Guia
Contas de administração, palavras-passe e autenticação de dois fatores
As contas de administração são as chaves da sua informática: um atacante que obtenha uma pode fazer tudo. Contas separadas, autenticação de dois fatores, palavras-passe robustas: eis as regras da ANSSI e da CNIL, reduzidas ao que uma PME deve fazer.
Atualizado a 18 de outubro de 2026 · Os números têm as fontes indicadas no fundo da página; as apreciações são da IT CyberWall.
Porque estas contas são o alvo
Um atacante que obtenha a palavra-passe de uma conta de administração pode fazer tudo: instalar um ransomware em todos os postos, apagar dados, criar contas para voltar mais tarde. Proteger estas contas é a medida que mais reduz os danos possíveis. A ANSSI dedica-lhes várias medidas do seu guia de higiene informática: inventário das contas privilegiadas, distinção entre as funções de utilizador e de administrador, autenticação forte[1].
Contas de administração à parte
- Uma conta de administração distinta da conta do dia a dia, com uma palavra-passe diferente[2].
- Nunca usar o e-mail nem navegar com uma conta de administração[2][1].
- Contas nominativas: sabe-se quem fez o quê[2][1].
- O menor privilégio: cada pessoa só tem os direitos de que precisa e os utilizadores não são administradores do seu posto[2][1].
- Um inventário atualizado das contas privilegiadas, incluindo as dos prestadores[1].
A autenticação de dois fatores
A ANSSI recomenda privilegiar a autenticação multifator[3] e exigir pelo menos dois fatores para a administração[2]. Na prática, comece por:
- as contas de administração (Microsoft 365, Google Workspace, servidores, firewall, fornecedor de alojamento, nome de domínio);
- os acessos remotos (VPN, ambiente de trabalho remoto);
- o e-mail de todos os utilizadores.
Uma aplicação de autenticação ou uma chave de segurança é melhor do que um código recebido por SMS, mais fácil de intercetar.
Palavras-passe que resistem
| Caso | Recomendação da CNIL[4] |
|---|---|
| Palavra-passe isolada | 12 caracteres com maiúsculas, minúsculas, algarismos e caracteres especiais, ou 14 caracteres sem carácter especial obrigatório, ou uma frase-passe de 7 palavras |
| Conta protegida por um bloqueio após várias tentativas falhadas | 8 caracteres de 3 tipos diferentes, ou 5 palavras |
- Sem renovação forçada para todos: a CNIL e a ANSSI já não a impõem para as contas comuns, mas mantêm-na para as contas privilegiadas[4][3].
- Uma alteração imediata em caso de dúvida sobre um comprometimento[3].
- Um gestor de palavras-passe fornecido pela empresa[3].
- As palavras-passe predefinidas dos routers, impressoras, câmaras e servidores são alteradas logo na instalação[3][1].
A sua lista de verificação
- Quem é administrador de quê? A lista existe e está atualizada.
- Nenhum administrador lê os seus e-mails com a conta de administração.
- A autenticação de dois fatores está ativa em todas as contas de administração e nos acessos remotos.
- As contas dos antigos colaboradores e dos antigos prestadores estão desativadas.
- A conta «proprietária» do seu Microsoft 365 ou Google Workspace e do seu nome de domínio está em nome da empresa.
O que a IT CyberWall faz
Fazemos o inventário das contas privilegiadas, separamos as contas de administração, ativamos a autenticação de dois fatores e implementamos um gestor de palavras-passe. Os nossos próprios acessos aos seus sistemas são nominativos e fica com a lista.
Já não sabe quem é administrador de quê?
Fazemos o inventário das suas contas e implementamos a autenticação de dois fatores.
Fontes
Fontes consultadas a 18 de outubro de 2026. Os preços dos fornecedores são indicados sem IVA, na moeda e na região da tabela publicada, e podem mudar: confirme sempre a página oficial antes de decidir.
- ANSSI – Guide d’hygiène informatique, v2.0 (medidas 5, 8 a 13, 27 a 29) — messervices.cyber.gouv.fr/documents-guides/guide_hygiene_informatique_anssi.pdf
- ANSSI – Recommendations to Secure Administration of IT Systems, v2.0 (24 de abril de 2018) — cyber.gouv.fr/sites/default/files/2018/10/guide_anssi_secure_admin_is_pa_022_en_v2.pdf
- ANSSI – Recommandations relatives à l’authentification multifacteur et aux mots de passe, v2.0 (8 de outubro de 2021) — messervices.cyber.gouv.fr/guides/recommandations-relatives-lauthentification-multifacteur-et-aux-mots-de-passe
- CNIL – Délibération n° 2022-100 du 21 juillet 2022, recommandation relative aux mots de passe — www.cnil.fr/sites/cnil/files/atoms/files/deliberation-2022-100-du-21-juillet-2022_recommandation-aux-mots-de-passe.pdf