Introdução

A transição global para a digitalização dos sistemas de avaliação educativa deveria implicar não apenas a substituição do papel pelo formato digital, mas também uma profunda reformulação dos modelos de segurança, transparência e governação tecnológica. Em Portugal, a desmaterialização da avaliação externa (o Projeto DAVE (Desmaterialização da Avaliação Externa), financiado no âmbito do Plano de Recuperação e Resiliência (PRR), iniciado em 2021/2022 e coordenado pelo IAVE/EduQA em articulação com o Júri Nacional de Exames (JNE)) constitui um processo crítico para a confiança pública no sistema educativo, exigindo soluções tecnicamente robustas, auditáveis e verificáveis por terceiros.

Essa confiança não deve assentar na ocultação do funcionamento do sistema. Pelo contrário, a experiência acumulada na área da cibersegurança demonstra que a chamada “segurança pela obscuridade” (security through obscurity) constitui um modelo inadequado. Desde 1883, o princípio de Kerckhoffs estabelece que um sistema deve permanecer seguro mesmo que toda a sua arquitetura, algoritmos e procedimentos sejam conhecidos publicamente, mantendo secretos apenas os elementos criptográficos necessários, como as chaves privadas e as credenciais de autenticação.

A segurança baseada no segredo do funcionamento apresenta várias fragilidades:

1. Impede a auditoria independente por universidades, investigadores e especialistas em segurança, reduzindo a probabilidade de deteção precoce de vulnerabilidades.

2. Dificulta o escrutínio democrático sobre um sistema que afeta centenas de milhares de alunos e milhares de docentes todos os anos.

3. Cria uma falsa sensação de segurança, pois qualquer atacante suficientemente motivado poderá, através de engenharia inversa, fugas de informação ou observação dos procedimentos, reconstruir grande parte do funcionamento interno do sistema.

Em contraste, a adoção de software de código aberto e de documentação técnica pública permitiria uma verificação contínua por parte da comunidade científica e profissional, acelerando a identificação e correção de vulnerabilidades. Este modelo é usado por muitos dos componentes fundamentais da Internet e da infraestrutura mundial de segurança, incluindo sistemas operativos, bibliotecas criptográficas, protocolos TLS, OpenSSH, WireGuard, Linux e inúmeras implementações de criptografia amplamente utilizadas por governos e instituições financeiras.

O mesmo princípio deveria aplicar-se ao sistema nacional de avaliação. O software responsável pela geração, composição e distribuição das provas, bem como os mecanismos de validação da integridade dos ficheiros, os algoritmos de seleção de itens, os formatos de intercâmbio de dados e os processos administrativos associados deveriam ser integralmente documentados e, sempre que possível, disponibilizados como software de código aberto. Esta abertura permitiria auditorias independentes, testes de segurança reproduzíveis e maior confiança por parte da sociedade, sem comprometer a confidencialidade das provas concretas ou das credenciais utilizadas na sua distribuição.

Naturalmente, a transparência não implica divulgar informação operacional sensível. Devem permanecer reservados elementos como as chaves criptográficas, certificados privados, credenciais de acesso, configurações específicas da infraestrutura, mecanismos internos de deteção de fraude, planos de resposta a incidentes e outras informações cuja divulgação possa aumentar diretamente o risco operacional. A segurança destes elementos resulta precisamente da sua natureza secreta, ao contrário da arquitetura global do sistema, cuja robustez deve poder ser demonstrada publicamente.

Num Estado de direito democrático, especialmente quando estão em causa procedimentos administrativos com impacto direto na igualdade de oportunidades e na avaliação dos cidadãos, a transparência tecnológica deve constituir a regra e não a exceção. O código-fonte, as especificações técnicas, os modelos de dados, os fluxos administrativos e os procedimentos de auditoria deveriam estar acessíveis para escrutínio público, permitindo verificar que o sistema produz exatamente os resultados esperados, que não introduz discriminações indevidas e que respeita os princípios da segurança, da integridade e da imparcialidade. Como se descreve na secção 6, os acontecimentos de julho de 2026 tornaram este argumento menos teórico do que possa parecer.

Com base na regulamentação conhecida, no processo de transição para as provas digitais e nas práticas das escolas portuguesas, o fluxo operacional e de segurança divide-se nos seguintes passos.

