Atualizações

Novo framework: CMMC 2.0 (Cybersecurity Maturity Model Certification)

Vigésimo primeiro framework do GRC — certificação obrigatória do Departamento de Defesa dos EUA pra contratado e subcontratado da cadeia de suprimento de defesa (Defense Industrial Base) que lida com Informação de Contrato Federal (FCI) ou Informação Não Classificada Controlada (CUI). Público bem mais nichado que os outros frameworks do GRC — só relevante pra quem vende, direta ou indiretamente, pro governo americano. Nível 1 completo: os 15 requisitos de salvaguarda básica do FAR 52.204-21, autoavaliação anual, pra proteger FCI. Nível 2 (proteção de CUI, geralmente com avaliação de terceiro credenciado): cobertura representativa de 62 das 110 exigências do NIST SP 800-171 Rev. 2 (56%, todas as 14 famílias representadas, 6 delas 100% completas) — não foi possível verificar o texto oficial das 110 com confiança suficiente nesta rodada; ver nota de proveniência no framework. Nível 3 (Expert) não é coberto: público extremamente restrito.

Fonte: FAR 52.204-21 e NIST SP 800-171 Rev. 2 (nvlpubs.nist.gov), documento público do governo dos EUA; estrutura cruzada contra fonte especializada

Novo framework: ISO/IEC 27701:2025

Vigésimo framework do GRC — sistema de gestão de privacidade da informação (PIMS). A edição 2025 deixou de ser extensão da ISO 27001/27002 e virou norma standalone, com Cláusulas 4-10 próprias (mesmo esqueleto Annex SL já usado pela ISO 27001/22301/42001 no GRC) e um Anexo A consolidado com 78 controles em 3 tabelas por papel: A.1 Controlador de PII (31 controles), A.2 Operador/Processador de PII (18) e A.3 Controles de Segurança Compartilhados, aplicáveis aos dois papéis (29). 101 itens no total. Complementa LGPD/GDPR já cadastrados: aqueles são a obrigação legal de proteger dado pessoal, este é o sistema de gestão que organiza como cumprir essa obrigação de forma auditável e certificável.

Fonte: ISO/IEC 27701:2025 (iso.org/standard/27701); estrutura completa do Anexo A cruzada contra fonte especializada (ISMS.online)

Novo framework: EU AI Act (Regulamento UE 2024/1689)

Décimo nono framework do GRC — regulamento europeu de IA, primeiro regime abrangente de regulação de IA do mundo. Classifica sistema de IA por nível de risco e impõe obrigação proporcional a cada nível: prática proibida (Art. 5), letramento em IA (Art. 4), requisito completo de gestão de risco/dado/documentação/supervisão humana pra sistema de alto risco (Art. 9-17), transparência pra chatbot e conteúdo sintético/deepfake (Art. 50) e obrigação específica pra modelo de IA de propósito geral (GPAI, Art. 53-55). 41 itens em 16 grupos. As obrigações de transparência do Art. 50 entraram em vigor em 02/08/2026 — prazo real e já vencido, não teórico. Complementa NIST AI RMF e ISO 42001, já cadastrados (governança de IA sem força de lei) — o AI Act é a regulação com multa real por trás (até €35M/7% do faturamento global pra prática proibida).

Fonte: Regulamento (UE) 2024/1689 (artificialintelligenceact.eu), Artigos 4/5/6-7/9-17/26-27/50/53-55/61/72-73/99

Novo framework: NIS2 (Diretiva UE 2022/2555)

Décimo oitavo framework do GRC, fechando a leva de 3 frameworks pendentes (SOC 2, DORA e NIS2) — Network and Information Security Directive 2, aplicável a entidades essenciais e importantes em 18 setores (energia, transporte, banca, saúde, água, infraestrutura digital, administração pública e outros). Diferente do GDPR/DORA (Regulamentos, diretamente aplicáveis), NIS2 é Diretiva: exige transposição em lei nacional por cada Estado-membro, prazo já vencido em 17/10/2024. 30 itens em 12 grupos: Governança (Art. 20); as 10 medidas mínimas de gestão de risco do Art. 21(2) — política de risco, gestão de incidentes, continuidade/gestão de crise, segurança da cadeia de suprimentos, segurança em aquisição/desenvolvimento, avaliação de eficácia, higiene cibernética e treinamento, criptografia, segurança de RH/acesso/ativos, autenticação e comunicação segura; e Reporte de Incidentes (Art. 23) com os prazos oficiais: alerta prévio em 24h, notificação em 72h, relatório final em até 1 mês.

