Enciclopédia de TI e GRC
O que significa cada conceito, método, documento e norma, como funciona e como aplicá-lo, com as fontes oficiais de cada resposta.
Guias completos
- Guia completo da ISO 27001Leia estes artigos por ordem e seguirá a sequência de um verdadeiro projeto de certificação, desde perceber a norma até verificar o seu próprio sistema.
- Guia completo da NIS2Este percurso começa pela pergunta que a maioria das empresas faz primeiro, se a NIS2 se lhes aplica, e depois percorre as suas obrigações pela ordem em que as trataria.
- Guia completo da gestão de riscosEstes artigos apoiam-se uns nos outros. No fim, saberá montar um processo de riscos que uma equipa pequena consegue realmente manter a funcionar.
- Guia completo da continuidade de negócioO planeamento da continuidade corre mal quando começa pelo plano. Este percurso começa pelo que o negócio realmente precisa e termina nos meios para o recuperar.
Gestão de riscos
- O que é um registo de riscos?Um registo de riscos é a lista atualizada do que pode prejudicar uma empresa: quem responde por cada risco, qual a sua gravidade, o que está a ser feito e em que ponto está esse trabalho.
- A matriz de riscos explicadaUma matriz de riscos é uma grelha que cruza a probabilidade com o impacto. Permite a uma empresa comparar riscos muito diferentes numa mesma escala e decidir quais tratar primeiro.
- Metodologia de avaliação de riscosUma metodologia de avaliação de riscos é a forma fixa como uma empresa identifica, analisa e aprecia os seus riscos, para que duas pessoas que avaliam a mesma coisa cheguem a resultados comparáveis.
- Plano de tratamento de riscosUm plano de tratamento de riscos diz o que vai acontecer a cada risco que a empresa não quer deixar como está: que opção, que ações, quem as executa, até quando e que resultado esperar.
- A propriedade do riscoO proprietário de um risco é a pessoa que responde por ele, com autoridade para decidir o seu tratamento, pagá-lo e aceitar o que restar.
- Avaliação de riscos ISO 27001A ISO/IEC 27001 exige um processo definido para avaliar os riscos de segurança da informação (secção 6.1.2), realizado em intervalos planeados (secção 8.2), que identifica os riscos e os seus proprietários, os analisa e os aprecia face a critérios estabelecidos.
- Inventário de ativosO inventário de ativos é a lista atualizada da informação, dos sistemas, dos equipamentos e dos serviços de que uma empresa depende, cada um com um responsável. Não se pode proteger o que não se sabe que se tem.
Conformidade
- Análise de riscos do RGPDUma análise de riscos do RGPD examina os riscos que uma atividade de tratamento cria para os direitos e liberdades das pessoas. Quando é provável que esse risco seja elevado, o artigo 35.º exige uma avaliação de impacto sobre a proteção de dados, ou AIPD.
- O que é a gestão da conformidade?A gestão da conformidade é o trabalho contínuo de saber que obrigações se aplicam a uma empresa, cumpri-las, prová-lo e corrigir o que falhar.
- Guia do questionário de conformidadeUm questionário de conformidade é um conjunto estruturado de perguntas que mostra onde está uma empresa face a uma lei, uma norma ou um contrato, e onde fica aquém.
- O controlo interno explicadoUm controlo interno é uma medida que dá uma garantia razoável de que uma empresa vai atingir os seus objetivos apesar dos seus riscos: uma aprovação obrigatória, uma segregação de funções, uma revisão, uma restrição técnica.
- O que é a ISO 27001?A ISO/IEC 27001 é a norma internacional do sistema de gestão da segurança da informação: a forma como uma empresa governa, avalia e melhora a segurança da sua informação.
- Declaração de aplicabilidadeA declaração de aplicabilidade é o documento obrigatório da ISO/IEC 27001 que indica de que controlos uma empresa precisa, porquê, se estão implementados e porque fica de fora algum controlo do anexo A.
- O que é a NIS2?A NIS2 é a diretiva europeia (2022/2555) que impõe obrigações de cibersegurança às entidades médias e grandes de setores críticos: medidas de gestão de riscos, notificação de incidentes e responsabilidade da direção.
- Lista de verificação NIS2Uma lista de verificação NIS2 segue a estrutura da diretiva: o âmbito, os deveres do órgão de direção (artigo 20.º), as dez medidas do artigo 21.º, n.º 2, e os prazos de notificação (artigo 23.º).
- O que é o RGPD?O Regulamento Geral sobre a Proteção de Dados (UE) 2016/679 fixa as regras de utilização de dados pessoais na União Europeia. Aplica-se desde 25 de maio de 2018.
- Monitorização da conformidadeA monitorização da conformidade é a verificação regular, pelos responsáveis, de que as obrigações continuam a ser cumpridas e os controlos continuam a funcionar, para que os problemas surjam antes da auditoria.
Continuidade do negócio
- O que é a continuidade de negócio?A continuidade de negócio é a capacidade de uma empresa continuar a prestar os seus produtos e serviços mais importantes a um nível aceitável durante uma perturbação, seja qual for a causa.