1. Origem das provas

Os enunciados e matrizes são produzidos pelo EduQA. Os ficheiros e bases de dados digitais ficam armazenados em infraestruturas geridas pelo EduQA, com recurso, em pelo menos parte do ciclo de vida do sistema, a prestadores externos contratados para desenvolver e operar plataformas específicas (como se descreve nas secções 5 e 6 a propósito da plataforma de classificação. Esta combinação de gestão interna e desenvolvimento externo não é, por si só, problemática (é prática comum na administração pública), mas implica que a robustez do sistema dependa também da qualidade do processo de contratação, da supervisão técnica dos fornecedores e da auditoria contínua) elementos sobre os quais não existe, atualmente, documentação pública sistemática.

Não existe informação pública detalhada sobre os mecanismos concretos de cifra dos enunciados na origem, o modelo de controlo de acessos, ou a política de retenção de logs. É razoável presumir a existência de medidas de proteção básicas, dado o valor dos ficheiros em causa, mas a ausência de documentação técnica pública impede a confirmação do seu nível de maturidade.

Distribuição: segundo a informação pública disponível, a distribuição dos enunciados às escolas não é feita por correio eletrónico, sendo antes realizada de forma centralizada através de plataformas dedicadas do IAVE/EduQA e do JNE.

2. Como chegam às escolas

Cada estabelecimento de ensino designa um conjunto restrito de utilizadores autorizados, normalmente pertencentes à Direção, ao Secretariado de Exames e ao Secretariado Técnico responsável pela realização das provas. Estes intervenientes assumem responsabilidades específicas na preparação, execução e encerramento das provas de avaliação externa, estando sujeitos a regras de confidencialidade e de cadeia de responsabilidade definidas em normas do JNE.

O acesso aos sistemas centrais do EduQA e do JNE é feito, entre outras vias, através da Plataforma de Inscrição Eletrónica em Provas e Exames (PIEPE, disponível em jnepiepe.dge.mec.pt), que serve o registo e a inscrição de alunos nas provas finais, exames finais nacionais, provas de equivalência à frequência e provas a nível de escola. Para os professores classificadores, o acesso é feito através da Plataforma de Classificação e Supervisão (PCS, em pcs.iave.pt), que incorpora o Sistema de Classificação Online (SCOI).

Ao contrário do que a ausência de documentação pública sugeria anteriormente, existe agora informação confirmada sobre o método de autenticação usado na PCS pelos professores classificadores: o acesso é feito através da Chave Móvel Digital, do Cartão de Cidadão ou de NIF e palavra-passe: estes últimos correspondendo, na prática, às credenciais emitidas pela Autoridade Tributária (Portal das Finanças). Professores classificadores relataram dificuldades técnicas recorrentes com este mecanismo. Esta opção suscita uma questão que caberia ao IAVE/EduQA esclarecer publicamente: a reutilização de credenciais fiscais para autenticação numa plataforma de avaliação educativa é compatível com o princípio da limitação da finalidade previsto no artigo 5.º do RGPD, segundo o qual os dados (e, por extensão, os mecanismos de identificação a eles associados) só deveriam ser usados para os fins para que foram recolhidos? Não há, por outro lado, indicação pública de que a PCS ou a PIEPE utilizem autenticação multifator moderna assente em aplicações TOTP, chaves físicas FIDO2/WebAuthn ou certificados digitais dedicados: a Chave Móvel Digital oferece, ela própria, um nível de robustez razoável, mas não é claro se o seu uso é obrigatório ou meramente uma entre várias opções equivalentes em segurança.

Também não é conhecido publicamente se os acessos administrativos às plataformas são protegidos por mecanismos de deteção de localização anómala (geofencing ou impossible travel detection), restrições por endereço IP, validação da postura de segurança do equipamento (device compliance) ou sistemas de avaliação dinâmica do risco da sessão (risk-based authentication). Na ausência dessa informação, permanece impossível ao público avaliar o grau de maturidade dos mecanismos de proteção das contas administrativas, sendo desejável que estas características fossem objeto de documentação técnica pública, ainda que sem revelar detalhes operacionais sensíveis.