Fonte: Diretiva (UE) 2022/2555 (eur-lex.europa.eu/eli/dir/2022/2555/oj), Artigos 20/21/23; estrutura cruzada contra fontes jurídicas especializadas

Novo framework: DORA (Regulamento UE 2022/2554)

Décimo sétimo framework do GRC — Digital Operational Resilience Act, regulamento europeu de resiliência operacional digital pro setor financeiro (bancos, seguradoras, corretoras, instituições de pagamento, provedores de cripto-ativos) e seus fornecedores terceiros de TIC, em vigor e diretamente aplicável desde 17/01/2025. 37 itens em 10 grupos temáticos, cobrindo os 5 pilares oficiais: Governança e Organização de Risco de TIC, Identificação e Proteção, Detecção, Resposta e Recuperação, Comunicação (gestão de risco de TIC); Gestão de Incidentes e Reporte; Testes de Resiliência Operacional Digital (incluindo TLPT — Teste de Penetração Orientado por Ameaça, alinhado ao framework TIBER-EU, exigido a cada 3 anos das entidades identificadas como significativas); Risco de Terceiros de TIC (registro de fornecedores, cláusulas contratuais obrigatórias, avaliação de concentração, estratégia de saída); e Compartilhamento de Informação entre entidades financeiras. Checklist temática (5 pilares), não artigo por artigo — os capítulos sobre poderes de autoridade supervisora (Art. 31-44, 46-64) ficam de fora por não serem controle que a entidade avaliada implementa.

Fonte: Regulamento (UE) 2022/2554 (eur-lex.europa.eu/eli/reg/2022/2554/oj); estrutura cruzada contra o índice oficial de capítulos/artigos e fontes jurídicas especializadas (EIOPA)

Novo framework: SOC 2 (Trust Services Criteria)

Décimo sexto framework do GRC — SOC 2 é o padrão de atestação de segurança mais pedido por cliente enterprise de software (SaaS/cloud), independente de região. 51 controles: o Common Criteria (Security, CC1-CC9, 33 critérios — Ambiente de Controle, Comunicação, Avaliação de Risco, Monitoramento, Atividades de Controle, Acesso Lógico e Físico, Operações de Sistema, Gestão de Mudanças, Mitigação de Risco) é obrigatório em todo relatório SOC 2; as outras quatro categorias — Disponibilidade (3 itens), Confidencialidade (2), Integridade de Processamento (5) e Privacidade (8, representada em nível de categoria alinhada aos princípios da OCDE) — são adicionadas conforme o compromisso de serviço com o cliente, não por exigência universal. Perfis Básico/Intermediário/Avançado seguem essa mesma lógica: governança e risco primeiro, depois o Common Criteria operacional completo mais Disponibilidade (o escopo mais comum de um SOC 2 Type II real), e por último as categorias menos frequentes.

Fonte: AICPA — Trust Services Criteria, TSP Section 100 (2017, pontos de foco revisados em 2022); estrutura cruzada contra múltiplas fontes independentes (o texto integral é documento comercializado pela AICPA, não domínio público)

Dois novos frameworks: GDPR e COBIT 2019

GDPR (Regulamento UE 2016/679): checklist temático de 47 itens em 10 grupos (Princípios, Bases legais, Direitos do titular, Governança, DPIA, Segurança, Incidentes, Transferência internacional, Sanções, Situações específicas), mesmo padrão do módulo de LGPD já existente. Traz o que a LGPD não tem: estrutura de multa em dois níveis (até 2%/€10M ou 4%/€20M do faturamento global, conforme o tipo de violação), mecanismo de one-stop-shop para tratamento transfronteiriço, e capítulo dedicado a situações específicas (imprensa, pesquisa científica, relações de trabalho). Texto normativo confirmado substancialmente inalterado desde 2016. COBIT 2019 (ISACA): 40 objetivos de governança e gestão de TI em 5 domínios (EDM, APO, BAI, DSS, MEA) — confirmado como versão vigente (sem COBIT 2023/2026 lançado).

