Gerir credenciais fiscais de dezenas ou centenas de clientes não é apenas um problema de memória. É um processo de segurança, continuidade e produtividade. Quando os acessos ficam dispersos por folhas de cálculo, mensagens, navegadores e conhecimento individual, o gabinete perde tempo e aumenta o risco de utilização indevida, bloqueio de contas ou trabalho interrompido.

A solução não passa por criar uma única palavra-passe para toda a equipa. Passa por definir quem pode aceder, a quê, por que motivo, durante quanto tempo e com que registo.

Este guia propõe um modelo prático para reduzir o risco e o tempo gasto nos acessos aos portais fiscais e contributivos.

Porque se tornam os acessos difíceis de controlar?

O problema cresce com a carteira de clientes, o número de portais e a rotação da equipa. Cada nova entidade pode trazer credenciais, autorizações, mecanismos de autenticação e contactos diferentes. Sem uma regra comum, surgem atalhos:

• palavras-passe repetidas ou partilhadas por canais inseguros;
• credenciais guardadas em ficheiros sem proteção adequada;
• contas associadas a telemóveis ou emails de uma única pessoa;
• acessos que continuam ativos depois de uma mudança de funções;
• falta de registo sobre quem consultou ou alterou informação;
• tempo perdido a procurar dados ou pedir novos códigos.

O Centro Nacional de Cibersegurança identifica a reutilização e a partilha de palavras-passe, bem como o armazenamento não cifrado em locais acessíveis, como práticas de risco. Recomenda ainda que um gestor de palavras-passe seja protegido por autenticação forte [1].

Separar quatro elementos: identidade, acesso, autorização e evidência

Um controlo eficaz começa por não tratar todos os conceitos como sinónimos.

1. Identidade: quem é a pessoa ou sistema que tenta entrar.
2. Acesso: que mecanismo permite a entrada no portal ou aplicação.
3. Autorização: que ações essa pessoa pode executar.
4. Evidência: que registo permite reconstruir a utilização do acesso.

Uma credencial válida não significa que qualquer membro da equipa deva poder utilizá-la para qualquer finalidade. O acesso deve corresponder às funções atribuídas e ao trabalho necessário.

1. Criar um inventário de acessos por cliente

Comece por saber o que existe. Crie um inventário com uma linha por cliente e serviço, sem colocar palavras-passe na própria folha de controlo.

Registe:

• cliente e identificador interno;
• portal ou aplicação;
• tipo de acesso ou representação;
• titular e contacto associado;
• método de autenticação adicional;
• responsável interno pelo acesso;
• data da última validação;
• estado: ativo, pendente, bloqueado ou a revogar;
• local controlado onde a credencial é gerida.

Este inventário não substitui um cofre de credenciais. Serve para a equipa saber que acessos existem, quem os controla e quais precisam de atenção.

2. Abandonar a partilha informal de palavras-passe

Emails, conversas e folhas de cálculo comuns não devem funcionar como repositório de credenciais. A informação pode ser copiada, encaminhada ou permanecer disponível depois de deixar de ser necessária.

Utilize uma solução própria para gestão de segredos ou palavras-passe, com cifragem, controlo de permissões e histórico. Confirme como são protegidos os dados, quem administra a solução e o que acontece se uma pessoa perder o acesso.

O CNCS recomenda palavras-passe fortes, únicas e a autenticação multifator. O guia de seleção de soluções de autenticação multifator também destaca a necessidade de proteger fortemente o gestor de palavras-passe e de guardar bases de credenciais cifradas e separadas do sistema de autenticação [1].

3. Aplicar autenticação multifator sempre que esteja disponível

A autenticação multifator reduz a dependência de uma única palavra-passe. Contudo, o segundo fator também precisa de continuidade.

Evite que todos os códigos fiquem dependentes do telefone pessoal de um colaborador. Defina dispositivos, aplicações, contactos de recuperação e procedimentos de substituição aprovados pelo gabinete e compatíveis com o serviço utilizado.

Registe no inventário quem gere o segundo fator, como é recuperado e qual é o procedimento em caso de ausência ou perda do dispositivo. O CNCS recomenda a aplicação de MFA às contas da organização para reduzir o risco de comprometimento [2].

4. Conceder apenas o acesso necessário

Nem todas as pessoas precisam de acesso a toda a carteira. Organize permissões por função, equipa, cliente ou processo. Uma pessoa que prepara informação pode não precisar da mesma autorização de quem valida ou submete.

O princípio prático é simples: acesso suficiente para executar o trabalho atribuído, durante o período necessário, sem permissões adicionais por conveniência.

O artigo 32.º do RGPD exige medidas técnicas e organizativas adequadas ao risco e refere a proteção contra acesso não autorizado a dados pessoais [3]. A medida concreta depende do contexto do tratamento; este artigo não substitui uma avaliação jurídica ou de segurança.