Durante os períodos definidos pelo calendário nacional de exames, as plataformas disponibilizam aos responsáveis escolares a informação necessária à realização das provas, incluindo instruções operacionais, listas de alunos, parâmetros de configuração das sessões e, após a realização da prova, os critérios de classificação e demais documentação de apoio. Este processo está sujeito a janelas temporais definidas, o que constitui uma camada adicional de segurança operacional, complementar aos mecanismos de autenticação e controlo de acessos.

3. Funcionamento das Provas Digitais

Nas provas realizadas em formato digital, os alunos utilizam uma aplicação dedicada, oficialmente designada “Provas IAVE” (também referida como “Intuitivo”), disponível para Windows, macOS, Linux, iOS e Android, distribuída a partir de assets.iave.pt. O equipamento deve ter um ecrã com um mínimo de 10,4 polegadas. A aplicação pode funcionar em modo online ou através de um servidor offline instalado localmente na escola (disponível como aplicação para Windows/Linux ou como máquina virtual), que sincroniza posteriormente com o servidor central: um desenho que procura mitigar quebras de ligação à internet durante a prova. Depois de o aluno confirmar o final da prova, deixa de ser possível ver ou alterar as respostas dadas.

Em 2025/2026, apenas as provas de aferição (ModA, 4.º e 6.º anos) e as provas finais do ensino básico do 9.º ano decorreram em suporte digital através desta aplicação. Os exames finais nacionais do ensino secundário (10.º ao 12.º ano) continuaram a ser realizados em papel, com respostas registadas em folhas próprias, posteriormente digitalizadas: com exceção dos exames de Desenho A e de Geometria Descritiva A, que mantêm especificidades próprias associadas à natureza gráfica das respostas. Esta distinção é relevante porque grande parte da conversa pública sobre “exames digitais” em 2026 diz respeito, na verdade, ao processo de classificação digital das respostas em papel do secundário (secção 5), e não à realização da prova em ecrã.

Do ponto de vista da cibersegurança, uma aplicação deste tipo (frequentemente designada lockdown browser ou ambiente seguro de realização de provas( constitui apenas uma das várias camadas de proteção e não deve ser considerada suficiente, por si só, para garantir a integridade de uma prova digital. A experiência internacional demonstra que diferentes soluções comerciais de bloqueio de exames têm sido objeto de investigação de segurança, tendo sido identificadas vulnerabilidades que, em certas circunstâncias, permitiram contornar restrições impostas pela aplicação. Não existe informação pública que indique um comprometimento generalizado da aplicação Provas IAVE, mas também não existe documentação técnica pública nem auditorias independentes publicamente disponíveis que permitam avaliar a sua robustez a este respeito: pelo que afirmações específicas sobre a sua capacidade de detetar máquinas virtuais, monitores externos não autorizados ou dispositivos USB (frequentes noutras soluções do género) não devem ser dadas como garantidas sem confirmação técnica do fornecedor.

Acresce que uma aplicação deste tipo controla apenas o dispositivo onde está instalada, não impedindo o uso de um segundo dispositivo, de apontamentos em papel ou de comunicação através de equipamentos externos. A supervisão presencial dos vigilantes continua, por isso, a ser um elemento indispensável da segurança do processo, e uma arquitetura moderna de segurança deveria assentar no princípio da defesa em profundidade (defence in depth), combinando múltiplas camadas complementares em vez de depender exclusivamente do bloqueio da interface do computador.

4. Distribuição das provas e acesso dos alunos

Como referido na secção 3, em 2025/2026 a generalidade dos exames finais nacionais do ensino secundário manteve-se em suporte papel, com os alunos a responderem presencialmente nas escolas, sob vigilância dos professores designados. Após a realização da prova, os enunciados respondidos foram recolhidos pelas escolas e encaminhados para digitalização, entrando depois no circuito eletrónico de classificação.

Este processo divide as respostas por itens ou grupos de itens, distribuindo-os pelos classificadores através da PCS/SCOI. Esta metodologia permite que diferentes perguntas da mesma prova sejam classificadas por docentes distintos, contribuindo em teoria para maior uniformização da avaliação e melhor gestão da carga de trabalho: mas, como a secção 5 descreve, foi precisamente este circuito que revelou fragilidades sérias em julho de 2026.

