Governança, risco e compliance em português · gratuito, cadastro opcional
Entrar

NIS2 (Diretiva UE 2022/2555) — Perfil 2 — Intermediário

26 controles. Marque a situação de cada um; o painel à direita mostra sua nota em tempo real.

Matriz de risco opcional

A avaliação mede o quanto seus controles cobrem cada área. Para isso virar uma matriz de risco faltam duas informações que só você tem: o quanto um incidente neste ambiente é provável, e o quanto dói se acontecer. Informe as duas e o relatório traz a matriz e o mapa de calor — a eficácia de cada área sai das suas próprias respostas, não é estimada. Deixe em branco para pular.

GOV Governança

GOV.1 Fazer o órgão de administração aprovar formalmente as medidas de gestão de risco de cibersegurança adotadas pela entidade (Art. 20).
GOV.2 Fazer o órgão de administração supervisionar continuamente a implementação das medidas de cibersegurança, não só aprová-las uma vez (Art. 20).
GOV.3 Oferecer treinamento regular de cibersegurança aos membros do órgão de administração, capacitando-os a identificar e avaliar risco (Art. 20).

Matriz de risco opcional

A avaliação mede o quanto seus controles cobrem cada área. Para isso virar uma matriz de risco faltam duas informações que só você tem: o quanto um incidente neste ambiente é provável, e o quanto dói se acontecer. Informe as duas e o relatório traz a matriz e o mapa de calor — a eficácia de cada área sai das suas próprias respostas, não é estimada. Deixe em branco para pular.

RISC Política de Risco e Segurança de Sistemas

RISC.1 Manter política de análise de risco e de segurança de sistemas de informação, atualizada e proporcional ao porte e criticidade da entidade (Art. 21.2.a).
RISC.2 Realizar análise de risco de cibersegurança periodicamente, revisando quando houver mudança relevante (Art. 21.2.a).

Matriz de risco opcional

A avaliação mede o quanto seus controles cobrem cada área. Para isso virar uma matriz de risco faltam duas informações que só você tem: o quanto um incidente neste ambiente é provável, e o quanto dói se acontecer. Informe as duas e o relatório traz a matriz e o mapa de calor — a eficácia de cada área sai das suas próprias respostas, não é estimada. Deixe em branco para pular.

INC Gestão de Incidentes

INC.1 Manter processo de gestão de incidentes com procedimentos para detectar, gerenciar, conter e responder a incidente de segurança (Art. 21.2.b).
INC.2 Documentar e revisar cada incidente após a resolução para identificar causa raiz e melhoria de controle (Art. 21.2.b).

Matriz de risco opcional

A avaliação mede o quanto seus controles cobrem cada área. Para isso virar uma matriz de risco faltam duas informações que só você tem: o quanto um incidente neste ambiente é provável, e o quanto dói se acontecer. Informe as duas e o relatório traz a matriz e o mapa de calor — a eficácia de cada área sai das suas próprias respostas, não é estimada. Deixe em branco para pular.

CONT Continuidade de Negócio e Gestão de Crise

CONT.1 Manter política de continuidade de negócio incluindo gestão de backup e recuperação de desastre (Art. 21.2.c).
CONT.2 Testar periodicamente os procedimentos de backup e recuperação, não só documentá-los (Art. 21.2.c).
CONT.3 Manter plano de gestão de crise com papéis, responsabilidades e critérios de acionamento definidos (Art. 21.2.c).

Matriz de risco opcional

A avaliação mede o quanto seus controles cobrem cada área. Para isso virar uma matriz de risco faltam duas informações que só você tem: o quanto um incidente neste ambiente é provável, e o quanto dói se acontecer. Informe as duas e o relatório traz a matriz e o mapa de calor — a eficácia de cada área sai das suas próprias respostas, não é estimada. Deixe em branco para pular.

CADE Segurança da Cadeia de Suprimentos

CADE.1 Avaliar a segurança e as práticas de cibersegurança de fornecedores e prestadores de serviço diretos, antes e durante a relação contratual (Art. 21.2.d, 21.3).
CADE.2 Considerar a qualidade geral de produtos e as práticas de desenvolvimento seguro do fornecedor na decisão de contratação (Art. 21.3).

Matriz de risco opcional

A avaliação mede o quanto seus controles cobrem cada área. Para isso virar uma matriz de risco faltam duas informações que só você tem: o quanto um incidente neste ambiente é provável, e o quanto dói se acontecer. Informe as duas e o relatório traz a matriz e o mapa de calor — a eficácia de cada área sai das suas próprias respostas, não é estimada. Deixe em branco para pular.

