Damascode

Proteja os seus sistemas. Controle cada acesso.

Ajudamos empresas a avaliar e reforçar a segurança de aplicações, APIs, identidades, integrações e fluxos com IA, incluindo agentes não autorizados e Shadow AI.

Discutir uma avaliação de segurança Entre em contacto

Desafios de negócio e casos de uso

Ferramentas e integrações de IA expandem a superfície de ataque. Agentes não autorizados e automação com permissões excessivas criam riscos que scans tradicionais podem não cobrir.

Colaboradores ligam ferramentas de IA não aprovadas a dados da empresa sem visibilidade de IT.
Chaves de API e contas de serviço partilhadas para integrações rápidas.
Agentes de IA com acesso amplo a ferramentas sem auditoria passo a passo.
Integrações LLM que contornam autorização normal em APIs backend.
Logging insuficiente para reconstruir quem, ou o quê, executou uma ação.

Engenharia de Cibersegurança e Preparação Técnica NIS2

Apoio de engenharia para organizações sujeitas ou a preparar-se para o Regime Jurídico da Cibersegurança (Decreto-Lei 125/2025): evidência técnica, análise de lacunas alinhada ao QNRCS e remediação. Não somos organismo de certificação, escritório de advogados nem SOC 24/7 salvo contratação explícita. Consulte o guia NIS2 Portugal em Insights para contexto legal e prazos.

A. Avaliação de Prontidão em Cibersegurança e NIS2

Fotografia técnica de activos, configurações e lacunas antes de investimento grande em remediação.

Inventário técnico de activos e apoio à lista de activos expostos à Internet
Revisão de configuração de segurança (servidores, cloud, identidade)
Avaliação de identidade e acesso, MFA e contas privilegiadas
Revisão de segurança de aplicações e APIs
Revisão de infraestrutura, rede e cloud
Avaliação de backup e recuperação
Identificação de vulnerabilidades
Análise de lacunas face a áreas QNRCS aplicáveis
Roteiro de remediação priorizado
Relatório executivo e técnico

B. Engenharia de Cibersegurança e Remediação

Implementação hands-on de controlos acordados com documentação auditável.

Implementação IAM e MFA
Endurecimento de servidores e infraestrutura
Melhorias de segurança cloud
Correcções em aplicações e APIs
Remediação de vulnerabilidades
Reforço de desenvolvimento seguro
Melhorias de backup e recuperação
Configuração de logging e monitorização
Documentação de segurança e packs de evidência técnica

C. Engenharia de Segurança Contínua

Retainers periódicos para manter evidência actualizada , não incluídos numa avaliação pontual.

Avaliações de segurança periódicas
Follow-up de vulnerabilidades
Revisões de acesso e configuração
Validação de backups e testes de recuperação
Actualização do roteiro de melhorias
Reporting técnico e actualização de evidência

Capacidades de serviço

Avaliações de aplicação e API

Revisão de caminhos críticos, fluxos de autenticação, tratamento de inputs e exposição de APIs.

Identidade e acesso

Autenticação, autorização, least privilege e desenho de perfis para pessoas e identidades de serviço.

Alinhamento Zero Trust

Decisões de acesso ao nível do recurso, segmentação e passos práticos para verificação contínua.

IA não autorizada e Shadow AI

Revisão orientada à descoberta de ferramentas não sancionadas, fluxos de dados e lacunas de governação.

Segurança de agentes IA

Permissões de ferramentas, limites de privilégio, inputs não confiáveis e padrões seguros de ação.

Arquitetura de integração segura

Endurecimento de integrações LLM, serviços externos e servidores de ferramentas tipo MCP.

Auditoria e observabilidade

Trilhas de auditoria, monitorização, recomendações de alertas e desenho de logging relevante.

Orientação de desenvolvimento seguro

Prioridades de remediação, recomendações de código seguro e suporte de implementação no âmbito acordado.

Projetos de implementação com scope

Entregáveis definidos para endurecimento de identidade, regras de gateway ou governação de agentes.

Planeamento de resposta a incidentes

Playbooks, papéis, canais de comunicação e runbooks técnicos para incidentes significativos, como planeamento e suporte de engenharia, não SOC 24/7 salvo contrato.