Fonte: EUR-Lex (CELEX 32016R0679) e ISACA (isaca.org/resources/cobit)

Dois novos frameworks: PCI DSS v4.0.1 e Resolução CMN 4.893/2021

PCI DSS v4.0.1 (segurança de dados de cartão de pagamento): 6 objetivos, 12 requisitos, 63 seções — a v4.0.1 é revisão editorial da v4.0, sem mudança de estrutura; os 51 requisitos que eram "futuros" na v4.0 viraram obrigatórios em 31/03/2025, então hoje o padrão inteiro é exigível. Resolução CMN 4.893/2021 (segurança cibernética de instituições financeiras): 55 itens em 11 blocos, já incorporando a alteração feita pela Resolução CMN 5.274/2025 (14 controles técnicos mínimos reescritos, requisitos novos para Pix/STR, testes de intrusão anuais obrigatórios) — prazo de adequação era 1º/03/2026, já vencido. Corrigimos também o nome: é "Resolução CMN", não "BCB" (existe uma Resolução BCB nº 85/2021 irmã, para instituições de pagamento, fora do escopo desta).

Fonte: PCI SSC (pcisecuritystandards.org) e BCB (bcb.gov.br) — normativos oficiais

Nova aba Aprender: 19 conceitos transversais de GRC

Glossário com conceitos que atravessam vários frameworks do catálogo, diferente da explicação por controle que cada framework já tem: apetite e tolerância a risco, risco inerente vs. residual, tratamento de risco, BIA, RTO/RPO/MTD (Risco); controle preventivo/detectivo/corretivo, segregação de funções, defesa em profundidade, controle compensatório (Controles); três linhas de defesa, SGSI, não conformidade e ação corretiva, política/norma/procedimento (Governança); achado de auditoria, evidência, gap analysis (Auditoria); BCP/DRP/ISCP, site alternativo (Continuidade). Cada termo cita em quais frameworks do catálogo o conceito aparece.

Novo framework: NIST SP 800-34 (Contingency Planning)

Décimo primeiro framework do GRC, complementando a ISO 22301 adicionada mais cedo hoje: enquanto a ISO 22301 cobre continuidade de negócios no nível organizacional, o NIST SP 800-34 é focado no Information System Contingency Plan (ISCP) — o ângulo técnico de recuperação de sistemas de informação. Estrutura verificada a partir do PDF oficial (39 itens nos 7 passos oficiais do processo: política, análise de impacto no negócio, controles preventivos, estratégias de contingência, desenvolvimento do plano, teste/treinamento/exercícios e manutenção), cruzada com a página oficial do NIST e fontes secundárias. Onde o documento tem número de seção oficial, ele aparece citado na descrição de cada item.

Fonte: NIST SP 800-34 Rev. 1 (csrc.nist.gov/pubs/sp/800/34/r1/upd1/final)

Dois novos frameworks: ISO/IEC 42001 e ISO 22301

O GRC ganhou mais dois frameworks, completando os 3 slots reservados desde 13/07 (o NIST AI RMF já tinha entrado antes, no mesmo dia). ISO/IEC 42001:2023 é a norma de sistema de gestão de IA — segue a mesma estrutura da ISO 27001 (Cláusulas 4-10), com adições específicas de IA (avaliação de risco e de impacto de sistemas de IA) e um Anexo A com 38 controles em 9 objetivos, 64 itens no total. ISO 22301:2019 é a norma de continuidade de negócios — mesma estrutura de cláusulas, mas SEM Anexo A: todo o conteúdo específico (análise de impacto no negócio, estratégias de recuperação, planos, exercícios) fica concentrado na Cláusula 8, 33 itens no total. Estruturas verificadas contra a tabela de conteúdo oficial de cada norma, cruzadas com múltiplas fontes independentes; descrições em português são curadoria própria (o texto das normas é protegido por direitos autorais).

