O que são ameaças internas? Seu guia para segurança ética em 2026.

Quando as pessoas ouvem o termo "ameaça interna", geralmente pensam em um clichê de filme de espionagem: o funcionário descontente que sai sorrateiramente do escritório com um pen drive cheio de segredos. Embora esse tipo de coisa realmente aconteça, focar apenas em funcionários mal-intencionados é uma visão perigosamente limitada. Ela ignora o lado muito maior, mais comum e, muitas vezes, mais custoso do problema.

Uma maneira melhor de pensar sobre ameaças internas é compará-las a uma fragilidade oculta na fundação de um prédio. O risco vem de dentro, e não importa se é causado por um ato malicioso, um momento de descuido ou um simples erro — o potencial para danos catastróficos é imenso.

As ameaças internas não são um problema único e monolítico. Elas se apresentam de diversas formas, e compreender as diferenças é o primeiro passo para construir uma defesa realmente eficaz.

Como você pode ver, a principal diferença reside na intenção. O risco pode advir de um desejo deliberado de causar dano, de uma simples falta de consciência ou de algo intermediário.

Para ajudar você a diferenciá-las, aqui está um breve resumo das três faces das ameaças internas.

As três faces das ameaças internas

Tipo de ameaça	Motivador principal	Exemplo comum
Informante Malicioso	Ganho pessoal, vingança ou ideologia.	Um funcionário que vende propriedade intelectual a um concorrente em troca de recompensa financeira.
Informante Negligente	Desrespeito às normas, negligência ou conveniência.	Um trabalhador remoto utiliza uma rede Wi-Fi pública não segura para acessar arquivos confidenciais da empresa.
Informante Acidental	Erro não intencional, falta de treinamento ou ter sido enganado.	Um funcionário clicou sem saber em um link de phishing, instalando um malware que rouba dados.

Esses diferentes tipos de agentes internos representam uma ameaça significativa, mas exigem estratégias muito diferentes para serem gerenciados.

O verdadeiro custo do risco interno

As consequências financeiras e de reputação desses incidentes são impressionantes. Descobertas recentes mostram que incidentes relacionados a ameaças internas custam, em média , US$ 17,4 milhões por ano para cada empresa. Isso representa um aumento expressivo de 7,4% em relação ao ano anterior, impulsionado pela maior frequência de incidentes e pela complexa e dispendiosa recuperação subsequente. Você pode saber mais sobre as últimas tendências em ameaças internas e seu impacto financeiro .

Uma ameaça interna não é apenas um problema de segurança; é um risco humano e operacional que expõe lacunas de procedimentos, falhas de políticas e pontos cegos culturais. Para lidar com isso, é preciso mudar o foco da culpa para a prevenção.

Adotando uma abordagem proativa e digna.

Em última análise, responder à pergunta "o que é uma ameaça interna" significa reconhecer o elemento humano no cerne da questão. Os métodos de segurança tradicionais que se baseiam em vigilância invasiva criam uma cultura de desconfiança e falham completamente em abordar as causas profundas da negligência e dos acidentes — que constituem a grande maioria dos incidentes.

É necessária uma abordagem moderna e proativa, que priorize a prevenção ética em detrimento da punição reativa. Isso significa focar em:

• Identificação de sinais de risco: Analisar ações verificáveis e lacunas nos processos, e não julgar as intenções das pessoas.

• Fortalecimento dos processos: Eliminar as brechas processuais que permitem que erros aconteçam.

• Preservação da privacidade: Construindo uma cultura de segurança baseada na dignidade e na confiança com plataformas que respeitam a privacidade, como o E-Commander da Logical Commander .

Ao se concentrarem nesses princípios, as organizações podem gerenciar o risco humano de forma eficaz, protegendo tanto seus ativos quanto seus funcionários com uma estratégia proativa e digna.

Conheça os três tipos de ameaças internas

Para realmente entender "o que é uma ameaça interna", é preciso olhar além da caricatura hollywoodiana do espião misterioso. Na realidade, essas ameaças são um problema humano complexo, que se manifesta de diversas maneiras distintas, cada uma com suas próprias motivações e comportamentos.

Se você quer construir uma defesa que realmente funcione, primeiro precisa reconhecer quem está enfrentando. Essas ameaças geralmente se enquadram em três categorias principais, separadas por um único fator crítico: a intenção.