Continuidade de negócio e recuperação de desastre

Validação de backups, testes de recuperação e padrões de continuidade alinhados a RTO/RPO e evidência para auditoria.

Políticas de segurança e controlos técnicos

Apoio à redação e implementação de políticas, standards e baselines de controlos alinhados à operação real dos sistemas.

Cenários de implementação

O engagement varia consoante a maturidade: algumas equipas precisam de uma linha de base; outras de fechar lacunas após adoção de IA.

01
Revisão de chatbot interno que lê SharePoint ou Confluence com mapeamento fraco de grupos.
02
Inventário de APIs e redução de scopes OAuth antes de expor ferramentas a um agente.
03
Playbook de governação para aprovar novos servidores MCP e plugins de IA de terceiros.
04
Endurecimento de app customer-facing após funcionalidades LLM que chamam microserviços.

Processo de engagement

Fase 1

Scoping

Definir sistemas em âmbito, prioridades de ameaça e se o objetivo é avaliação, remediação ou ambos.

Fase 2

Avaliação

Revisão estruturada de apps, APIs, identidades e pontos de IA com findings priorizados.

Fase 3

Plano de remediação

Recomendações priorizadas com estimativas de esforço e suporte opcional de implementação.

Fase 4

Implementação

Alterações hands-on quando contratado, configuração, correções de código e endurecimento no scope.

Fase 5

Monitorização

Monitorização contínua apenas quando explicitamente contratada; clarificamos o one-off vs contínuo.

Governação de agentes IA e Shadow AI

Agentes não autorizados podem ler informação confidencial, disparar ações indesejadas ou operar com permissões excessivas com auditoria fraca. A governação fecha essa lacuna.

Inventário de ferramentas de IA aprovadas e pontos de integração.
Política para classes de dados que não podem sair de ambientes controlados.
Fluxo de aprovação para agentes que escrevem em produção.
Permissões mínimas por ferramenta e por perfil de agente.
Revisão de retenção e acesso a logs que provam quem iniciou uma ação.

Tecnologias relevantes

As recomendações são específicas do stack; não afirmamos certificações de fornecedor salvo acordo escrito em contrário.

OAuth 2.0 · OpenID Connect · API gateways · reverse proxies · PostgreSQL · audit logging · Docker · Kubernetes · Formatos de log compatíveis com SIEM · Padrões MCP e integração LLM

Âmbito e limitações

Não afirmamos SOC 24/7, penetration testing certificado ou retainers de incident response salvo scope explícito.
Avaliações descrevem risco e recomendações; não garantem ausência total de vulnerabilidades.
Conformidade regulatória é responsabilidade da empresa salvo projeto especificamente orientado a compliance.
Monitorização contínua só está disponível como trabalho contratado em ongoing, não implícita numa avaliação pontual.

Perguntas frequentes

O que é Shadow AI na prática?

É o uso de ferramentas ou agentes de IA fora dos canais aprovados por IT, por exemplo contas pessoais de ChatGPT com documentos da empresa.

Bloqueiam agentes de IA não autorizados automaticamente?

O bloqueio depende de rede, identidade e controlos de endpoint. Ajudamos a descobrir lacunas, definir políticas e implementar controlos onde a arquitetura o permitir.

Fazem penetration tests?

Não anunciamos penetration testing ou red team por defeito. Podemos rever apps e APIs e recomendar testes especializados se necessário.

Como protegem servidores MCP?

Tratamo-los como APIs sensíveis: autenticação, ferramentas com least privilege, validação de inputs, colocação de rede e logging por invocação.

Que entregáveis resultam de uma avaliação?

Resumo escrito de findings, priorização de risco e próximos passos, mais workshops opcionais com engineering e segurança.

Ajudam com NIS2 em Portugal?

Entregamos Engenharia de Cibersegurança e Preparação Técnica NIS2: avaliações técnicas, análise de lacunas alinhada ao QNRCS e remediação. Não prestamos parecer jurídico nem certificação oficial CNCS.

Serviços relacionados

Reduza risco antes de a IA escalar.

Partilhe o que corre hoje, apps, APIs e experiências de IA. Propomos um scope de avaliação realista.

Pedir conversa de segurança