Seguro ciber
O que o seguro ciber pressupõe dos colaboradores e da direção: cópias de segurança offline, dupla autenticação, primeiros gestos e declaração.
Em 30 segundos
Do que se trata
Um seguro ciber é um contrato que a empresa subscreve para enfrentar as consequências de um ataque informático. Para um colaborador, fica quase sempre invisível até ao dia em que ocorre um incidente: a seguradora pode estar entre as pessoas a avisar, juntamente com o serviço informático e os responsáveis envolvidos1.
As fontes citadas aqui são guias públicos de segurança e de gestão de incidentes. Nenhuma descreve o conteúdo de um contrato de seguro: nem as coberturas (custos de crise, restauro de dados, perdas de exploração, responsabilidade civil), nem as exclusões, nem as condições impostas por uma seguradora em particular. Por isso, esta ficha não entra nesses pormenores. Apresenta o que essas fontes dizem sobre as medidas de segurança que uma seguradora pode pedir e sobre os passos a dar em caso de incidente. As condições reais constam do contrato da empresa.
Perguntas diretas
O que cobre um seguro ciber?
As fontes citadas aqui não o dizem. Mencionam apenas a existência de uma seguradora ciber entre as partes interessadas num incidente1. O âmbito exato, os limites e as exclusões dependem do contrato. A direção, ou quem o negociou, é a única que os pode indicar.
Que medidas de segurança exigem as seguradoras?
As fontes não estabelecem uma lista de exigências das seguradoras. Descrevem, em contrapartida, medidas que os organismos públicos recomendam: cópias de segurança offline, autenticação multifator, plano de resposta a incidentes135. Saber quais delas uma seguradora impõe à empresa obriga a ler o respetivo contrato.
Porque devem as cópias de segurança estar offline?
Muitas variantes de ransomware procuram as cópias de segurança acessíveis para as apagar ou cifrar1. Uma cópia ligada ao computador ou à rede da empresa pode ser destruída pelo programa malicioso, daí o conselho de a desligar ou de a manter offline quando não está a ser usada2.
O que muda com a autenticação multifator?
Exige pelo menos dois elementos para provar a identidade: algo que se sabe, algo que se possui ou algo que se é3. Mesmo que uma palavra-passe seja roubada, o atacante não tem o segundo elemento3. Nem todos os métodos são equivalentes: a CISA escreve que «any MFA is better than no MFA» e recomenda optar por métodos resistentes ao phishing3. O NCSC britânico recomenda também técnicas que protegem melhor contra o phishing4.
1O que muda para os colaboradores1 min
O colaborador não precisa de conhecer o contrato. Tem, no entanto, gestos a cumprir, porque parte da segurança depende de si.
- Ativar a dupla autenticação logo que seja proposta no e-mail e nos serviços profissionais3.
- Não deixar um disco de cópia de segurança permanentemente ligado ao seu posto de trabalho2.
- Comunicar qualquer comportamento suspeito, por exemplo um e-mail de phishing: um programa de sensibilização deve explicar como o reconhecer e comunicar1.
A consequência prática de um incumprimento para efeitos de indemnização não está documentada nas fontes citadas aqui. Depende das cláusulas do contrato.
2O que muda para a direçãoDireção1 min
A direção escolhe as medidas e mantém os planos atualizados. As fontes citadas aqui pedem-lhe várias coisas.
- Redigir, manter e exercitar regularmente um plano de resposta a incidentes e um plano de comunicação, incluindo um exemplar em papel e uma versão offline1.
- Ligar esse plano à retoma da atividade, à continuidade e à gestão de crises5.
- Testar regularmente as cópias de segurança, incluindo o respetivo restauro12.
- Se um prestador gere as cópias de segurança, fixar por contrato as suas exigências de segurança1.
- Manter os dirigentes informados ao longo da crise; entre as partes interessadas a informar pode estar a seguradora1.
O NCSC escreve que nenhuma segurança é perfeita: «Incidents can and will happen»5. Só uma boa preparação ajuda a geri-los bem5.
3O que diz o textoTexto oficial1 min
Nenhuma das fontes citadas aqui é um texto legal sobre seguros ciber. Os textos jurídicos que mencionam dizem respeito aos dados pessoais.
O RGPD impõe que as violações de dados pessoais sejam documentadas internamente e que sejam notificadas à CNIL aquelas que apresentem risco para os direitos e liberdades das pessoas6. Quando o risco é elevado, as pessoas em causa devem também ser informadas6. A obrigação de notificar a CNIL está prevista no artigo 33.º do RGPD e abrange todos os responsáveis pelo tratamento. O artigo 34.º impõe a informação das pessoas em caso de risco elevado6.