Vamos conhecer os principais envolvidos.

O Informante Malicioso

Primeiro, temos o Informante Malicioso . Essa é a pessoa que a maioria das pessoas imagina — alguém que usa sua influência de forma consciente e intencional para causar danos. Muitas vezes, essas pessoas são motivadas por razões profundamente enraizadas.

Conheça Alex, um engenheiro sênior que acabou de ser preterido para uma grande promoção que ele acreditava merecer. Sentindo-se amargurado e ressentido, Alex decide se vingar. Algumas semanas antes de planejar sua demissão, ele começa a encaminhar discretamente projetos confidenciais e listas de clientes para um endereço de e-mail pessoal.

O plano dele é simples: vender a propriedade intelectual da empresa para um concorrente e sabotar o lançamento do próximo produto deste último na sua saída.

Os principais fatores que levam funcionários mal-intencionados a agirem de forma maliciosa geralmente são:

• Ganho financeiro: Venda de segredos comerciais, prática de fraude ou recebimento de subornos.

• Vingança: O desejo de prejudicar a organização após uma ofensa real ou imaginária.

• Ideologia: Agir em nome de um grupo externo ou de uma causa pessoal.

Embora os agentes internos maliciosos sejam os mais raros dos três tipos, suas ações costumam ser precisas, calculadas e planejadas para causar o máximo de dano.

O Informante Negligente

Agora, vamos considerar Brenda, uma gerente de vendas regional que está constantemente viajando. Ela está sobrecarregada e sob pressão para atingir suas metas trimestrais, e percebe que as regras de segurança da empresa só a atrasam. Para economizar tempo, ela costuma usar seu laptop pessoal em redes Wi-Fi não seguras de hotéis para acessar o CRM corporativo.

Brenda não está tentando prejudicar a empresa de forma alguma. Na cabeça dela, ela está apenas sendo eficiente. Ela é o que chamamos de Funcionária Interna Negligente — uma funcionária que, conscientemente, flexibiliza ou infringe as normas, mas sem qualquer intenção de causar danos. Suas ações geralmente decorrem de um desejo de conveniência, da crença de que as regras não se aplicam a ela ou de um simples desrespeito aos procedimentos de segurança que considera um incômodo.

Esses funcionários não são vilões; muitas vezes são trabalhadores dedicados que tentam realizar suas tarefas. O risco que eles representam evidencia falhas em seus processos e a necessidade de uma segurança melhor e mais amigável ao usuário — não uma caçada a sabotadores.

O Informante Acidental

Por fim, temos Chris, um prestativo assistente de contabilidade. Certa manhã, ele recebe um e-mail urgente que parece ser do departamento de TI, alertando-o sobre um "alerta de segurança" e instruindo-o a redefinir sua senha imediatamente. Chris clica no link, insere suas credenciais em uma página de login que parece completamente legítima e volta ao seu trabalho.

Ele não faz ideia de que acabou de entregar o acesso à sua rede a um cibercriminoso. Chris é um Insider Acidental , alguém que, sem intenção, causa uma violação de segurança por meio de um simples erro ou por ser manipulado. Esses incidentes geralmente são resultado de sofisticados golpes de phishing, engenharia social ou simplesmente da falta de treinamento em segurança da informação.

Pesquisas mostram consistentemente que a negligência e os erros acidentais de funcionários internos são responsáveis pela grande maioria dos incidentes. De acordo com uma análise recente, as organizações lidaram com uma média de 13,5 incidentes causados por negligência em 2024, com custos anuais totais chegando à impressionante marca de US$ 8,8 milhões .

Embora os ataques internos maliciosos sejam menos comuns, seus impactos são mais custosos por incidente, com uma média de US$ 715.366 em 2025. Você pode obter uma análise mais detalhada dos números no relatório de ameaças internas da Syteca de 2025 .

Compreender esses três perfis é o primeiro passo. Isso demonstra que um programa eficaz de gestão de riscos internos não se trata de capturar espiões. Trata-se de eliminar lacunas nos procedimentos, aprimorar o treinamento e identificar sinais precoces de risco — protegendo a organização tanto de funcionários bem-intencionados como Brenda e Chris quanto de um funcionário insatisfeito como Alex.

