| Ref | Requisitos e Pontos de Verificação de Auditoria | Status | Evidências Necessárias | Notas do Auditor |
|---|---|---|---|---|
| 20.1 | Aprovação Formal do Órgão de Gestão • O órgão de gestão (conselho de administração/diretoria executiva) aprovou formalmente a política e as medidas de gestão de riscos de cibersegurança? • Existe alguma resolução escrita do conselho de administração ou documento de aprovação equivalente disponível? • A aprovação é revista e reafirmada no mínimo anualmente? | — | Resolução do conselho; política assinada; registros de aprovação da gerência | |
| 20.2 | Supervisão Ativa do Órgão de Gestão • O órgão de gestão supervisiona ativamente a implementação de medidas de cibersegurança? • Reuniões regulares de cibersegurança agendadas e registradas em ata ? • O órgão de gestão recebe relatórios de incidentes e riscos em intervalos definidos? | — | Atas de reuniões; painéis de gestão; registros de briefing de incidentes | |
| 20.3 | Treinamento em cibersegurança para a gestão • Os membros do órgão de gestão recebem treinamento regular em cibersegurança que abrange as obrigações da NIS2? • O programa de treinamento está documentado com tópicos, frequência e método de aplicação? • Os registros de conclusão de treinamento são mantidos para todos os membros do órgão de gestão? • O treinamento aborda o cenário atual de ameaças e as mudanças regulatórias? | — | Programa de treinamento; certificados de conclusão; registros de frequência | |
| 20.4 | Autoridade Designada em Segurança Cibernética (CISO / Equivalente) • Existe alguma autoridade formalmente designada responsável pela cibersegurança (CISO ou cargo equivalente)? • O papel está definido com autoridade clara, responsabilidade e recursos adequados? • A linha de reporte do CISO/autoridade para o órgão de gestão está documentada? | — | Descrição de cargo; organograma; termos de referência; alocação de recursos | |
| 20.5 | Quadro de Responsabilidade e Prestação de Contas • Os membros do órgão de gestão compreendem a responsabilidade pessoal nos termos do NIS2 (Artigo 20)? • O regime de responsabilidade e sanções foi comunicado ao órgão de administração? • Qual o processo para informar a administração sobre o estado de conformidade e os riscos materiais? | — | Política de responsabilização; registros de assessoria jurídica; relatórios de conformidade ao conselho. |
| Ref | Requisitos e Pontos de Verificação de Auditoria | Status | Evidências Necessárias | Notas do Auditor |
|---|---|---|---|---|
| SC.1 | Determinação da Classificação da Entidade • A organização determinou formalmente sua classificação NIS2 (Entidade Essencial / Entidade Importante)? • A decisão de classificação está documentada com fundamentação jurídica e critérios de dimensão/setor? • A classificação é revista quando ocorrem mudanças organizacionais (fusões e aquisições, novos serviços, mudanças de setor)? | — | Documento de determinação de classificação; parecer jurídico; confirmação setorial | |
| SC.2 | Identificação do setor: Anexo I / Anexo II • Os setores da organização foram corretamente identificados em relação aos Anexos da NIS2 (I: Energia, Transportes, Bancário, Saúde, Água, Infraestrutura digital; II: Correios, Gestão de resíduos, Produtos químicos, Alimentos, Indústria transformadora, Fornecedores digitais)? • Todas as atividades setoriais aplicáveis foram documentadas? • Se entidade crítica (Diretiva CER), quais as obrigações transversais à diretiva? | — | Matriz de classificação setorial; Referência do anexo; Avaliação de sobreposição CER | |
| SC.3 | Registro da Autoridade Nacional Competente • A organização está registada junto da autoridade nacional competente (ANC) relevante, conforme exigido? • Qual a NCA (Nova Classe A) identificada para cada setor aplicável? • Ponto de contato (PoC) para notificações de cibersegurança registradas na NCA? • Os canais de notificação nacionais/CSIRT foram confirmados? | — | Confirmação de registro na NCA; Entrada no registro PoC; Detalhes de contato do CSIRT | |
| SC.4 | Obrigações transfronteiriças e multijurisdicionais • Se a empresa opera em vários Estados-Membros da UE, as obrigações para cada jurisdição são identificadas? • O Estado-membro líder/estabelecimento principal foi identificado, se aplicável? • Foi estabelecido um mecanismo de coordenação para a comunicação de incidentes transfronteiriços? | — | Registro de jurisdições; designação do Estado-membro líder; procedimento de coordenação |
| Ref | Requisitos e Pontos de Verificação de Auditoria | Status | Evidências Necessárias | Notas do Auditor |
|---|---|---|---|---|
| 23.1 | Critérios e Classificação de Incidentes Significativos • Quais os critérios para "incidente significativo" formalmente definidos no Artigo 23 (perturbação substancial, prejuízo financeiro, impacto transfronteiriço)? • O procedimento de classificação de incidentes está documentado com os respectivos limiares de gravidade? • Todos os funcionários e equipes de plantão foram treinados sobre os limites de notificação e escalonamento? | — | Política de classificação de incidentes; matriz de gravidade; registros de treinamento | |