5. Garantia da identidade do aluno e da integridade das provas

A identificação de cada prova assenta na associação entre o candidato, a disciplina, o código da prova e os elementos identificativos recolhidos durante o exame. Após a digitalização, cada imagem fica ligada aos respetivos metadados administrativos, permitindo a sua distribuição aos classificadores sem manipulação manual das folhas originais.

Este circuito assenta, de forma confirmada, em duas plataformas distintas: uma plataforma de processamento e tratamento, responsável pela receção dos ficheiros digitalizados e gerida internamente pelo IAVE/EduQA, e a já referida Plataforma de Classificação e Supervisão (PCS), que incorpora o SCOI e é utilizada pelos professores classificadores desde 2018. O desenvolvimento da PCS/SCOI foi contratado à empresa Blat – Creative Powerhouse (anteriormente Antebellum), através de dois contratos públicos com o IAVE, no valor total aproximado de 49.455 euros, o último com 153 dias de duração, celebrado em 2023. Segundo o registo público de contratação, não há evidência de contratos subsequentes de manutenção, suporte técnico ou desenvolvimento contínuo: uma lacuna relevante para um sistema em uso permanente e crítico para o acesso ao ensino superior.

Esta constatação é particularmente relevante porque, em julho de 2026, o processo de classificação dos exames nacionais do secundário (o primeiro ano em que a classificação decorreu integralmente em formato digital em larga escala) foi marcado por falhas técnicas sucessivas: digitalização deficiente de provas (com folhas de continuação incompletas), relatos de respostas de alunos “desaparecidas” durante o processo, atrasos no envio e disponibilização das respostas aos classificadores e problemas de acesso à plataforma por parte dos professores. O Ministério da Educação reconheceu que o sistema, pensado originalmente para um universo mais restrito, passou a ter de suportar mais de 300 mil provas do secundário digitalizadas e distribuídas eletronicamente: uma mudança de escala para a qual a arquitetura original não tinha sido dimensionada. A divulgação da primeira fase de classificações, inicialmente prevista para 14 de julho de 2026, foi sucessivamente adiada até 17 de julho, com o Ministério a admitir que cerca de 2% das respostas continuavam por classificar no final do prazo previsto, e centenas de provas surgiram com a indicação de nota “suspensa”. O Governo autorizou reforços orçamentais adicionais (na ordem dos 500 mil euros) e anunciou que um sistema definitivo e dimensionado para esta escala só deverá estar disponível em 2027.

A esta crise operacional somou-se um incidente de segurança informática: a consultora Deloitte, contratada com urgência para apoiar tecnicamente o Ministério, identificou uma vulnerabilidade na plataforma (“uma janela aberta que era preciso fechar”, na formulação pública do Ministério), o que levou à suspensão temporária da plataforma para correção. Uma verificação subsequente a toda a plataforma do EduQA identificou “mais uma fragilidade”. O Ministro da Educação afirmou publicamente que não houve ataque informático nem intrusão confirmada, mas essa garantia não foi acompanhada, até à data, de um relatório técnico independente disponibilizado publicamente, nem há confirmação pública de que a Comissão Nacional de Proteção de Dados (CNPD) tenha sido notificada nos termos dos artigos 33.º e 34.º do RGPD: uma questão colocada publicamente por partidos com assento parlamentar e que permanece, tanto quanto é do conhecimento público, sem resposta esclarecedora.

A informação pública disponível não permite ainda conhecer em detalhe a arquitetura técnica utilizada para garantir a integridade dos ficheiros digitalizados, a cadeia de custódia digital das imagens, ou os controlos implementados para detetar omissões, duplicações ou associações incorretas entre respostas e candidatos: precisamente as categorias de falha que os relatos de professores classificadores em julho de 2026 sugerem terem ocorrido na prática.

6. Riscos de Cibersegurança e Mitigações

Falha de rede ou infraestrutura: risco de a escola perder ligação à internet durante a prova.
Mitigação presumida: as plataformas de provas digitais (secção 3) permitem funcionamento offline, guardando as respostas localmente até a ligação ser reposta; não há confirmação pública de que este armazenamento local seja cifrado.

Erro humano administrativo: associação incorreta de códigos de adaptação ou de identificação a um aluno.
Mitigação presumida: validação cruzada dos dados de inscrição entre os secretariados de exames e o JNE; não há documentação pública detalhada deste processo de validação.