- O que é a recuperação de desastres?A recuperação de desastres é o conjunto de planos e meios técnicos que repõem os sistemas informáticos e os dados após uma perturbação grave, nos prazos acordados com o negócio.
- Continuidade de negócio ou recuperação de desastresA continuidade de negócio mantém a empresa a funcionar durante uma perturbação, e a recuperação de desastres repõe a informática de que ela depende. A recuperação é uma parte da continuidade.
- Análise de impacto no negócioA análise de impacto no negócio, ou BIA, determina o que acontece ao longo do tempo se cada atividade parar, e usa isso para fixar a sua prioridade e os seus objetivos de recuperação.
- O RTO explicadoO objetivo de tempo de recuperação, ou RTO, é o prazo em que uma atividade ou um sistema tem de voltar após uma perturbação, antes de as consequências se tornarem inaceitáveis.
- O RPO explicadoO objetivo de ponto de recuperação, ou RPO, são os dados mais recentes que uma empresa se pode dar ao luxo de perder, expressos como um intervalo de tempo antes do incidente.
Auditoria
- Guia de auditoria internaUma auditoria interna é uma verificação independente, planeada e documentada de que as práticas de uma empresa cumprem os seus requisitos e funcionam como previsto.
- Lista de verificação de auditoriaA lista de verificação de auditoria é o documento de trabalho do auditor. Para cada critério, diz o que observar, a quem perguntar e o que amostrar, e regista o que foi encontrado.
- Constatações de auditoriaUma constatação de auditoria compara uma evidência com um critério. Diz o que deveria estar a acontecer, o que foi visto, porque importa e porque aconteceu.
- Lista de verificação de auditoria de redeUma lista de verificação de auditoria de rede verifica que uma rede é conhecida, segmentada, atualizada, monitorizada e acessível apenas a quem deve aceder, com uma evidência por linha.
Risco de terceiros
- Avaliação de riscos de fornecedoresUma avaliação de riscos de fornecedores determina o que pode correr mal através de um fornecedor concreto, quão preparado ele está e se o risco restante é aceitável.
- Gestão de riscos de terceirosA gestão de riscos de terceiros é o programa que controla os riscos de depender de fornecedores e parceiros, desde a sua seleção até ao fim da relação.
- Questionários de segurançaUm questionário de segurança é a lista de perguntas que um comprador envia a um fornecedor para verificar as suas práticas de segurança. Responder-lhe bem passou a fazer parte da venda.
Guias práticos
- O que é GRC? Governação, risco e conformidade explicadosGRC significa governação, risco e conformidade: a forma como uma empresa define as suas regras, gere o que pode correr mal e prova que cumpre as suas obrigações.
- Como definir o âmbito de um SGSIO âmbito diz que parte da empresa o SGSI abrange. A cláusula 4.3 da ISO/IEC 27001 pede que se determinem os seus limites e aplicabilidade, e que seja mantido como informação documentada.
- Como fazer uma análise de lacunas de conformidadeUma análise de lacunas compara a sua prática atual com os requisitos de um referencial, para mostrar o que falta e o que fazer primeiro. É muitas vezes o primeiro passo de um projeto de conformidade.
- Requisitos do DORA: os cinco pilares explicadosO Regulamento relativo à resiliência operacional digital, Regulamento (UE) 2022/2554, aplica-se desde 17 de janeiro de 2025 às entidades financeiras da UE e fixa um conjunto único de regras sobre a resiliência das TIC.
- HIPAA Security Rule: salvaguardas e o que documentarA HIPAA Security Rule (45 CFR Part 164, Subpart C) fixa normas norte-americanas para proteger a informação de saúde eletrónica detida pelas entidades abrangidas e pelos seus parceiros de negócio.
- Os 12 requisitos do PCI DSS explicadosO PCI DSS é a norma de segurança do setor dos cartões para qualquer empresa que armazene, processe ou transmita dados de titulares de cartão. Este guia segue a versão 4.0.1, publicada em junho de 2024: consulte a biblioteca de documentos do PCI SSC para a versão mais recente.
- Violação de dados RGPD: o que fazer em 72 horasSegundo o artigo 33.º do RGPD, uma violação de dados pessoais tem de ser notificada à autoridade de controlo no prazo de 72 horas após ter tido conhecimento dela, salvo se for improvável que resulte num risco para as pessoas.
- SOC 2 ou ISO 27001: diferenças e qual escolherA ISO/IEC 27001 certifica um sistema de gestão; um relatório SOC 2 dá a opinião de um auditor sobre os seus controlos. Sobrepõem-se muito, e a escolha certa depende sobretudo do que os seus clientes pedem.
- Política, procedimento, norma interna, orientação: qual a diferença?Estes quatro tipos de documento respondem a perguntas diferentes. Mantê-los separados torna cada um mais curto, mais fácil de aprovar e mais fácil de manter atualizado.
- Revisões de acessos: como as fazerUma revisão de acessos verifica se as pessoas ainda precisam dos acessos que têm. É um dos controlos mais testados, e as falhas aqui surgem muitas vezes nas constatações de auditoria.
- Como redigir um plano de resposta a incidentesUm plano de resposta a incidentes diz quem faz o quê quando algo corre mal. Escrito com antecedência, poupa as horas em que as decisões mais importam.