Governança, risco e compliance em português · gratuito, cadastro opcional
Entrar

DORA (Regulamento UE 2022/2554) — Perfil 2 — Intermediário

32 controles. Marque a situação de cada um; o painel à direita mostra sua nota em tempo real.

Matriz de risco opcional

A avaliação mede o quanto seus controles cobrem cada área. Para isso virar uma matriz de risco faltam duas informações que só você tem: o quanto um incidente neste ambiente é provável, e o quanto dói se acontecer. Informe as duas e o relatório traz a matriz e o mapa de calor — a eficácia de cada área sai das suas próprias respostas, não é estimada. Deixe em branco para pular.

GOV Governança e Organização de Risco de TIC

GOV.1 Atribuir ao órgão de administração responsabilidade final e não delegável pela gestão de risco de TIC (Art. 5).
GOV.2 Manter uma estrutura de gestão de risco de TIC documentada, abrangente e proporcional ao porte e perfil de risco da entidade (Art. 6).
GOV.3 Revisar a estrutura de gestão de risco de TIC pelo menos uma vez por ano e após incidente relevante (Art. 6).
GOV.4 Submeter a estrutura de gestão de risco de TIC a auditoria interna independente periodicamente (Art. 6).
GOV.5 Manter sistemas, protocolos e ferramentas de TIC atualizados, confiáveis e com capacidade suficiente para as operações (Art. 7).

Matriz de risco opcional

A avaliação mede o quanto seus controles cobrem cada área. Para isso virar uma matriz de risco faltam duas informações que só você tem: o quanto um incidente neste ambiente é provável, e o quanto dói se acontecer. Informe as duas e o relatório traz a matriz e o mapa de calor — a eficácia de cada área sai das suas próprias respostas, não é estimada. Deixe em branco para pular.

ID Identificação e Proteção

ID.1 Identificar, classificar e documentar todas as funções de negócio, ativos de informação e ativos de TIC que as suportam (Art. 8).
ID.2 Realizar avaliação de risco de TIC pelo menos uma vez por ano e a cada mudança relevante na infraestrutura (Art. 8).
ID.3 Identificar as fontes de risco de TIC decorrentes de dependência de fornecedores terceiros (Art. 8).
ID.4 Implementar políticas de segurança da informação que definam regras para proteger disponibilidade, autenticidade, integridade e confidencialidade do dado (Art. 9).
ID.5 Aplicar controle de acesso baseado no princípio do menor privilégio e em segregação de funções (Art. 9).

Matriz de risco opcional

A avaliação mede o quanto seus controles cobrem cada área. Para isso virar uma matriz de risco faltam duas informações que só você tem: o quanto um incidente neste ambiente é provável, e o quanto dói se acontecer. Informe as duas e o relatório traz a matriz e o mapa de calor — a eficácia de cada área sai das suas próprias respostas, não é estimada. Deixe em branco para pular.

DET Detecção

DET.1 Manter mecanismos que permitam detecção pronta de atividade anômala e de incidentes de TIC (Art. 10).
DET.2 Dimensionar os mecanismos de detecção conforme o perfil de risco e a criticidade dos ativos protegidos (Art. 10).

Matriz de risco opcional

A avaliação mede o quanto seus controles cobrem cada área. Para isso virar uma matriz de risco faltam duas informações que só você tem: o quanto um incidente neste ambiente é provável, e o quanto dói se acontecer. Informe as duas e o relatório traz a matriz e o mapa de calor — a eficácia de cada área sai das suas próprias respostas, não é estimada. Deixe em branco para pular.

RESP Resposta e Recuperação

RESP.1 Manter política de continuidade de negócio de TIC dedicada, integrada à política geral de continuidade (Art. 11).
RESP.2 Implementar plano de resposta e recuperação de TIC com RTO/RPO definidos por função crítica (Art. 11).
RESP.3 Manter política e procedimentos de backup, com restauração e recuperação testadas (Art. 12).
RESP.4 Manter capacidade de recuperação redundante em local separado do sistema primário, com risco de correlação mínimo (Art. 12).
RESP.5 Incorporar lições aprendidas de incidentes e exercícios de teste na estrutura de gestão de risco de TIC (Art. 13).
RESP.6 Manter programa de conscientização e treinamento em segurança de TIC para todo o pessoal, incluindo a alta administração (Art. 13).