Ataque ou intrusão na plataforma: este risco deixou de ser meramente hipotético. Em julho de 2026, uma vulnerabilidade real foi identificada na plataforma de classificação (secção 5), obrigando à sua suspensão temporária. Não há informação pública que confirme a existência prévia de Web Application Firewalls, segmentação de rede, redundância de servidores ou monitorização contínua de acessos anómalos (medidas normalmente esperadas num sistema desta criticidade) nem é claro se a vulnerabilidade encontrada pela Deloitte resultou da ausência destas camadas ou de outra causa. A contratação reativa e urgente de uma consultora externa após a deteção do problema, e não como parte de um programa de auditoria contínua preexistente, é em si um dado relevante sobre a maturidade do modelo de segurança até então em vigor.

Fraude digital (interna ou por parte do aluno): tentativa de contornar o bloqueio do computador durante provas digitais em ecrã. Mitigação presumida: atualização do software de exame para dificultar o uso de máquinas virtuais, monitores externos não autorizados ou dispositivos USB; como referido na secção 3, não há confirmação técnica pública destas capacidades específicas para a aplicação Provas IAVE.

Reutilização de credenciais fora do seu contexto original: como descrito na secção 2, o uso de credenciais da Autoridade Tributária para autenticação de professores classificadores numa plataforma de avaliação educativa constitui um vetor de risco adicional não discutido em versões anteriores deste documento, e que mereceria esclarecimento público sobre a base legal e as garantias de segurança associadas.

7. Balanço: o que está confirmado, o que é presumido, e o que a crise de julho de 2026 revelou

Pode ser afirmado com razoável confiança, com base em fontes públicas, que:
1. a distribuição de enunciados não depende de correio eletrónico; existe segmentação de responsabilidades por escola e por perfil de utilizador nas plataformas centrais; existem registos de auditoria de pelo menos alguns eventos relevantes (o próprio processo de apuramento da crise de julho de 2026 dependeu, em parte, desses registos); e existe, desde 2026, capacidade de resposta a incidentes de segurança ainda que ativada de forma reativa.
2. permanecem por confirmar publicamente, entre outros aspetos: o modelo de cifra de dados em repouso e em trânsito nas diferentes plataformas; a existência de autenticação multifator moderna (para além da Chave Móvel Digital) nos acessos administrativos e de classificação; os mecanismos de deteção de acessos anómalos; a arquitetura de resiliência da plataforma de classificação face a picos de carga; e se a CNPD foi notificada da vulnerabilidade identificada pela Deloitte em julho de 2026, nos termos do RGPD.
3. a crise de julho de 2026 mostrou, na prática, que pelo menos uma componente crítica do sistema (a plataforma de classificação, desenvolvida por uma microempresa com 14 trabalhadores e sem contratos públicos de manutenção continuada) operava sem margem de segurança suficiente para a escala que efetivamente lhe foi exigida, e que o reforço de segurança e capacidade técnica ocorreu depois, e não antes, de o problema se manifestar publicamente. A este respeito importa comparar o Capital social da referida empresa com 14 trabalhadores de 11 111,20 euros com o da Deloitte Technology S.A. de 7 500 000 euros.

Propostas de melhoria

A arquitetura de segurança das provas digitais e dos sistemas de classificação poderia ser reforçada através de um conjunto de medidas, organizadas por área de intervenção. Cada proposta é acompanhada, sempre que aplicável, da falha concreta de 2026 que a justifica.

Transparência e auditabilidade

1. Publicação da arquitetura técnica e, sempre que possível, do código-fonte das aplicações de exame e de classificação como software de código aberto, permitindo auditorias independentes por universidades, investigadores e a comunidade de segurança. A crise de julho de 2026 só se tornou pública através de fugas de informação para a imprensa e de perguntas parlamentares: não através de um canal de transparência institucional; um modelo mais aberto teria permitido identificar problemas de escala e de segurança antes de afetarem 160 mil alunos.

2. Auditorias de segurança independentes, realizadas antes de cada época de exames (e não apenas em resposta a incidentes), com divulgação pública dos relatórios executivos. A intervenção da Deloitte em 2026 foi urgente e reativa; deveria ser prévia e planeada, com relatórios acessíveis ao público de forma equivalente à que já existe noutros setores críticos (banca, telecomunicações).

