Reguladores, clientes e auditores querem evidências: controlos implementados, riscos tratados, incidentes reportados e logs auditáveis.
O que mudou em 2025 (em 60 segundos)
- DORA: o regulamento europeu para o setor financeiro passou a aplicar-se em 17 de janeiro de 2025 (ex.: bancos, seguradoras, gestoras, prestadores TIC críticos), exigindo registos, testes de resiliência e supervisão de terceiros.
- CRA: o Cyber Resilience Act entrou em vigor a 10 de dezembro de 2024; a maior parte das obrigações aplica-se a partir de 11 de dezembro de 2027, com regras de reporte e outras disposições já a iniciarem em 11 de setembro de 2026.
- NIS 2 em Portugal: após atrasos, a Assembleia da República aprovou em setembro de 2025 a transposição da diretiva (aguardando promulgação e publicação em Diário da República).
- Tendência de risco: ataques via cadeia de fornecedores continuam a crescer e a ser porta de entrada para as grandes organizações.
“Provar” na prática: 10 evidências que um auditor vai pedir
- Inventário vivo de ativos (incluindo shadow IT e SaaS críticos) e classificação de informação.
- Gestão de vulnerabilidades e patches com SLA por criticidade + relatórios de tendência (backlog, tempo médio de correção).
- Logs de segurança centralizados (SIEM/EDR) com retenção definida e trilhas de auditoria.
- Gestão de acessos e identidades (IAM) com MFA universal, revogação por evento e revisões periódicas.
- Backups testados (restores trimestrais) com imobilização lógica (immutability) e isolamento.
- Avaliações de risco e planos de tratamento com owners, prazos e validação de eficácia.
- Due diligence de terceiros com evidência: relatórios de auditoria, certificações, cláusulas de segurança e planos de continuidade.
- Planos de resposta a incidentes testados e reporting NIS 2 preparado (24h/72h/1 mês).
- Formação contínua (phishing, engenharia social, proteção de dados) com métricas de participação e eficácia.
- Privacidade em IA: DPIA, minimização/anonimização e base legal clara para dados pessoais usados em modelos.
Erros que ainda vemos (e como corrigi-los)
- Políticas excelente papel, fraca operacionalização → transforme políticas em controlos verificáveis (checklists e owners por control).
- EDR/SIEM sem cobertura total → meça % de endpoints/serviços cobertos e trate desvios como incidentes de conformidade.
- Terceiros “críticos” sem contratos adequados → adicione requisitos de segurança, RTO/RPO, reporte de incidentes e direito de auditoria.
- Reporte de incidentes ad‑hoc → pré‑preencher “kits NIS 2”: modelo de “early warning” (24h), relatório de 72h e relatório final (1 mês). ENISA
Plano de 90 dias para elevar a prova de conformidade
0–30 dias: inventário e criticidade de ativos; mapa de fornecedores; gap‑analysis DORA/NIS 2/ISO 27001.
31–60 dias: fechar lacunas prioritárias (MFA universal, backups testados, cobertura EDR/SIEM ≥ 95%); definir SLAs de patching.
61–90 dias: simulação de auditoria; exercício de incidente com reporte NIS 2; dashboard de KPIs (tempo de correção, cobertura, testes).
Cursos Behaviour recomendados (Segurança da Informação)
A Behaviour desenvolve cursos que não só explicam as normas, como te preparam para aplicar, liderar e auditar com segurança:
- ISO 27001 Lead Implementer
- ISO 27001 Lead Auditor
- NIS 2 Compliance Lead Manager
- Cybersecurity Professional
Autor: Behaviour
Não é autorizada a cópia ou reprodução deste artigo.