DESENV Segurança em Aquisição, Desenvolvimento e Manutenção

DESENV.1 Aplicar prática de segurança na aquisição, desenvolvimento e manutenção de sistemas de rede e informação (Art. 21.2.e).
DESENV.2 Manter processo de gestão e divulgação responsável de vulnerabilidade (vulnerability handling and disclosure) (Art. 21.2.e).

Matriz de risco opcional

A avaliação mede o quanto seus controles cobrem cada área. Para isso virar uma matriz de risco faltam duas informações que só você tem: o quanto um incidente neste ambiente é provável, e o quanto dói se acontecer. Informe as duas e o relatório traz a matriz e o mapa de calor — a eficácia de cada área sai das suas próprias respostas, não é estimada. Deixe em branco para pular.

AVAL Avaliação da Eficácia dos Controles

AVAL.1 Manter política e procedimento para avaliar periodicamente a eficácia das próprias medidas de gestão de risco de cibersegurança (Art. 21.2.f).

Matriz de risco opcional

A avaliação mede o quanto seus controles cobrem cada área. Para isso virar uma matriz de risco faltam duas informações que só você tem: o quanto um incidente neste ambiente é provável, e o quanto dói se acontecer. Informe as duas e o relatório traz a matriz e o mapa de calor — a eficácia de cada área sai das suas próprias respostas, não é estimada. Deixe em branco para pular.

HIG Higiene Cibernética Básica e Treinamento

HIG.1 Aplicar práticas básicas de higiene cibernética (atualização de sistema, gestão de senha, backup, menor privilégio) em toda a organização (Art. 21.2.g).
HIG.2 Oferecer treinamento de conscientização em cibersegurança a todo colaborador com acesso a sistema de informação (Art. 21.2.g).

Matriz de risco opcional

A avaliação mede o quanto seus controles cobrem cada área. Para isso virar uma matriz de risco faltam duas informações que só você tem: o quanto um incidente neste ambiente é provável, e o quanto dói se acontecer. Informe as duas e o relatório traz a matriz e o mapa de calor — a eficácia de cada área sai das suas próprias respostas, não é estimada. Deixe em branco para pular.

CRIPTO Política de Criptografia

CRIPTO.1 Manter política e procedimento sobre o uso de criptografia, incluindo, quando apropriado, criptografia de dado em repouso e em trânsito (Art. 21.2.h).

Matriz de risco opcional

A avaliação mede o quanto seus controles cobrem cada área. Para isso virar uma matriz de risco faltam duas informações que só você tem: o quanto um incidente neste ambiente é provável, e o quanto dói se acontecer. Informe as duas e o relatório traz a matriz e o mapa de calor — a eficácia de cada área sai das suas próprias respostas, não é estimada. Deixe em branco para pular.

RH Segurança de RH, Acesso e Gestão de Ativos

RH.1 Aplicar controle de segurança de recursos humanos, incluindo verificação na contratação e revogação de acesso no desligamento (Art. 21.2.i).
RH.2 Manter política de controle de acesso baseada em papel e no princípio do menor privilégio (Art. 21.2.i).
RH.3 Manter inventário atualizado de ativos de informação e de sistema, com responsável definido por ativo (Art. 21.2.i).

Matriz de risco opcional

A avaliação mede o quanto seus controles cobrem cada área. Para isso virar uma matriz de risco faltam duas informações que só você tem: o quanto um incidente neste ambiente é provável, e o quanto dói se acontecer. Informe as duas e o relatório traz a matriz e o mapa de calor — a eficácia de cada área sai das suas próprias respostas, não é estimada. Deixe em branco para pular.

AUTH Autenticação e Comunicação Segura

AUTH.1 Implementar autenticação multifator ou solução de autenticação contínua para acesso a sistema crítico, quando apropriado (Art. 21.2.j).

Matriz de risco opcional

A avaliação mede o quanto seus controles cobrem cada área. Para isso virar uma matriz de risco faltam duas informações que só você tem: o quanto um incidente neste ambiente é provável, e o quanto dói se acontecer. Informe as duas e o relatório traz a matriz e o mapa de calor — a eficácia de cada área sai das suas próprias respostas, não é estimada. Deixe em branco para pular.

REP Reporte de Incidentes

REP.1 Emitir alerta prévio (early warning) à autoridade competente/CSIRT em até 24 horas após tomar conhecimento de um incidente significativo (Art. 23).
REP.2 Enviar notificação de incidente com avaliação de gravidade e indicadores de comprometimento em até 72 horas após tomar conhecimento (Art. 23).
REP.3 Fornecer relatório intermediário quando solicitado pela autoridade competente/CSIRT, enquanto o incidente estiver em andamento (Art. 23).
REP.4 Enviar relatório final em até 1 mês após a notificação, com descrição detalhada, tipo de ameaça, medida de mitigação e impacto transfronteiriço (Art. 23).
Trocar de perfil