Órgãos e serviços da Administração Pública.

Comunicar imediatamente às autoridades competentes, ou às entidades responsáveis pelos sistemas afectados, as ameaças ou incidentes susceptíveis de comprometer a segurança das redes.

art. 6.º n.º 1

evidência: Procedimento interno de comunicação e registo das comunicações feitas. · templates: plano-resposta-incidentes · ferramenta: notificacao

Estabelecer CSIRT institucionais e notificar ao respectivo CSIRT sectorial, caso exista, e ao CERT.ao os incidentes com impacto relevante na segurança das redes e sistemas de informação.

art. 32.º n.º 1falta: contra-ordenação grave

evidência: Notificações enviadas e comprovativos. · templates: notificacao-incidente, regulamento-csirt · ferramenta: notificacao

Submeter ao CSIRT sectorial e ao CERT.ao o relatório final de resposta e resolução do incidente, com causas, tempo gasto, medidas aplicadas e impacto, no prazo legalmente estabelecido, e relatórios intercalares quando solicitados ou enquanto o incidente durar.

art. 32.º n.º 6art. 32.º n.º 7aguarda regulamentação

evidência: Relatórios finais e intercalares enviados. · templates: relatorio-final-incidente

Incluir na notificação de incidentes, pelo menos, a descrição e natureza do incidente, o impacto estimado, as medidas de contenção adoptadas, a avaliação preliminar da causa e outras informações relevantes.

art. 30.º n.º 4

evidência: Modelo de notificação com os cinco campos. · templates: notificacao-incidente · ferramenta: notificacao

Comunicar imediatamente os incidentes de elevado impacto, mesmo antes de definido o prazo geral de notificação.

art. 30.º n.º 5

evidência: Critérios internos de escalada imediata. · templates: plano-resposta-incidentes

Fazer também as notificações legalmente devidas à autoridade de protecção de dados, aos reguladores sectoriais, às autoridades judiciárias e aos destinatários dos serviços, porque a notificação ao CERT.ao não as substitui.

art. 30.º n.º 3

evidência: Matriz de destinatários de notificação por tipo de incidente. · templates: plano-resposta-incidentes · ferramenta: incidente

Adoptar comportamentos responsáveis na utilização do ciberespaço, respeitando as normas de cibersegurança da lei.

art. 6.º n.º 2

evidência: Política de cibersegurança e acções de sensibilização. · templates: politica-ciberseguranca

Estabelecer um CSIRT institucional.

art. 14.º n.º 1 a)art. 32.º n.º 1

evidência: Regulamento do CSIRT aprovado, composição e contactos. · templates: regulamento-csirt

Proteger a informação recebida no âmbito de notificações, fiscalização, auditoria ou resposta a incidentes contra acesso indevido e divulgação não autorizada.

art. 47.º n.º 3art. 43.º n.º 3falta: contra-ordenação muito grave

evidência: Classificação da informação e controlo de acessos.

Elaborar e manter um plano de resposta a incidentes.

art. 55.º n.º 2 d)art. 31.º n.º 4 b)falta: contra-ordenação grave

evidência: Plano aprovado, testado e revisto. · templates: plano-resposta-incidentes

Cumprir os requisitos mínimos de segurança: políticas de gestão de risco; prevenção, detecção, resposta e recuperação; protecção da disponibilidade, integridade, confidencialidade e autenticidade; controlo de acessos e gestão de identidades; avaliações de risco e testes periódicos; planos de continuidade e recuperação; formação e sensibilização.

art. 31.º n.º 1art. 31.º n.º 4falta: contra-ordenação muito grave

evidência: As sete políticas e os registos de aplicação. · templates: politica-ciberseguranca, politica-gestao-risco, plano-resposta-incidentes, politica-controlo-acessos, plano-continuidade, plano-formacao · ferramenta: autoavaliacao

Garantir um nível de segurança adequado ao risco em causa, tendo em conta os progressos técnicos mais recentes, e tomar medidas para evitar incidentes e reduzir ao mínimo o seu impacto.

art. 31.º n.º 2art. 31.º n.º 3

evidência: Avaliação de risco actualizada e plano de tratamento. · templates: matriz-risco

Cumprir os regulamentos técnicos e metodológicos emitidos pelo órgão legalmente competente.

art. 55.º n.º 2 e)art. 29.º n.º 3aguarda regulamentaçãofalta: contra-ordenação grave

evidência: Acompanhamento das publicações e plano de adaptação.

Facultar ao CSIRT institucional, ao CSIRT sectorial ou ao CERT.ao as informações técnicas e operacionais necessárias à prevenção, detecção, análise e resposta a incidentes, incluindo registos, indicadores de comprometimento, descrições e medidas de mitigação.

art. 47.º n.º 1art. 47.º n.º 2

evidência: Procedimento de resposta a pedidos de informação, com localização dos registos. · ferramenta: checklist-cert

Executar as medidas preventivas ou correctivas exigidas pelo CERT.ao ou pelo CSIRT sectorial, preservar o estado do sistema e os registos técnicos e realizar a análise de vulnerabilidades pedida.

art. 46.ºfalta: contra-ordenação muito grave

evidência: Procedimento de preservação de evidências e registo das medidas aplicadas. · templates: plano-resposta-incidentes

Cumprir a determinação de limitação temporária do uso do sistema ou de componentes, quando fundamentada, registada e comunicada pelo CERT.ao ou pelo CSIRT sectorial.

art. 47.º n.º 4falta: contra-ordenação muito grave

evidência: Registo das determinações recebidas e das acções tomadas.

Acusar a recepção das comunicações de vulnerabilidades, indicar um ponto de contacto e cooperar de boa-fé com quem as comunica.

art. 48.º n.º 4aguarda regulamentação

evidência: Política de comunicação responsável de vulnerabilidades publicada, com canal de contacto. · templates: comunicacao-vulnerabilidades

Não obstruir a supervisão, fiscalização ou auditoria legitimamente ordenada e não omitir nem falsificar informações nos relatórios de auditoria ou de gestão de riscos.

art. 55.º n.º 3 b)art. 55.º n.º 3 c)art. 52.ºfalta: contra-ordenação muito grave

evidência: Registos de auditoria íntegros e procedimento de acompanhamento de inspecções.

Os fornecedores de tecnologia e serviços cumprem os requisitos de segurança acordados com os seus clientes; as entidades abrangidas exigem-nos nos contratos.

art. 55.º n.º 2 f)art. 14.º n.º 2 f)falta: contra-ordenação grave

evidência: Cláusulas contratuais de segurança e avaliação de fornecedores. · templates: politica-fornecedores