Cibersegurança
Encontrar as falhas antes de quem as procura.
Auditamos o código-fonte, testamos aplicações, APIs e infraestruturas e corrigimos o que encontramos. É uma nova linha de trabalho da Datapoint, construída sobre a experiência de quem desenvolve e mantém sistemas de informação e sabe onde eles costumam falhar.
O que fazemos
Do código à infraestrutura, até a falha ficar fechada.
-
Auditoria de código-fonte
Revemos o código à procura de falhas de segurança, com ferramentas de análise, apoio de IA e confirmação humana de cada achado.
- Fluxos críticos revistos à mão
- Dependências e componentes
- Correção proposta para cada falha
-
Testes a aplicações web e APIs
Testamos as aplicações como um atacante faria, dentro de um âmbito e de uma janela acordados por escrito.
- Autenticação e permissões
- Validação de dados
- APIs REST e GraphQL
-
Testes a infraestruturas
Avaliamos a exposição externa e a rede interna: servidores, serviços, acessos remotos e diretório.
- Perímetro externo
- Rede interna e Active Directory
- Configurações e versões
-
Testes a aplicações móveis
Analisamos apps Android e iOS e as APIs de que dependem, do armazenamento de dados às comunicações.
- Dados guardados no dispositivo
- Comunicações cifradas
- APIs de suporte
-
Correções e reteste
Corrigimos nós ou apoiamos a sua equipa ou o seu fornecedor, e confirmamos com um reteste que a falha ficou fechada.
- À escolha do cliente
- Reteste incluído
- Relatório final atualizado
-
Vigilância de dependências
Acompanhamos as bibliotecas e os componentes dos seus sistemas e avisamos quando surge uma falha crítica que os afeta.
- Alertas com prioridade
- Correção planeada
- Inventário atualizado
-
Segurança no desenvolvimento
Revisão contínua do código novo e formação de programadores em desenvolvimento seguro.
- Revisão em cada versão
- Boas práticas OWASP
- Formação prática
-
NIS2 e resposta a incidentes
Apoio no inventário, na análise de risco e nas medidas do Regime Jurídico da Cibersegurança, e ajuda a conter e analisar um incidente.
- Medidas do Regime Jurídico
- Apoio à notificação
- Disponibilidade 24/7 por contrato
Metodologia
Âmbito claro, testes seguros, falhas fechadas.
Veja um relatório de exemplo, com achados fictícios explicados do problema à correção.
-
Âmbito e autorização
Sistemas, ambientes, janelas de teste e contactos acordados e autorizados por escrito.
-
Análise
Auditoria do código e testes, com cada achado reproduzido e confirmado por uma pessoa.
-
Relatório
Achados por gravidade, com provas, impacto e correção proposta, apresentados à equipa.
-
Correções
Feitas por nós ou pela sua equipa ou fornecedor, com o nosso apoio.
-
Reteste
Confirmação de que cada falha ficou fechada e relatório final atualizado.
-
Acompanhamento
Testes periódicos e vigilância de dependências, na subscrição anual.
Regras de trabalho
As regras que seguimos em todos os testes.
Um teste de segurança só é útil se for feito com autorização, cuidado e confidencialidade.
- Autorização escrita: só testamos o que o responsável pelo sistema autorizou, dentro do âmbito e das janelas acordados.
- Serviço sem interrupções: testes intrusivos em ambientes de teste ou em janelas combinadas, com contacto direto durante a execução.
- Confidencialidade: código, dados e achados ficam na União Europeia, através dos nossos parceiros, ou nas suas instalações, e nunca são usados para treinar modelos de IA.
- Confirmação humana: a IA ajuda a encontrar candidatos, mas cada achado do relatório é reproduzido e confirmado por uma pessoa.
- Normas reconhecidas: metodologias OWASP e gravidade medida com CVSS, para que os resultados sejam comparáveis.
- Divulgação responsável: falhas em produtos de terceiros são comunicadas ao fabricante de forma coordenada.
Preço
Âmbito fechado, preço fechado.
