Governança, risco e compliance em português · gratuito, cadastro opcional
Entrar

NIS2 (Diretiva UE 2022/2555) — Perfil 3 — Avançado

30 controles. Marque a situação de cada um; o painel à direita mostra sua nota em tempo real.

Matriz de risco opcional

A avaliação mede o quanto seus controles cobrem cada área. Para isso virar uma matriz de risco faltam duas informações que só você tem: o quanto um incidente neste ambiente é provável, e o quanto dói se acontecer. Informe as duas e o relatório traz a matriz e o mapa de calor — a eficácia de cada área sai das suas próprias respostas, não é estimada. Deixe em branco para pular.

GOV Governança

GOV.1 Fazer o órgão de administração aprovar formalmente as medidas de gestão de risco de cibersegurança adotadas pela entidade (Art. 20).
GOV.2 Fazer o órgão de administração supervisionar continuamente a implementação das medidas de cibersegurança, não só aprová-las uma vez (Art. 20).
GOV.3 Oferecer treinamento regular de cibersegurança aos membros do órgão de administração, capacitando-os a identificar e avaliar risco (Art. 20).
GOV.4 Oferecer treinamento de cibersegurança de forma regular também ao corpo de colaboradores em geral, não só à liderança (Art. 20).

Matriz de risco opcional

A avaliação mede o quanto seus controles cobrem cada área. Para isso virar uma matriz de risco faltam duas informações que só você tem: o quanto um incidente neste ambiente é provável, e o quanto dói se acontecer. Informe as duas e o relatório traz a matriz e o mapa de calor — a eficácia de cada área sai das suas próprias respostas, não é estimada. Deixe em branco para pular.

RISC Política de Risco e Segurança de Sistemas

RISC.1 Manter política de análise de risco e de segurança de sistemas de informação, atualizada e proporcional ao porte e criticidade da entidade (Art. 21.2.a).
RISC.2 Realizar análise de risco de cibersegurança periodicamente, revisando quando houver mudança relevante (Art. 21.2.a).

Matriz de risco opcional

A avaliação mede o quanto seus controles cobrem cada área. Para isso virar uma matriz de risco faltam duas informações que só você tem: o quanto um incidente neste ambiente é provável, e o quanto dói se acontecer. Informe as duas e o relatório traz a matriz e o mapa de calor — a eficácia de cada área sai das suas próprias respostas, não é estimada. Deixe em branco para pular.

INC Gestão de Incidentes

INC.1 Manter processo de gestão de incidentes com procedimentos para detectar, gerenciar, conter e responder a incidente de segurança (Art. 21.2.b).
INC.2 Documentar e revisar cada incidente após a resolução para identificar causa raiz e melhoria de controle (Art. 21.2.b).

Matriz de risco opcional

A avaliação mede o quanto seus controles cobrem cada área. Para isso virar uma matriz de risco faltam duas informações que só você tem: o quanto um incidente neste ambiente é provável, e o quanto dói se acontecer. Informe as duas e o relatório traz a matriz e o mapa de calor — a eficácia de cada área sai das suas próprias respostas, não é estimada. Deixe em branco para pular.

CONT Continuidade de Negócio e Gestão de Crise

CONT.1 Manter política de continuidade de negócio incluindo gestão de backup e recuperação de desastre (Art. 21.2.c).
CONT.2 Testar periodicamente os procedimentos de backup e recuperação, não só documentá-los (Art. 21.2.c).
CONT.3 Manter plano de gestão de crise com papéis, responsabilidades e critérios de acionamento definidos (Art. 21.2.c).

Matriz de risco opcional

A avaliação mede o quanto seus controles cobrem cada área. Para isso virar uma matriz de risco faltam duas informações que só você tem: o quanto um incidente neste ambiente é provável, e o quanto dói se acontecer. Informe as duas e o relatório traz a matriz e o mapa de calor — a eficácia de cada área sai das suas próprias respostas, não é estimada. Deixe em branco para pular.

CADE Segurança da Cadeia de Suprimentos

CADE.1 Avaliar a segurança e as práticas de cibersegurança de fornecedores e prestadores de serviço diretos, antes e durante a relação contratual (Art. 21.2.d, 21.3).
CADE.2 Considerar a qualidade geral de produtos e as práticas de desenvolvimento seguro do fornecedor na decisão de contratação (Art. 21.3).
CADE.3 Participar de avaliação coordenada de risco de segurança de cadeias de suprimento críticas quando promovida pelas autoridades competentes (Art. 21.3).

Matriz de risco opcional

A avaliação mede o quanto seus controles cobrem cada área. Para isso virar uma matriz de risco faltam duas informações que só você tem: o quanto um incidente neste ambiente é provável, e o quanto dói se acontecer. Informe as duas e o relatório traz a matriz e o mapa de calor — a eficácia de cada área sai das suas próprias respostas, não é estimada. Deixe em branco para pular.