O impacto devastador das ameaças internas no mundo real

O conceito de ameaça interna pode parecer abstrato, mas os danos reais são brutalmente concretos. Não se tratam de riscos teóricos que você lê em um relatório de segurança; são eventos tangíveis que paralisam os negócios. As consequências de um único incidente vão muito além do vazamento inicial de dados, criando repercussões que prejudicam as finanças, destroem reputações e minam o moral dos funcionários por anos.

Vamos analisar alguns cenários muito comuns para ver como isso se traduz na prática.

Cenário 1: A saída do diretor de vendas

Imagine que uma diretora de vendas de alto nível anuncia sua saída para trabalhar em uma empresa concorrente direta. Durante sua última semana, ela envia um "relatório final" para sua conta pessoal por e-mail. Dentro desse arquivo está a lista completa de clientes da empresa — com detalhes de contato, histórico de vendas e estruturas de preços confidenciais.

Não se trata de um esquema sofisticado ou engenhoso. É uma das formas mais comuns de vazamento de dados. Aliás, pesquisas mostram que o simples envio de arquivos por e-mail para uma conta pessoal é a técnica mais utilizada, presente em 62% dos casos de exfiltração de dados desse tipo.

O dano imediato é óbvio: seu maior concorrente agora detém as chaves do seu império. Mas a sangria não para por aí. Seu fluxo de vendas seca à medida que o concorrente se aproxima, oferecendo preços mais baixos que os seus. Contas importantes desaparecem, levando a metas de receita não atingidas e, eventualmente, a demissões. A confiança dentro da equipe de vendas remanescente evapora, enquanto a gerência é forçada a iniciar uma investigação disruptiva.

O relatório "Estado da Segurança de Arquivos" do Instituto Ponemon, de setembro de 2025, reforça essa ideia, revelando que as violações provocadas por funcionários internos agora representam 45% de todas as violações de segurança de arquivos. Esses incidentes acarretam um custo médio de US$ 2,7 milhões em prejuízos para as organizações em apenas dois anos. Você pode encontrar mais detalhes nesta análise aprofundada do relatório Ponemon de 2025 .

Cenário 2: O Empreiteiro Comprometido

Agora, imagine um prestador de serviços terceirizado com acesso temporário à sua rede. Um sofisticado ataque de phishing chega à caixa de entrada dele e, sem saber, ele revela suas credenciais. Usando esse acesso legítimo, cibercriminosos coletam silenciosamente dados confidenciais de clientes por semanas, antes mesmo que alguém suspeite do problema.

Quando a violação é descoberta e se torna pública, as consequências são catastróficas.

• Multas regulatórias altíssimas: Violações de regulamentações como a GDPR ou a CCPA podem acarretar multas milionárias.

• Confiança do cliente destruída: os clientes abandonam você em favor da concorrência, e a reputação da marca, construída ao longo de décadas, fica em frangalhos.

• Tempo de inatividade operacional: Todo o sistema precisa ser desativado para análise forense e correção, paralisando completamente as atividades da empresa.

• Queda acentuada na moral dos funcionários: suas equipes estão completamente sobrecarregadas com o controle de danos, clientes furiosos e o estresse esmagador da violação de segurança, o que leva à exaustão generalizada.

Esses exemplos mostram que uma ameaça interna nunca é apenas um vazamento de dados; é uma crise empresarial completa. A perda financeira inicial é apenas a ponta do iceberg. Os danos à reputação e a interrupção operacional a longo prazo podem paralisar uma empresa por anos, o que torna a prevenção proativa e a detecção precoce absolutamente necessárias.

Identificando os primeiros sinais de alerta e indicadores comportamentais

As ameaças internas quase nunca ocorrem isoladamente. Raramente são um evento súbito e explosivo. Em vez disso, são precedidas por uma série de indícios sutis — um conjunto de sinais técnicos, processuais e comportamentais que, quando reunidos, revelam um nível crescente de risco relacionado ao fator humano.

A chave para se antecipar a um incidente não é uma bola de cristal. É aprender a identificar esses sinais de alerta precoce e conectar os pontos antes que causem danos reais.

Mas sejamos claros em um ponto crucial: estes são indicadores, não acusações . Um sinal isolado raramente conta toda a história. O objetivo nunca é criar uma cultura de suspeita, mas sim uma de conscientização, onde sinais de risco verificáveis desencadeiam um processo de verificação justo, estruturado e digno.