5. Ligar o acesso às responsabilidades do processo

Um acesso não deve existir sem um responsável e uma finalidade. Relacione cada permissão com a matriz de responsabilidades do gabinete:

• quem prepara;
• quem executa a operação;
• quem valida;
• quem autoriza exceções;
• quem substitui em caso de ausência.

Esta ligação evita dois extremos: permissões excessivas para toda a equipa ou dependência de uma única pessoa que concentra acessos críticos.

6. Registar utilização e alterações relevantes

Quando possível, mantenha um histórico de atribuições, utilizações relevantes, alterações e revogações. O objetivo não é vigiar indiscriminadamente a equipa. É conseguir responder a perguntas operacionais:

• quem tinha acesso naquele período;
• quem executou a operação;
• quando foi alterado o contacto de autenticação;
• quando e por quem foi revogada a permissão;
• que ação foi tomada após uma suspeita de compromisso.

Defina prazos de conservação proporcionais e limite o acesso aos próprios registos. A rastreabilidade também deve respeitar as regras de proteção de dados e a política interna aplicável.

7. Criar um processo para entradas, mudanças e saídas

O controlo de acessos deve fazer parte do ciclo de cada colaborador.

Entrada

Atribua apenas os acessos necessários à função. Registe a aprovação, explique as regras de utilização e confirme que a pessoa sabe reportar uma mensagem ou pedido suspeito.

Mudança de função

Reveja permissões antigas antes de adicionar novas. A acumulação silenciosa de acessos cria privilégios que já não correspondem ao trabalho atual.

Saída ou ausência prolongada

Revogue acessos, altere segredos partilhados quando existam e transfira fatores de autenticação controlados. Confirme que o trabalho pendente e as evidências ficam acessíveis à equipa autorizada.

Este circuito deve integrar o onboarding e a gestão documental do gabinete, adaptado às pessoas e responsabilidades internas.

8. Rever acessos de forma periódica e por exceção

Faça uma revisão periódica da lista de clientes, utilizadores, fatores de autenticação e responsáveis. Além da revisão programada, crie gatilhos imediatos:

• suspeita de phishing ou divulgação de credenciais;
• mudança de funções;
• fim da relação com um cliente;
• bloqueio repetido de uma conta;
• alteração de contacto ou dispositivo;
• acesso fora do padrão esperado.

Quando houver suspeita de comprometimento, siga o procedimento de segurança definido pelo gabinete, altere os elementos aplicáveis e preserve a evidência necessária para investigação.

Como reduzir o tempo sem reduzir a segurança?

Centralizar o controlo não significa dar a todos acesso a tudo. Significa criar um ponto de gestão com permissões diferenciadas, pesquisa por cliente, responsáveis claros e integração com os processos de trabalho.

Um painel operacional pode mostrar que o acesso existe, está válido e tem responsável, sem revelar a credencial a quem apenas precisa de acompanhar o estado. A equipa deixa de procurar informação dispersa e passa a trabalhar com uma fila controlada de acessos pendentes, bloqueados ou a rever.

Para comparar este controlo com outras funções do sistema, consulte os 12 critérios para escolher software para gabinetes de contabilidade e a checklist de segurança e RGPD na automatização fiscal.

Checklist mínima para o gabinete

• Existe um inventário atualizado de acessos por cliente e serviço.
• As palavras-passe não circulam por email, chat ou folhas comuns.
• O gestor de credenciais está protegido por autenticação forte.
• O MFA está ativo sempre que o serviço o permite.
• Os fatores de autenticação não dependem de uma única pessoa.
• As permissões correspondem às funções e responsabilidades atuais.
• Entradas, mudanças e saídas geram revisão de acessos.
• Existe histórico suficiente para investigar alterações e exceções.
• Há um procedimento para suspeita de compromisso ou bloqueio.
• A lista é revista periodicamente e sempre que ocorre um gatilho relevante.

Centralize processos sem transformar credenciais num atalho

Ao avaliar o Decimus ou outra plataforma, peça uma demonstração que inclua permissões, separação por cliente, histórico e tratamento de acessos inválidos. Confirme que a centralização reduz alternâncias e trabalho repetitivo sem criar um ponto único de exposição.

A tecnologia deve apoiar a execução e o controlo. As regras de autorização, responsabilidade e resposta a incidentes continuam a precisar de uma política clara do gabinete.

Fontes

[1] Centro Nacional de Cibersegurança — Guia para a Seleção de Soluções de Autenticação Multifator — https://www.cncs.gov.pt/docs/guia-mfa.pdf

[2] Centro Nacional de Cibersegurança — Recomendações sobre autenticação multifator e proteção de contas — https://dyn.cncs.gov.pt/pt/detalhe/art/136004/campanhas-de-ceo-fraud-e-de-business-email-compromise-fraud

[3] União Europeia — Regulamento (UE) 2016/679, artigo 32.º — https://eur-lex.europa.eu/legal-content/PT/TXT/?uri=CELEX:32016R0679

Fontes consultadas em 30 de setembro de 2026. Rever as recomendações quando os portais, mecanismos de autenticação ou orientações oficiais forem alterados.