DESENV Segurança em Aquisição, Desenvolvimento e Manutenção

DESENV.1 Aplicar prática de segurança na aquisição, desenvolvimento e manutenção de sistemas de rede e informação (Art. 21.2.e).
DESENV.2 Manter processo de gestão e divulgação responsável de vulnerabilidade (vulnerability handling and disclosure) (Art. 21.2.e).

Matriz de risco opcional

A avaliação mede o quanto seus controles cobrem cada área. Para isso virar uma matriz de risco faltam duas informações que só você tem: o quanto um incidente neste ambiente é provável, e o quanto dói se acontecer. Informe as duas e o relatório traz a matriz e o mapa de calor — a eficácia de cada área sai das suas próprias respostas, não é estimada. Deixe em branco para pular.

AVAL Avaliação da Eficácia dos Controles

AVAL.1 Manter política e procedimento para avaliar periodicamente a eficácia das próprias medidas de gestão de risco de cibersegurança (Art. 21.2.f).
AVAL.2 Corrigir sem atraso indevido qualquer inadequação identificada nas medidas de cibersegurança, com evidência de acompanhamento (Art. 21.4).

Matriz de risco opcional

A avaliação mede o quanto seus controles cobrem cada área. Para isso virar uma matriz de risco faltam duas informações que só você tem: o quanto um incidente neste ambiente é provável, e o quanto dói se acontecer. Informe as duas e o relatório traz a matriz e o mapa de calor — a eficácia de cada área sai das suas próprias respostas, não é estimada. Deixe em branco para pular.

HIG Higiene Cibernética Básica e Treinamento

HIG.1 Aplicar práticas básicas de higiene cibernética (atualização de sistema, gestão de senha, backup, menor privilégio) em toda a organização (Art. 21.2.g).
HIG.2 Oferecer treinamento de conscientização em cibersegurança a todo colaborador com acesso a sistema de informação (Art. 21.2.g).

Matriz de risco opcional

A avaliação mede o quanto seus controles cobrem cada área. Para isso virar uma matriz de risco faltam duas informações que só você tem: o quanto um incidente neste ambiente é provável, e o quanto dói se acontecer. Informe as duas e o relatório traz a matriz e o mapa de calor — a eficácia de cada área sai das suas próprias respostas, não é estimada. Deixe em branco para pular.

CRIPTO Política de Criptografia

CRIPTO.1 Manter política e procedimento sobre o uso de criptografia, incluindo, quando apropriado, criptografia de dado em repouso e em trânsito (Art. 21.2.h).

Matriz de risco opcional

A avaliação mede o quanto seus controles cobrem cada área. Para isso virar uma matriz de risco faltam duas informações que só você tem: o quanto um incidente neste ambiente é provável, e o quanto dói se acontecer. Informe as duas e o relatório traz a matriz e o mapa de calor — a eficácia de cada área sai das suas próprias respostas, não é estimada. Deixe em branco para pular.

RH Segurança de RH, Acesso e Gestão de Ativos

RH.1 Aplicar controle de segurança de recursos humanos, incluindo verificação na contratação e revogação de acesso no desligamento (Art. 21.2.i).
RH.2 Manter política de controle de acesso baseada em papel e no princípio do menor privilégio (Art. 21.2.i).
RH.3 Manter inventário atualizado de ativos de informação e de sistema, com responsável definido por ativo (Art. 21.2.i).

Matriz de risco opcional

A avaliação mede o quanto seus controles cobrem cada área. Para isso virar uma matriz de risco faltam duas informações que só você tem: o quanto um incidente neste ambiente é provável, e o quanto dói se acontecer. Informe as duas e o relatório traz a matriz e o mapa de calor — a eficácia de cada área sai das suas próprias respostas, não é estimada. Deixe em branco para pular.

AUTH Autenticação e Comunicação Segura

AUTH.1 Implementar autenticação multifator ou solução de autenticação contínua para acesso a sistema crítico, quando apropriado (Art. 21.2.j).
AUTH.2 Usar comunicação de voz, vídeo e texto segura, incluindo sistema de comunicação de emergência seguro dentro da entidade, quando apropriado (Art. 21.2.j).

Matriz de risco opcional

A avaliação mede o quanto seus controles cobrem cada área. Para isso virar uma matriz de risco faltam duas informações que só você tem: o quanto um incidente neste ambiente é provável, e o quanto dói se acontecer. Informe as duas e o relatório traz a matriz e o mapa de calor — a eficácia de cada área sai das suas próprias respostas, não é estimada. Deixe em branco para pular.

REP Reporte de Incidentes

REP.1 Emitir alerta prévio (early warning) à autoridade competente/CSIRT em até 24 horas após tomar conhecimento de um incidente significativo (Art. 23).
REP.2 Enviar notificação de incidente com avaliação de gravidade e indicadores de comprometimento em até 72 horas após tomar conhecimento (Art. 23).
REP.3 Fornecer relatório intermediário quando solicitado pela autoridade competente/CSIRT, enquanto o incidente estiver em andamento (Art. 23).
REP.4 Enviar relatório final em até 1 mês após a notificação, com descrição detalhada, tipo de ameaça, medida de mitigação e impacto transfronteiriço (Art. 23).
Trocar de perfil