Sinais de alerta técnico

Os indicadores técnicos costumam ser as pistas mais concretas que você encontrará. São os rastros digitais descobertos por meio do monitoramento rotineiro de sistemas e redes, apontando para ações que se desviam drasticamente da pegada digital normal de um funcionário.

Quando você vê esses sinais, é um indício de que algo está errado.

• Acesso a dados anômalo: Um funcionário repentinamente começa a vasculhar arquivos, pastas ou bancos de dados que não têm relação com suas funções. Isso pode ser um sinal de que ele está mapeando informações confidenciais para exfiltração.

• Downloads ou transferências massivas de dados: Um aumento repentino e massivo no uso de dados de alguém é um sinal de alerta enorme. Pense em grandes volumes de informações sendo baixados ou transferidos para unidades externas ou armazenamento em nuvem pessoal.

• Tráfego de rede incomum: o dispositivo de um funcionário pode começar a se comunicar com servidores externos desconhecidos, usando protocolos de rede estranhos ou apresentando um aumento significativo na atividade de rede fora do horário de expediente, quando normalmente está offline.

• Utilização de dispositivos ou softwares não autorizados: Conectar pen drives pessoais ou instalar aplicativos não aprovados é uma maneira clássica de burlar os controles de segurança e criar uma enorme vulnerabilidade para sua organização.

Essas pistas técnicas são inestimáveis porque são objetivas. Elas não dizem respeito à atitude ou personalidade de alguém; dizem respeito a ações digitais verificáveis que exigem contexto e, potencialmente, investigação adicional.

Indicadores Comportamentais e Procedimentais

Embora os sinais técnicos forneçam dados concretos, os indicadores comportamentais e de procedimentos oferecem o contexto humano crucial. São os sinais de alerta que gestores e colegas costumam notar muito antes de se manifestarem como um alerta técnico. Representam uma mudança nos padrões típicos de um funcionário e no seu respeito pelas políticas da empresa.

Considere estes fatores como o lado humano da equação do risco:

• Mudanças nos hábitos de trabalho: Um funcionário que sempre trabalhou no horário comercial padrão (das 9h às 17h) de repente começa a acessar o sistema tarde da noite ou nos fins de semana sem nenhuma justificativa profissional aparente. Essa atividade fora do horário de expediente é uma tática comum usada para evitar ser detectado.

• Resistência à supervisão: O indivíduo torna-se defensivo ou reservado em relação ao seu trabalho, resiste às avaliações de colegas ou fica frustrado com os controles internos e as políticas de segurança que antes seguia sem problemas.

• Ganhos ou dificuldades financeiras repentinas e inexplicáveis: Mudanças significativas na situação financeira de um funcionário podem ser um forte motivador. Alguém com dívidas elevadas, por exemplo, pode ser muito mais suscetível a uma tentativa de suborno por parte de um agente externo.

• Expressões de descontentamento: Um funcionário que se sente injustiçado pela empresa — seja por não ter sido promovido, por uma avaliação de desempenho ruim ou por um conflito com a gerência — pode estar em um risco muito maior de se tornar um agente interno malicioso.

Identificar esses indícios precocemente é um componente essencial de qualquer estratégia de segurança eficaz. Para organizações que buscam aprimorar suas capacidades, uma análise mais aprofundada das ferramentas certas pode fazer toda a diferença. Você pode se interessar pelo nosso guia sobre software de detecção de ameaças internas para ver como a tecnologia pode ajudar a conectar esses pontos.

Ao combinar o monitoramento técnico objetivo com uma percepção humana apurada, você finalmente pode passar de reagir aos danos para preveni-los proativamente.

Da reação à prevenção com uma abordagem ética

https://www.youtube.com/watch?v=LbuWyPCA23c

Durante anos, o modelo padrão para lidar com riscos internos era fundamentalmente falho. Baseava-se numa cultura de suspeita, utilizando vigilância invasiva como registo de teclas digitadas, gravação constante do ecrã e análise de emails. Esta abordagem tratava todos os funcionários como potenciais criminosos.

Essa mentalidade de "culpado até que se prove o contrário" não só é desmoralizante, como também é amplamente inútil contra os principais fatores que impulsionam ameaças internas: negligência simples e erros acidentais. É hora de uma nova estratégia — uma que passe da punição reativa para a prevenção proativa e ética.

