras-passe e de avisos em caso de entradas fracas.

Como gerir corretamente as palavras-passe na empresa

O processo em resumo – os passos detalhados seguem-se abaixo:

1. Inventariar as palavras-passe existentes e as contas partilhadas
2. Definir responsabilidades e pessoas de contacto
3. Estabelecer a política de palavras-passe segundo BSI/NIST (comprimento, unicidade, listas de bloqueio, MFA)
4. Construir o modelo de permissões e funções – até ao nível da base de dados, da pasta e da entrada
5. Definir o processo de partilha para acessos partilhados
6. Regular o onboarding e o offboarding (atribuição e revogação de permissões, rotação de palavras-passe)
7. Ancorar a alteração de palavras-passe por motivo concreto, em vez da rotação por calendário
8. Verificar regularmente os logs de auditoria e reconstituir incidentes

As empresas que levam a sério a segurança das palavras-passe colocam os seguintes pontos na sua lista de tarefas:

Sensibilizar os colaboradores:

Explique de forma compreensível porque as palavras-passe únicas e longas, a 2FA e as Passkeys aumentam massivamente a segurança dos dados. Formações, guias curtos e FAQs internas ajudam.

Nomear pessoas de contacto:

Designe uma entidade responsável (por exemplo, segurança de TI/operação de TI) para questões de proteção de palavras-passe, políticas e gestão de incidentes.

Definir políticas para palavras-passe seguras:

Oriente-se por diretrizes estabelecidas (por exemplo, NIST SP 800-63B e recomendações do BSI). Aposte em comprimento e unicidade em vez de regras de complexidade puramente formais. As nossas Dicas para criar palavras-passe seguras mostram como isso funciona na prática – e como o Password Depot o verifica e impõe.

Modernizar as regras de alteração:

Chega de intervalos de alteração rígidos. Altere as palavras-passe por motivo concreto (por exemplo, depois de incidentes, em mudanças de função ou de sistema) e force a alteração apenas perante indicadores de comprometimento. É também o que recomendam o BSI e a diretriz do NIST.

Aumentar a produtividade – segurança sem fricção:

Evite e-mails circulares manuais e papéis avulsos. Dê à sua equipa ferramentas fáceis de usar que geram palavras-passe seguras, preenchem automaticamente e controlam as partilhas com base em regras – assim, o foco permanece no trabalho e não na gestão de palavras-passe.

Impor as regras de palavras-passe com uma gestão centralizada

As políticas só produzem efeito se uma ferramenta as impuser. O Password Depot Enterprise Server ancora centralmente a prática aqui descrita: bases de dados de equipa encriptadas no seu próprio servidor, políticas de palavras-passe do lado do servidor, acessos baseados em funções e registos auditáveis. Quando alguém sai da empresa, a administração bloqueia o acesso centralmente e roda as palavras-passe afetadas de forma rastreável. Os requisitos que uma solução destas deve cumprir em detalhe – das funções à integração AD e à soberania dos dados – são descritos na nossa visão geral Gestor de palavras-passe para empresas.

Controlar os direitos de acesso de forma granular

Além da encriptação forte, um modelo granular de direitos e partilhas garante a segurança. Defina por utilizador quais bases de dados, pastas e entradas são visíveis, que alterações são permitidas, se exportações são autorizadas e quais ações são registadas. Atribua direitos de forma rápida e transparente a departamentos e grupos. Para a separação de tarefas existem funções dedicadas (Audit Reader, Security Officer, Backup Operator), e cada ação fica registada num trilho de auditoria à prova de manipulação – o artigo Enterprise Server & ISO 27001 mostra como isto apoia os controlos ISO 27001.

Base técnica: encriptação segundo as recomendações do BSI

O Password Depot encripta dados ao mais alto nível (AES-256); novas bases de dados locais utilizam o modo autenticado AES-GCM. A comunicação entre clientes e servidor ocorre através de TLS (opcionalmente com verificação de certificados/certificados de cliente). Assim, segue recomendações criptográficas comprovadas do BSI, ver TR-02102 (TLS, algoritmos & comprimentos de chave).

Verificado externamente: no teste de penetração de 10 dias da SySS GmbH (12/2025) não foram identificadas vulnerabilidades críticas ou de gravidade elevada. O nosso artigo Quão seguros são os gestores de palavras-passe? explica como avaliar, em termos gerais, a segurança dos gestores de palavras-passe – da encriptação aos riscos residuais.

Comprove por si mesmo

Veja num vídeo curto o que o Password Depot Enterprise Server pode fazer pela sua empresa: Proteja as palavras-passe da sua empresa com o Password Depot Enterprise Server

Gostaria de ver o Password Depot Enterprise Server num webinar pessoal? Escolha aqui a data que preferir. Em alternativa, marque uma reunião por e-mail ou telefone. Encontra informações sobre o licenciamento aqui.

Perguntas frequentes sobre a prática de palavras-passe na empresa

O que deve constar de uma política de palavras-passe para empresas?

Comprimento mínimo e unicidade em vez de imposições formais de complexidade, a proibição da reutilização, a verificação das palavras-passe novas e existentes contra listas comprometidas, obrigações de MFA para acessos de administração, remotos e Cloud, regras de alteração por motivo concreto e processos claros para contas partilhadas, onboarding e offboarding.

O que recomenda o BSI sobre a alteração regular de palavras-passe?

O BSI desaconselha, desde 2025, a alteração regular de palavras-passe sem motivo. Em alternativa: palavras-passe ou passphrases fortes e únicas, sempre que possível autenticação de dois fatores ou Passkeys – e uma alteração apenas em caso de suspeita ou prova de comprometimento.

O que recomenda o NIST sobre o comprimento e a complexidade das palavras-passe?

A NIST SP 800-63B aposta no comprimento e na unicidade em vez de regras forçadas de caracteres especiais, recomenda a verificação contra listas de palavras-passe comprometidas e exige que continue a ser permitido colar a partir de gestores de palavras-passe – a diretriz rejeita intervalos de alteração rígidos sem motivo.

Quando se devem alterar as palavras-passe na empresa?

Por motivo concreto: depois de incidentes de segurança ou suspeita de comprometimento, depois de casos de phishing, em mudanças de função e sempre que colaboradores com acesso a contas partilhadas saem da empresa – e não segundo um calendário fixo.

Como se regulam os direitos de acesso a palavras-passe partilhadas?

Através de grupos e funções numa gestão centralizada de palavras-passe: as permissões são atribuídas por base de dados, pasta e entrada (ler, alterar, exportar), a atribuição é feita pela associação a grupos em vez da transmissão de palavras-passe, e cada acesso é registado.

Como funciona o offboarding com dados de acesso partilhados?

Bloquear centralmente o acesso da pessoa que sai, identificar na visão geral central que bases de dados e entradas são afetadas, rodar as palavras-passe em causa e documentar o processo no registo. Sem uma gestão central, este passo é praticamente impossível de realizar com fiabilidade.