3. Publicação de registos de contratação pública detalhados para todos os fornecedores de infraestrutura crítica de avaliação, incluindo histórico de contratos de manutenção, suporte e desenvolvimento contínuo. A ausência de contratos de manutenção visíveis para a PCS/SCOI entre 2023 e 2026, apesar de o sistema estar em uso corrente, é o tipo de lacuna que este mecanismo torna detetável antes de se tornar uma crise.

Governação e contratação

1. Critérios de qualificação técnica mais exigentes para a contratação de fornecedores de sistemas críticos de avaliação nacional, incluindo comprovação de experiência prévia em sistemas de segurança e escala equivalentes, auditorias de segurança do próprio fornecedor e cláusulas contratuais de manutenção e resposta a incidentes. O caso de 2026 mostrou que um sistema usado por centenas de milhares de alunos foi construído e mantido através de contratos de reduzido valor (cerca de 49 mil euros no total) com uma microempresa, sem visibilidade pública sobre o processo de seleção nem sobre eventuais conflitos de interesse.

Esta discrepância entre o valor contratado e a criticidade da função atribuída não pode ser dissociada de uma lógica mais ampla de contenção de custos na contratação pública, em que o critério do preço mais baixo tende a prevalecer sobre a robustez técnica exigível a um fornecedor de infraestrutura crítica. A CpC entende que esta questão exige esclarecimento público: que ponderação foi dada, no processo de contratação, à capacidade técnica e à maturidade de segurança do fornecedor face ao valor da proposta, e que mecanismos existem para assegurar que a procura de eficiência orçamental não se traduz, na prática, num desinvestimento estrutural na segurança de sistemas que tratam dados pessoais sensíveis de menores em larga escala.

2. Testes de carga e de escala obrigatórios antes de qualquer alteração relevante no volume de utilizadores de uma plataforma crítica, com resultados reportados à tutela e, em termos agregados, ao público. O reconhecimento oficial de que a plataforma “não tinha sido pensada” para 300 mil provas é exatamente o tipo de falha que um plano de testes de carga prévio deveria ter identificado: uma falha básica de gestão de projeto, e não uma fatalidade técnica imprevisível, que um mínimo de planeamento prévio à escala real do processo teria permitido evitar. 

3. 3. Planeamento de contingência com um sistema alternativo testado (ainda que degradado) para garantir que atrasos técnicos não se traduzem em notas “suspensas” ou em adiamentos do calendário nacional de exames, que têm impacto direto no acesso ao ensino superior. A ausência deste plano de contingência constitui uma falha gravíssima, não apenas de gestão técnica, mas de conceção política do próprio processo: um sistema de avaliação nacional não pode assentar na promessa de que tudo vai correr bem, mas sim na garantia, testada e verificável, de que existe uma alternativa quando algo corre mal. É essa garantia — e não uma expectativa de resultado — que o Estado deve às centenas de milhares de jovens cujo acesso ao ensino superior depende deste calendário.

Autenticação e controlo de acessos

1. Autenticação multifator moderna e obrigatória (aplicações TOTP, chaves FIDO2/WebAuthn ou, no mínimo, uso obrigatório e não meramente opcional da Chave Móvel Digital) para todos os acessos administrativos e de classificação às plataformas do IAVE/EduQA e do JNE.

2. Reavaliação do uso de credenciais da Autoridade Tributária como método de autenticação em plataformas educativas, com esclarecimento público sobre a base legal para esta reutilização à luz do princípio da limitação da finalidade (artigo 5.º do RGPD), e adoção de credenciais dedicadas ao setor da educação sempre que tecnicamente viável.

3. Mecanismos de deteção de risco de sessão (geofencing, deteção de padrões de acesso anómalos, validação da postura de segurança do dispositivo), documentados publicamente ao nível de princípios de funcionamento, sem exposição de parâmetros operacionais sensíveis.

Integridade técnica e resposta a incidentes

1. Assinatura digital de todos os componentes de software e verificação automática da sua integridade antes do arranque da aplicação, tanto na aplicação de realização de provas como na plataforma de classificação.