Essa estratégia moderna se baseia na dignidade, privacidade e confiança. Ela reconhece que uma organização segura e uma força de trabalho respeitada não são forças opostas; são duas faces da mesma moeda. Toda a estrutura opera sob regulamentações rigorosas como o GDPR e o CCPA , que proíbem explicitamente as táticas invasivas e as tentativas de manipulação psicológica que caracterizavam o modelo antigo.

O Poder da Inteligência Centralizada

O cerne dessa estratégia moderna é eliminar os silos de informação que sempre separaram os departamentos de RH, Jurídico e Segurança. Quando esses departamentos trabalham isoladamente, cada um detém apenas uma pequena parte do quebra-cabeça do risco. O RH pode estar ciente das dificuldades de desempenho de um funcionário, o Jurídico pode ter uma visão clara de um conflito de interesses e a Segurança pode sinalizar um padrão incomum de acesso a dados.

Isoladamente, esses são apenas sinais desconexos. Mas, quando reunidos em uma plataforma unificada, formam um panorama claro e coeso dos riscos emergentes. Essa inteligência centralizada permite finalmente conectar os pontos entre lacunas processuais, violações de políticas e indicadores técnicos verificáveis.

O objetivo é identificar sinais de risco estruturados que exigem verificação, e não julgar a intenção ou o caráter de um funcionário. Esse foco em ações objetivas permite que as organizações intervenham de forma precoce e justa, resolvendo problemas antes que se transformem em incidentes graves.

Focando em sinais verificáveis, não em perfis.

Um programa ético de gestão de riscos internos evita a armadilha perigosa de tentar traçar perfis de funcionários. Ele não tenta adivinhar o que alguém está pensando ou sentindo. Em vez disso, concentra-se inteiramente em ações verificáveis e indicadores estruturados que apontam para uma possível falha em seus processos ou políticas.

Eis como isso funciona no mundo real:

• Lacunas processuais: O sistema pode sinalizar quando um funcionário do setor financeiro aprova um pagamento a um fornecedor que por acaso compartilha o mesmo endereço residencial, indicando um potencial conflito de interesses que precisa ser analisado mais detalhadamente.

• Anomalias de acesso: Poderia identificar um membro da equipe acessando arquivos confidenciais de um projeto, totalmente alheios à sua função, levando um gerente a simplesmente verificar se esse acesso foi autorizado.

• Desvios de Políticas: Isso pode evidenciar um padrão de funcionários que consistentemente ignoram o treinamento obrigatório de conformidade, indicando um problema cultural ou uma falha de comunicação que precisa ser abordada.

Ao focar nesses sinais verificáveis, o processo permanece objetivo, justo e transparente. Isso permite que a organização faça perguntas esclarecedoras — "Existe uma razão legítima para esse acesso?" ou "Você obteve aprovação para essa ação?" — em vez de fazer acusações prejudiciais. Esse método preserva a dignidade do funcionário e, ao mesmo tempo, elimina o risco de forma decisiva.

Além disso, a implementação deum suporte robusto em saúde mental para os funcionários é uma parte crucial de uma estratégia ética e proativa, pois pode abordar os fatores de estresse subjacentes que, por vezes, contribuem para o risco.

Para saber mais sobre como criar um programa que equilibre perfeitamente segurança e ética, você pode ler nosso guia completo sobre estratégias eficazes de prevenção de ameaças internas .

Como construir seu programa moderno de risco interno

Chegou a hora de deixar para trás planilhas fragmentadas e investigações caóticas e isoladas. Um programa moderno de gestão de riscos internos não se trata de instalar mais tecnologia de vigilância, mas sim de criar um sistema unificado para colaboração, rastreabilidade e resposta rápida.

O objetivo é conectar os pontos entre sinais dispersos e ambíguos e transformá-los em um processo claro e acionável. É assim que você capacita suas equipes a agirem com decisão quando surge uma potencial ameaça interna, mantendo o devido processo legal e protegendo a organização de responsabilidades. Essa é uma função essencial das modernas soluções de Governança, Risco e Conformidade (GRC) orientadas por dados .