Sabe quanto vai pagar antes de começarmos, e o reteste das falhas corrigidas está sempre incluído.
-
Auditoria ou teste por âmbito
Preço fixo por aplicação, API ou infraestrutura, definido depois de conhecermos o sistema.
- Âmbito e preço fechados
- Reteste incluído
-
Correções
Quando somos nós a corrigir, orçamento fixo por achado ou bolsa de horas, à sua escolha.
- Prioridade pela gravidade
- Reteste incluído
-
Subscrição anual
Testes periódicos, vigilância de dependências e reteste das alterações, com mensalidade fixa.
- Calendário acordado
- Alertas de falhas críticas
Para entidades públicas
Preparar o Regime Jurídico da Cibersegurança, dentro das regras da contratação pública.
Trabalhamos com a administração pública regional desde 2018, em contratos por concurso público e por ajuste direto.
- Sessão NIS2 gratuita para dirigentes e técnicos: genérica, sem análise dos sistemas da entidade, sobre o novo Regime Jurídico da Cibersegurança e a cadeia de fornecimento.
- Auditorias e testes com âmbito, entregáveis e preço definidos, contratáveis pelo procedimento do Código dos Contratos Públicos aplicável a cada valor.
- Começar por uma aplicação e alargar às restantes ao mesmo preço unitário, quando essa possibilidade fica prevista no procedimento inicial.
- Pagamento após aceitação, contra critérios definidos no caderno de encargos.
- Transparência: os nossos contratos públicos podem ser consultados no portal BASE.
Sessão NIS2 gratuita
Perceber o que muda com o novo regime e o que pedir aos fornecedores.
Preço por aplicação
Valores fixos que ajudam a estimar o custo e a escolher o procedimento.
Alargamento previsto
Cada nova aplicação segue o mesmo método e o mesmo preço.
Confidencialidade
Código e achados tratados na UE ou nas suas instalações.
Perguntas frequentes
Sobre os nossos serviços de cibersegurança.
Os testes podem afetar o funcionamento dos sistemas?
Planeamos os testes para que isso não aconteça. Os testes mais intrusivos são feitos em ambientes de teste ou em janelas combinadas, há sempre um contacto direto durante a execução e paramos de imediato se nos for pedido.
Qual é a diferença entre uma auditoria de código e um teste de penetração?
A auditoria olha para o sistema por dentro, lendo o código à procura de falhas. O teste de penetração olha por fora, atacando o sistema em funcionamento como um atacante faria. Complementam-se: juntos encontram mais falhas do que cada um sozinho.
Quem corrige as falhas encontradas?
Escolhe o cliente. Podemos corrigir nós, no nosso código ou no de terceiros, com autorização, ou entregar as correções propostas e apoiar a sua equipa ou o seu fornecedor. Em ambos os casos, fazemos o reteste.
Usam inteligência artificial? Para onde vai o nosso código?
Usamos ferramentas de IA para encontrar padrões e caminhos de dados suspeitos, e cada achado é confirmado por uma pessoa. O código é tratado na União Europeia, através dos nossos parceiros, ou nas suas instalações, só com o seu acordo escrito, e nunca é usado para treinar modelos.
Com que frequência devemos testar?
Pelo menos uma vez por ano e sempre que houver uma alteração importante, como uma nova versão, uma nova integração ou uma mudança de alojamento. A subscrição anual cobre este calendário.
Isto ajuda a cumprir a NIS2?
Sim, apoia a gestão de vulnerabilidades e a segurança da cadeia de fornecimento exigidas pelo Regime Jurídico da Cibersegurança. Não substitui as obrigações próprias de cada entidade, como a designação de responsáveis e a notificação de incidentes, mas ajudamos a prepará-las.
Se tivermos um incidente fora de horas, podemos contar convosco?
Sim, 24 horas por dia, quando o contrato o prevê. Nos restantes casos, apoiamos em horário laboral, com tempos de resposta acordados em contrato.
Por onde quer começar?
Uma auditoria, um teste ou uma sessão NIS2 gratuita: escolha o primeiro passo.