Matriz de risco opcional

A avaliação mede o quanto seus controles cobrem cada área. Para isso virar uma matriz de risco faltam duas informações que só você tem: o quanto um incidente neste ambiente é provável, e o quanto dói se acontecer. Informe as duas e o relatório traz a matriz e o mapa de calor — a eficácia de cada área sai das suas próprias respostas, não é estimada. Deixe em branco para pular.

COM Comunicação

COM.1 Manter plano de comunicação de crise para divulgação responsável de incidente a clientes, contrapartes e ao público (Art. 14).
COM.2 Designar pessoa responsável por implementar a estratégia de comunicação de incidente (Art. 14).

Matriz de risco opcional

A avaliação mede o quanto seus controles cobrem cada área. Para isso virar uma matriz de risco faltam duas informações que só você tem: o quanto um incidente neste ambiente é provável, e o quanto dói se acontecer. Informe as duas e o relatório traz a matriz e o mapa de calor — a eficácia de cada área sai das suas próprias respostas, não é estimada. Deixe em branco para pular.

INC Gestão de Incidentes de TIC

INC.1 Manter processo de gestão de incidentes de TIC com procedimentos pra detectar, gerenciar e notificar incidentes (Art. 17).
INC.2 Classificar incidentes de TIC e ameaças cibernéticas significativas conforme critérios de criticidade, clientes afetados, duração e área geográfica (Art. 18).
INC.3 Manter registro de todo incidente de TIC e ameaça cibernética significativa, independente da gravidade (Art. 17).

Matriz de risco opcional

A avaliação mede o quanto seus controles cobrem cada área. Para isso virar uma matriz de risco faltam duas informações que só você tem: o quanto um incidente neste ambiente é provável, e o quanto dói se acontecer. Informe as duas e o relatório traz a matriz e o mapa de calor — a eficácia de cada área sai das suas próprias respostas, não é estimada. Deixe em branco para pular.

REP Reporte de Incidentes

REP.1 Notificar incidente de TIC grave à autoridade competente dentro dos prazos regulatórios (notificação inicial, intermediária e relatório final) (Art. 19).
REP.2 Notificar voluntariamente ameaça cibernética significativa à autoridade competente, quando relevante (Art. 19).
REP.3 Usar os modelos e formatos harmonizados definidos pelas autoridades europeias de supervisão para o reporte (Art. 20).

Matriz de risco opcional

A avaliação mede o quanto seus controles cobrem cada área. Para isso virar uma matriz de risco faltam duas informações que só você tem: o quanto um incidente neste ambiente é provável, e o quanto dói se acontecer. Informe as duas e o relatório traz a matriz e o mapa de calor — a eficácia de cada área sai das suas próprias respostas, não é estimada. Deixe em branco para pular.

TEST Testes de Resiliência Operacional Digital

TEST.1 Manter programa de testes de resiliência operacional digital proporcional ao porte, perfil de risco e criticidade dos serviços (Art. 24).
TEST.2 Realizar testes básicos anuais de ferramentas e sistemas de TIC: avaliação de vulnerabilidade, teste de segurança de código, teste de cenário, teste de desempenho, teste ponta a ponta (Art. 25).

Matriz de risco opcional

A avaliação mede o quanto seus controles cobrem cada área. Para isso virar uma matriz de risco faltam duas informações que só você tem: o quanto um incidente neste ambiente é provável, e o quanto dói se acontecer. Informe as duas e o relatório traz a matriz e o mapa de calor — a eficácia de cada área sai das suas próprias respostas, não é estimada. Deixe em branco para pular.

TERC Risco de Terceiros de TIC

TERC.1 Gerenciar o risco de terceiros de TIC como parte integrante da estrutura de gestão de risco de TIC, não separado dela (Art. 28).
TERC.2 Manter registro de informação atualizado sobre todo acordo contratual com provedor terceiro de TIC (Art. 28).
TERC.3 Realizar avaliação prévia de risco de concentração antes de contratar provedor de TIC que suporte função crítica (Art. 29).
TERC.4 Incluir nos contratos com provedores de TIC as disposições contratuais-chave exigidas: direito de acesso, auditoria, inspeção, plano de saída, SLA claro (Art. 30).
Trocar de perfil