2. Registo integral de eventos relevantes (audit logs) em todas as plataformas, protegidos contra alteração posterior e assinados digitalmente, com retenção suficiente para permitir reconstruir, em caso de reclamação ou de incidente, o percurso completo de cada resposta digitalizada: a capacidade que os relatos de “respostas desaparecidas” em julho de 2026 sugerem ter sido insuficiente.

3. Programas de divulgação responsável de vulnerabilidades (Responsible Vulnerability Disclosure) com um canal formal e público, e, a prazo, um programa de recompensas (bug bounty), que permitiriam a deteção de fragilidades por investigadores independentes antes de estas serem exploradas ou de se manifestarem sob a forma de falhas operacionais.

4. Realização periódica de testes de intrusão (penetration tests) e exercícios de red team conduzidos por equipas independentes, com um calendário fixo e não apenas em resposta a incidentes já ocorridos. Esta recomendação pressupõe, no entanto, uma capacidade técnica própria e continuada do Estado para especificar, acompanhar e validar este tipo de auditorias — o que exige um investimento sustentado em infraestrutura e competências internas, e não apenas a contratação pontual de serviços externos a cada novo incidente. Na ausência dessa capacidade própria, o Estado corre o risco de se limitar a um papel de mero adjudicante, sem controlo efetivo sobre processos dos quais dependem, em última análise, as garantias legais que tem o dever de assegurar aos cidadãos. A CpC entende que este equilíbrio entre a subcontratação de serviços especializados e a retenção de capacidade técnica própria do Estado deveria ser explicitamente ponderado e tornado público, precisamente para evitar que a segurança de sistemas críticos fique dependente, de forma estrutural, de fornecedores externos sem supervisão técnica adequada por parte da tutela. 

5. Utilização de ambientes de execução reforçados (application sandboxing) para limitar o impacto de eventual exploração de vulnerabilidades nas aplicações cliente.

Proteção de dados pessoais

1. Clarificação pública e célere, por parte do IAVE/EduQA e do Ministério da Educação, sobre se a CNPD foi notificada da vulnerabilidade de julho de 2026 nos termos dos artigos 33.º e 34.º do RGPD, e sobre se foi feita uma avaliação de impacto (DPIA) que cubra os riscos específicos da plataforma de classificação, dada a natureza sensível dos dados de alunos menores de idade envolvidos.

2. Monitorização centralizada de comportamentos anómalos durante as provas digitais, orientada para deteção de padrões invulgares sem recurso a vigilância excessiva ou desproporcionada da atividade dos candidatos, em linha com os princípios da minimização de dados.

Documentação pública

Disponibilização pública de documentação técnica suficiente para permitir o escrutínio científico da arquitetura de todas as plataformas relevantes (PIEPE, PCS/SCOI, aplicação Provas IAVE, servidor offline), preservando apenas os elementos cuja divulgação aumentaria efetivamente o risco operacional: credenciais, chaves criptográficas e configurações específicas da infraestrutura.

Conclusão

Este documento partiu de um argumento de princípio: que a segurança de um sistema nacional de avaliação não deve assentar no segredo do seu funcionamento, mas na sua capacidade de resistir ao escrutínio público. Esse argumento permanece válido e a crise da classificação dos exames nacionais em julho de 2026 tornou-o mais difícil de contestar, não mais fácil.

O que os acontecimentos desse mês mostraram não foi um ciberataque, pelo menos segundo a versão oficial disponível até à data. Foi algo mais revelador: um sistema crítico para o percurso académico de mais de 160 mil jovens foi construído sobre contratos de reduzido valor, mantido sem visibilidade pública de suporte contínuo, dimensionado para uma escala muito inferior à que lhe foi exigida, e só reforçado em segurança depois de uma vulnerabilidade ter sido encontrada: não antes. A garantia pública de que “não houve intrusão” não substitui um relatório técnico independente, e a ausência de confirmação sobre a notificação à CNPD deixa por esclarecer se as famílias afetadas tiveram, ou não, o direito de saber que os dados dos seus filhos estiveram expostos.

Nada disto significa que o IAVE/EduQA e o JNE não tenham implementado, ao longo dos últimos anos, medidas de segurança genuínas: a eliminação do email como veículo de distribuição de provas, a segmentação de acessos por escola e a existência de registos de auditoria são, tanto quanto é possível confirmar publicamente, passos na direção certa. Mas medidas parcelares não substituem uma arquitetura de segurança testada, auditada de forma independente e dimensionada para o pior cenário antes de este ocorrer. É essa a distância que separa um sistema que parece seguro de um sistema que pode ser demonstrado como seguro.