Do sinal à ação

Imagine que um sinal de risco seja acionado — um funcionário do setor financeiro tenta acessar arquivos confidenciais de um projeto de engenharia tarde da noite de uma sexta-feira. Em um modelo antigo e falho, isso poderia passar despercebido ou, pior, desencadear uma investigação desorganizada e frenética que deixaria todos em alerta.

Um programa moderno, no entanto, segue um fluxo de trabalho estruturado e em conformidade com as normas.

• Alertas unificados: o sinal é registrado imediatamente em uma plataforma central, tornando-o visível para as partes interessadas autorizadas em RH, Segurança e Conformidade. Os silos de informação são eliminados desde o início.

• Triagem Colaborativa: Em vez de um departamento investigar isoladamente, toda a equipe de resposta pode ter uma visão completa do contexto. O RH pode adicionar rapidamente a informação de que o funcionário está em um plano de melhoria de desempenho, fornecendo dados cruciais que mudam completamente o panorama.

• Verificação estruturada: A plataforma orienta a equipe por meio de um processo predefinido e defensável. O primeiro passo não é uma acusação; é uma solicitação de verificação simples e documentada, enviada ao gerente direto do funcionário.

• Resolução Rastreável: O gerente confirma que a tentativa de acesso foi não autorizada. O evento, todas as comunicações relacionadas e a resolução final são registrados em um histórico completo e auditável, garantindo que o processo foi justo, consistente e em conformidade com as normas.

Essa mudança transforma uma situação potencialmente volátil em uma tarefa operacional e gerenciável. Ela fornece um caminho claro e baseado em evidências que respeita a dignidade do funcionário, ao mesmo tempo que neutraliza decisivamente o risco organizacional.

Essa abordagem estruturada é a base de uma defesa moderna. Para continuar aprimorando sua estratégia, você pode explorar nosso guia completo de soluções de gerenciamento de riscos internos em 2026 .

Suas perguntas, respondidas.

Quando os líderes começam a explorar uma abordagem moderna e proativa para o risco interno, algumas questões críticas sempre surgem. Aqui estão algumas respostas diretas que abordam os principais problemas de privacidade, escala e intenção que toda organização enfrenta.

Isso constitui uma violação da privacidade do funcionário?

Nem de perto. A gestão moderna e ética de riscos internos não tem nada a ver com vigilância invasiva. Toda a abordagem é concebida para estar em conformidade com leis de privacidade rigorosas, como o RGPD e a Lei de Proteção ao Empregado contra o Polígrafo (EPPA) .

Não estamos falando de monitorar e-mails ou comportamentos privados. O foco está inteiramente em sinais objetivos e verificáveis — como uma violação grave de política ou uma transferência de dados não autorizada em larga escala. O objetivo é sinalizar riscos claros para os negócios, para uma verificação justa, e não espionar pessoas. Trata-se de proteger a organização, preservando a dignidade dos funcionários.

Minha empresa é pequena — isso realmente é um problema para nós?

É uma questão ainda mais grave. Embora as grandes violações de segurança em grandes corporações ganhem as manchetes, as pequenas empresas costumam ser muito mais vulneráveis, pois possuem menos controles e recursos de segurança.

Pense nisso. Um único vazamento de dados de grande porte ou um caso de fraude interna pode ser o fim de uma pequena empresa. Isso torna uma abordagem proativa e escalável para gerenciar esses riscos absolutamente essencial para a sobrevivência, quanto mais para o crescimento.

Como saber se um funcionário de dentro da empresa está agindo com negligência ou malícia?

Inicialmente, você não pode — e nem deveria tentar. O foco deve permanecer na ação arriscada em si, e não em tentar adivinhar a intenção da pessoa.

Um programa eficaz sinaliza um evento específico e preocupante, como um download de dados excepcionalmente grande para um dispositivo pessoal. A partir daí, inicia um processo estruturado e imparcial para determinar o contexto. Essa abordagem permite que a organização determine se foi um simples erro que precisa de correção com treinamento ou um ato deliberado que exige uma resposta muito mais séria e ponderada.

---

Na Logical Commander , ajudamos organizações a construir programas de gestão de riscos internos éticos e que respeitam a privacidade. Nossa plataforma E-Commander transforma sinais dispersos em insights claros e acionáveis, permitindo que você saiba primeiro e aja rapidamente. Descubra uma abordagem proativa e digna para a gestão de riscos em https://www.logicalcommander.com .