Ferramenta · maturidade
Onde está a sua organização, requisito a requisito.
Classifique cada item de 0 a 4. No fim vê o radar por domínio, os três domínios mais fracos com os templates que os resolvem, e a que contra-ordenações a organização fica exposta enquanto não os tratar. As respostas ficam guardadas no seu navegador.
base legalart. 14.ºart. 31.ºart. 33.ºart. 35.ºart. 37.ºart. 39.ºart. 55.º
as suas respostas não saem do seu navegador
0 de 42 itens · 0%
1 Governação e responsabilidade
A gestão conhece a lei, aprovou as medidas de cibersegurança e acompanha-as em reuniões registadas.
Existe um responsável pela cibersegurança designado formalmente, com poderes e tempo.
Existe um ponto focal de cibersegurança com contactos permanentes e substituto.
Existe uma política de cibersegurança aprovada, comunicada e revista.
As decisões relevantes sobre cibersegurança ficam documentadas.
2 Gestão de risco
Existe uma metodologia de gestão de risco aprovada, com critérios de probabilidade e impacto.
Existe um inventário actualizado de activos, sistemas críticos e dependências externas.
A avaliação de risco é feita de forma sistemática e revista pelo menos uma vez por ano.
Os riscos têm plano de tratamento com responsável, prazo e estado.
São feitos testes de segurança periódicos (vulnerabilidades ou penetração) e as conclusões são tratadas.
Os riscos específicos de nuvem (segregação, reversibilidade, portabilidade, localização) estão avaliados.
3 Acessos e identidades
As contas são nominais, com privilégios mínimos e ciclo de vida definido (criação, alteração, remoção).
A autenticação multifactor está activa nos acessos remotos, privilegiados e a sistemas críticos.
Os acessos privilegiados são revistos periodicamente e registados.
Os dados sensíveis estão cifrados em trânsito e em repouso, com gestão de chaves definida.
A identificação e o registo de utilizadores e clientes seguem uma política com minimização e prazos de conservação.
O sigilo das comunicações dos utilizadores está protegido por controlos técnicos e contratuais.
4 Protecção e monitorização
As actualizações de software são geridas com prazos por criticidade e registo.
Existe um processo de recolha de informação sobre ameaças e vulnerabilidades e de resposta imediata às críticas.
Os sistemas estão protegidos contra modificações não autorizadas (integridade, controlo de alterações).
Existe monitorização de segurança contínua, com registos centralizados e alertas revistos.
A segurança física e ambiental das salas técnicas está controlada (acesso, energia, climatização, incêndio).
5 Continuidade e recuperação
Existe um plano de continuidade e recuperação aprovado, com processos críticos e objectivos de recuperação.
As cópias de segurança são feitas, cifradas, guardadas fora do local e o restauro é testado.
O plano de continuidade é testado pelo menos uma vez por ano e os resultados registados.
Existe um procedimento de gestão de crises com equipa, comunicação e decisão.
Os clientes e assinantes recebem o resumo das políticas de continuidade e a informação sobre seguro (centros de dados e nuvem).
Existe seguro adequado aos riscos da actividade (obrigatório para centros de dados).
6 Detecção, notificação e resposta
Existe um CSIRT institucional (ou ponto focal com adesão a CSIRT sectorial) com regulamento e contactos.
Existe um plano de resposta a incidentes aprovado, treinado e revisto.
Os incidentes são classificados pelos critérios de impacto significativo da lei.
Existe um procedimento de notificação ao CERT.ao e ao CSIRT sectorial, com modelo que cobre o conteúdo mínimo da lei e os outros destinatários (APD, reguladores, clientes).
Existe um registo de incidentes e são produzidos relatórios finais de resposta e resolução.
Existe uma política publicada de comunicação responsável de vulnerabilidades com canal de contacto.
7 Pessoas e fornecedores
Existe um plano de formação e sensibilização periódica, com registos de presenças.
A gestão e a equipa técnica receberam formação específica sobre a lei e sobre as suas funções.
Os fornecedores de tecnologia e serviços são avaliados e os contratos têm cláusulas de segurança e de notificação de incidentes.
Os contratos de nuvem e centro de dados garantem segurança, reversibilidade, portabilidade e comunicação de incidentes.
Os colaboradores e prestadores assinaram compromissos de confidencialidade e conhecem a política de utilização.
pode ver o resultado a qualquer momento; os itens sem resposta não contam