Fonte: ISO/IEC 42001:2023 (iso.org/standard/81230) e ISO 22301:2019 (iso.org/standard/75106)

Novo framework: NIST AI RMF 1.0 (governança de risco de IA)

O GRC ganhou seu primeiro framework de governança de Inteligência Artificial: o NIST AI Risk Management Framework 1.0, com as 72 subcategorias oficiais organizadas em 4 funções — Governar (19), Mapear (18), Medir (22) e Gerenciar (13). GOVERN é transversal às outras três funções, que seguem um fluxo iterativo (mapear o contexto do sistema de IA, medir características como segurança, privacidade, viés e impacto ambiental, gerenciar a resposta aos riscos identificados). Estrutura e códigos verificados diretamente contra o PDF oficial do NIST (NIST AI 100-1); descrições em português são curadoria própria. O app irmão (InfoCuesta AI Security Check) já citava o AI RMF como referência descritiva — aqui ele ganha avaliação formal por subcategoria, com perfis, nota e exportação em PDF/CSV, como os demais 7 frameworks do GRC.

Fonte: NIST AI 100-1 (nvlpubs.nist.gov/nistpubs/ai/nist.ai.100-1.pdf)

OWASP Top 10 atualizado de 2021 para 2025

A avaliação do OWASP passou a refletir a edição 2025, que não é um ajuste de numeração: duas categorias são novas — A03 Software Supply Chain Failures (que amplia o antigo “Vulnerable and Outdated Components” para todo o processo de construir, distribuir e atualizar software) e A10 Mishandling of Exceptional Conditions (tratamento de erro, transação sem rollback e o caso do “falhou, então liberou”). O SSRF deixou de ser categoria própria e foi consolidado dentro do A01. Além disso, Security Misconfiguration subiu de A05 para A02, Injection caiu de A03 para A05 e Cryptographic Failures caiu de A02 para A04. Cada risco também ganhou um exemplo concreto do problema acontecendo na prática.

Fonte: https://owasp.org/Top10/2025/

Comparar frameworks agora usa o mapeamento oficial do NIST

Até agora a comparação entre frameworks destacava controles por similaridade de tema, deduzida automaticamente do texto — útil para orientar o olhar, mas era palpite. A tela passa a mostrar também o crosswalk publicado pelo próprio NIST no CSF 2.0, marcado com o selo “oficial”: são 106 subcategorias mapeadas para a ISO/IEC 27001 e 48 para os CIS Controls. As duas informações aparecem separadas e rotuladas, porque não são a mesma coisa: uma tem fonte, a outra é heurística. Onde não há selo, não existe mapeamento publicado entre os dois frameworks.

Fonte: NIST CSF 2.0 (externalRelationships)

Nova avaliação: Security by Design

Entrou uma avaliação de Security by Design com 31 itens em 5 grupos, para medir como o time constrói — e não só o que já está construído. A estrutura combina os princípios clássicos de design seguro (menor privilégio, defesa em profundidade, falhar em estado seguro, padrão seguro) com os quatro grupos de práticas do NIST SSDF: preparar a organização, proteger o software, produzir software bem protegido e responder a vulnerabilidades. Cada item traz explicação e um exemplo concreto.

Fonte: NIST SSDF (SP 800-218); princípios de Saltzer & Schroeder / OWASP

ISO/IEC 27001 ampliada com as Cláusulas 4 a 10

A avaliação da ISO 27001 cobria os 93 controles do Anexo A. Passou a incluir também os requisitos do sistema de gestão (Cláusulas 4 a 10) — contexto, liderança, planejamento, apoio, operação, avaliação de desempenho e melhoria —, totalizando 116 itens. É uma diferença que importa na prática: certificação ISO 27001 se perde no sistema de gestão, não só nos controles técnicos.

Fonte: ISO/IEC 27001:2022 (estrutura; descrições próprias em português)

Seis frameworks disponíveis para avaliação

A biblioteca abriu com NIST CSF 2.0 (106 subcategorias), ISO/IEC 27001, CIS Controls v8 (no nível dos 18 Controles), LGPD, ISO 31000 e OWASP Top 10. Cada framework tem três perfis — Básico, Intermediário e Avançado —, para a avaliação caber tanto em quem está começando quanto em quem já tem programa maduro. Nada é salvo: a avaliação roda na sua sessão e sai em PDF ou CSV.