Conhecimento · Vulnerabilidades
Processo de gestão de vulnerabilidades: do resultado à correção
A gestão de vulnerabilidades é o processo recorrente de encontrar vulnerabilidades nos sistemas, avaliá-las segundo o risco, corrigi-las e comprovar a correção. O decisivo não é o número de resultados, mas a ordem certa.
Atualizado em 14 de novembro de 2026
FIGProcesso de gestão de vulnerabilidades
As seis etapas do processo
- Inventário: sem um inventário de ativos completo, há sistemas que ficam por verificar (ver gestão da superfície de ataque).
- Detetar: scanners, agentes e integrações cloud fornecem os resultados.
- Avaliar: reunir gravidade, explorabilidade, acessibilidade e valor para o negócio.
- Priorizar: definir a ordem segundo o risco e atribuir prazos.
- Corrigir: patch, alteração de configuração ou medida compensatória.
- Reverificar e comprovar: analisar de novo e documentar o resultado.
Porque é que o CVSS, por si só, não basta
A pontuação CVSS descreve a gravidade técnica de uma vulnerabilidade, não o risco para a sua empresa. Grande parte das vulnerabilidades com pontuação CVSS elevada nunca é explorada ou afeta sistemas que nem sequer estão acessíveis. Quem trabalha estritamente segundo o CVSS aplica recursos nos sítios errados.
Melhores sinais: EPSS, KEV e caminhos de ataque
- O EPSS (Exploit Prediction Scoring System, do FIRST) estima a probabilidade de uma vulnerabilidade ser explorada nos próximos 30 dias.
- O catálogo KEV da agência norte-americana CISA lista vulnerabilidades comprovadamente exploradas.
- A acessibilidade e os caminhos de ataque mostram se uma vulnerabilidade é acessível a partir do exterior e conduz a sistemas críticos; é isso que a gestão de exposição faz.
Prazos e evidências
Os prazos de correção devem depender do risco, por exemplo poucos dias para vulnerabilidades ativamente exploradas e acessíveis em sistemas críticos. Para auditorias segundo a ISO/IEC 27001 (Anexo A 8.8, «Gestão de vulnerabilidades técnicas») e para a NIS2, conta que o processo, os prazos e a correção estejam documentados de forma rastreável.
O que importa num software de gestão de vulnerabilidades
- Agregação de todas as fontes sem duplicados
- Priorização segundo a explorabilidade e a acessibilidade, não apenas o CVSS
- Tarefas com contexto para as equipas responsáveis
- Reverificação automática após a correção
- Relatórios com histórico para auditores e gestão
01Plataforma
Produtos relacionados
02FAQ
Perguntas frequentes
O que é a gestão de vulnerabilidades baseada no risco?
Uma abordagem que prioriza as vulnerabilidades não só segundo a gravidade técnica, mas segundo o risco real: explorabilidade, acessibilidade e importância do sistema afetado.
Qual é a diferença entre CVSS e EPSS?
O CVSS avalia a gravidade técnica de uma vulnerabilidade. O EPSS estima a probabilidade de ser explorada num futuro próximo. Em conjunto dão uma imagem melhor do que cada um isoladamente.
Com que frequência se deve fazer análise de vulnerabilidades?
Os sistemas críticos e acessíveis a partir da Internet, de forma contínua; os sistemas internos, pelo menos semanalmente, e sempre após alterações significativas.
Know your exposure.
Control your risk.
3Contacto
Fale connosco sobre a sua superfície de ataque, as suas prioridades e a forma mais adequada de começar com o XMfortress.