A notificação faz-se o mais depressa possível. Se faltarem informações, pode fazer-se em dois tempos: uma notificação inicial no prazo de 72 horas, se possível, e depois uma notificação complementar. Passadas 72 horas, os motivos do atraso têm de ser explicados6.
A CNIL indica também que, se a violação resultar de um ciberataque, é aconselhável apresentar queixa na esquadra de polícia ou na gendarmaria e manter à disposição dos investigadores os elementos de prova técnicos6. As cópias de segurança estão sujeitas aos mesmos regimes jurídicos que os dados de origem e, tratando-se de dados pessoais, pode haver responsabilidade civil ou penal em caso de incumprimento comprovado2.
4Em que ponto está a aplicação2 min
As fontes citadas aqui não indicam o estado de aplicação de um quadro legal próprio do seguro ciber em França, nem qualquer obrigação de subscrever um. O que está estabelecido é a notificação à CNIL prevista pelo RGPD6.
No plano dos referenciais, o NIST apresenta o seu Cybersecurity Framework 2.0 como um documento destinado a reduzir os riscos de cibersegurança para a indústria, as administrações e as organizações7. O NCSC recorda o ciclo de vida descrito pelo NIST: identificar, proteger, detetar, responder, recuperar5. Quanto ao incidente em si, a fonte norte-americana dirige-se aos profissionais de informática: pede que identifiquem os sistemas afetados e os isolem de imediato, de forma coordenada, e que só desliguem um aparelho se não puder ser desligado da rede1. Aconselha a comunicar por telefone em vez de usar ferramentas talvez vigiadas1. Pede também que se preservem as provas voláteis (memória, registos de segurança, memórias intermédias da firewall) e que se recolham os registos úteis1. Prevê a informação das partes interessadas, entre as quais pode estar a seguradora, e a comunicação do incidente a autoridades norte-americanas (CISA, FBI)1. Na prática, a empresa segue o seu próprio plano de resposta. Se forem afetados dados pessoais, a notificação à CNIL deve ser enviada o mais depressa possível, no prazo de 72 horas, se possível6. Durante a investigação, pede que se procurem vestígios de software malicioso precursor («dropper»), porque um ataque de ransomware pode revelar um comprometimento anterior da rede que não foi resolvido1. Durante a retoma, pede que se evite reinfetar os sistemas saudáveis1. As equipas podem também examinar os registos do antivírus ou do EDR para detetar outros sistemas afetados1.
Ficha
- Identificador
- CP-385
- Ala
- 6. Governação e GRC
- Competência Brain
- Proteger os dados (safeguard_data)
- Reflexo Brain
- cr-063
- Esquema
- G3 · Corte anatómico
- Idiomas
- de, en, es, fr, it, nl, pt
- Fontes
- 7 fontes verificadas em 3 de novembro de 2026
Fontes7 fontes
- CISA, «#StopRansomware Guide | CISA». https://www.cisa.gov/stopransomware/ransomware-guide (consultado em 3 de novembro de 2026)
- Cybermalveillance.gouv.fr, «Pourquoi et comment bien gérer ses sauvegardes ?», 13 de novembro de 2019. https://www.cybermalveillance.gouv.fr/tous-nos-contenus/bonnes-pratiques/sauvegardes (consultado em 3 de novembro de 2026)
- CISA, «More than a Password». https://www.cisa.gov/MFA (consultado em 3 de novembro de 2026)
- NCSC (Royaume-Uni), «Multi-factor authentication for your corporate online services», 26 de setembro de 2024. https://www.ncsc.gov.uk/collection/mfa-for-your-corporate-online-services (consultado em 3 de novembro de 2026)
- NCSC (Royaume-Uni), «Incident management», 19 de setembro de 2019. https://www.ncsc.gov.uk/collection/incident-management (consultado em 3 de novembro de 2026)
- CNIL, «Notifier une violation de données personnelles», 24 de maio de 2018. https://www.cnil.fr/fr/services-en-ligne/notifier-une-violation-de-donnees-personnelles (consultado em 3 de novembro de 2026)
- NIST, «Cybersecurity Framework». https://www.nist.gov/cyberframework (consultado em 3 de novembro de 2026)
Citar este artigo
Brain, «Seguro ciber», Cyberpedia, 2026. https:/
BibTeX
@misc{brain_cp385_pt_2026,
author = {Brain},
title = {Seguro ciber},
year = {2026},
howpublished = {Cyberpedia},
url = {https://startbrain.io/cyberpedia/pt/articles/seguro-ciber-requisitos-sinistro/},
note = {CC BY 4.0}
}