A confiança institucional não se reconstrói pedindo à sociedade que acredite, uma vez mais, que desta vez o sistema está seguro. Reconstrói-se dando a especialistas independentes (dentro e fora do Estado) a possibilidade de confirmar, antes de o processo afetar a nota, o acesso ao ensino superior e os dados pessoais de centenas de milhares de estudantes.

No fundo, muitas das falhas aqui descritas remetem para um problema de gestão de risco mais do que para uma fatalidade técnica inevitável: quando a pressão para modernizar e para apresentar resultados dentro de um calendário político se sobrepõe, ainda que involuntariamente, a princípios básicos de segurança e de proteção de dados, o resultado tende a ser precisamente este tipo de falhas recorrentes. E o efeito, a prazo, não se limita ao incidente concreto: é a própria confiança nas instituições (públicas e privadas) que se vai desgastando, muitas vezes sem que exista uma avaliação clara sobre se o ritmo imposto ao processo era, de facto, necessário ou proporcional ao risco assumido.

As propostas desenvolvidas neste documento não são um exercício abstrato: são, quase todas, respostas diretas a uma falha que já aconteceu.

Fontes:

• IAVE Provas e Exames: https://iave.pt/provas-e-exames/provas-e-exames/ 
• IAVE Informações-Prova Geral 2025/2026: https://iave.pt/wp-content/uploads/2025/12/IP-Geral-2026_29nov.pdf 
• Direção-Geral da Educação: Plataformas JNE / PIEPE: https://www.dge.mec.pt/plataformas-jne 
• Plataforma de Classificação e Supervisão (PCS): https://pcs.iave.pt/ 
• Manual do Professor Classificador (IAVE): https://iave.pt/wp-content/uploads/2021/06/Manual_Classificador_2025.pdf 
• Transição para o EduQA, I.P.: DGE: https://www.dge.mec.pt/noticias/transicao-para-o-eduqa-ip 
• Wikipédia: Instituto de Educação, Qualidade e Avaliação: https://pt.wikipedia.org/wiki/Instituto_de_Educa%C3%A7%C3%A3o,_Qualidade_e_Avalia%C3%A7%C3%A3o 
• Euronews: “Milhares de alunos portugueses ainda esperam pelas notas dos exames nacionais” (17/07/2026): https://pt.euronews.com/my-europe/2026/07/17/milhares-de-alunos-portugueses-ainda-esperam-pelas-notas-dos-exames-nacionais 
• ECO: “A microempresa por trás do caos nos exames nacionais que abriu uma crise de confiança no sistema”: https://eco.sapo.pt/especiais/a-microempresa-por-tras-do-caos-nos-exames-nacionais-que-abriu-uma-crise-de-confianca-no-sistema/ 
• Observador: “Plataforma para correção de exames nacionais em manutenção devido a problema de segurança” (06/07/2026): https://observador.pt/2026/07/06/plataforma-para-correcao-de-exames-nacionais-em-manutencao/ 
• Rádio Renascença: “Digitalização dos exames. Deloitte chamada para dar apoio técnico e monitorizar” (06/07/2026): https://rr.pt/noticia/pais/2026/07/06/digitalizacao-dos-exames-deloitte-chamada-para-dar-apoio-tecnico-e-monitorizar/477320 
• Tek Sapo: “Falhas nos exames nacionais: ministro autoriza mais 500 mil euros enquanto sistema definitivo só chega em 2027”: https://tek.sapo.pt/noticias/computadores/artigos/falhas-nos-exames-nacionais-ministro-autoriza-mais-500-mil-euros-enquanto-sistema-definitivo-so-chega-em-2027/ 
• CNN Portugal: “Empresa que desenvolveu plataforma para classificação de exames diz que se limitou a seguir as especificações definidas pela tutela”: https://cnnportugal.iol.pt/exames-nacionais/correcao/empresa-que-desenvolveu-plataforma-para-classificacao-de-exames-diz-que-se-limitou-a-seguir-as-especificacoes-definidas-pela-tutela/20260708/6a4e98ebd34ef04b4f3f536c