| 23.2 | Alerta antecipado: em até 24 horas • Qual o procedimento para submeter um alerta precoce ao CSIRT/autoridade competente no prazo de 24 horas após tomar conhecimento de um incidente significativo? • Existe um modelo/procedimento de notificação de 24 horas prontamente disponível para a equipe de plantão? • Existe um canal de escalonamento disponível 24 horas por dia, 7 dias por semana, para a pessoa responsável por enviar o alerta antecipado? • O alerta precoce abrange: tipo de incidente, avaliação inicial, se há suspeita de ataque? | — | Procedimento de notificação em 24 horas; modelo; escala de plantão; registros de exercícios de teste | |
| 23.3 | Notificação de incidentes: em até 72 horas • Notificação completa do incidente enviada à autoridade dentro de 72 horas após o conhecimento do ocorrido? • A notificação inclui: avaliação inicial, serviços afetados, impacto estimado e medidas corretivas tomadas? • A(s) pessoa(s) responsável(eis) pela submissão em 72 horas foram identificadas e treinadas? • Qual o procedimento para atualizar a notificação caso novas informações se tornem disponíveis? | — | Procedimento de notificação em 72 horas; modelo; contatos designados; submissões anteriores | |
| 23.4 | Relatórios Intermediários (Sob Solicitação) • Qual o procedimento para fornecer relatórios intermediários à autoridade competente, mediante solicitação? • A capacidade de atualização do progresso provisório está documentada? • Foi mantido um registro de comunicação para todas as interações com as autoridades durante o incidente? | — | Procedimento de relatório provisório; modelo de registro de comunicação | |
| 23.5 | Relatório Final: Dentro de 1 mês • O relatório final do incidente foi submetido no prazo de 1 mês após a notificação inicial? • O relatório final inclui: descrição detalhada, tipo de incidente, análise da causa raiz, remediação e prevenção de recorrência? • A avaliação do impacto transfronteiriço foi incluída quando aplicável? • O relatório pós-incidente foi arquivado e as lições aprendidas foram colocadas em prática? | — | Modelo de relatório final; procedimento de análise da causa raiz; relatórios finais anteriores | |
| 23.6 | Notificação ao Cliente e aos Fornecedores a Jusante • Qual o processo para notificar os clientes afetados ou os destinatários de serviços subsequentes sobre incidentes significativos? • Os critérios de limite e prazo para notificação do cliente foram definidos? • O modelo de comunicação para notificações ao cliente foi aprovado? | — | Procedimento de notificação ao cliente; modelo; registros de comunicação |
| Ref | Requisitos e Pontos de Verificação de Auditoria | Status | Evidências Necessárias | Notas do Auditor |
|---|---|---|---|---|
| Art. 21(a): Políticas sobre Análise de Riscos e Segurança de Sistemas de Informação | ||||
| 21a.1 | Metodologia de Avaliação de Riscos • Metodologia documentada de avaliação de riscos de cibersegurança que abranja a identificação, análise e avaliação de riscos cibernéticos? • A metodologia inclui escalas de probabilidade e impacto, e critérios de aceitação de risco? • A metodologia é revista e atualizada anualmente? | — | Documento de metodologia de risco; registro de riscos; registros de revisão | |
| 21a.2 | Política de Segurança da Informação • A política geral de SI foi aprovada pelo órgão de gestão e publicada? • A política abrange todas as áreas de segurança relevantes para o NIS2 (acesso, incidentes, cadeia de suprimentos, criptografia, etc.)? • Controlado por versão, comunicado a todos os funcionários e disponível para as partes externas relevantes? | — | Documento de Política de SI; comprovante de aprovação; registros de distribuição | |
| 21a.3 | Registro de Riscos Cibernéticos • O registro de riscos cibernéticos é mantido atualizado com os riscos identificados, seus responsáveis e planos de tratamento? • Os riscos são revistos no mínimo trimestralmente ou na ocorrência de alterações significativas? • As ações de tratamento de risco foram acompanhadas até a sua conclusão, com responsabilização do proprietário? | — | Registro de riscos; planos de tratamento; revisão de registros; rastreador de ações | |
| 21a.4 | Inteligência de Ameaças • Os fluxos de informações sobre ameaças estão integrados aos processos de gestão de riscos? • Informações específicas do setor (ENISA, CSIRT nacional, ISACs) são monitoradas? • O panorama de ameaças é analisado nos relatórios de gestão? | — | Assinaturas de inteligência de ameaças; evidências de integração de feeds; relatórios de gestão. | |
| 21a.5 | Revisão Anual e Orientada a Eventos de Risco • A avaliação de riscos é realizada pelo menos anualmente e desencadeada por mudanças significativas? • Resultados apresentados à administração com plano de ação? • As decisões de risco foram documentadas com a aceitação do risco residual pelos responsáveis pelo risco? | — | Relatórios anuais de avaliação de riscos; apresentação à gestão; registros de aceitação | |
| Art. 21(b): Tratamento de incidentes (prevenção, detecção, análise, contenção, recuperação) | ||||
| 21b.1 | Plano de Resposta a Incidentes • O Plano de Resposta a Incidentes (PRI) está documentado, aprovado pela gerência e testado pelo menos anualmente? • O plano abrange todas as fases: detecção, análise, contenção, erradicação, recuperação e revisão pós-incidente? • Quais são os papéis e responsabilidades atribuídos a cada fase? | — | Documento IRP; registros de exercícios de teste; atribuições de funções | |
| 21b.2 | Capacidades de Detecção e Monitoramento • Capacidades técnicas de monitoramento e detecção implantadas em toda a rede e sistemas? • SIEM, IDS/IPS, EDR ou ferramentas equivalentes que fornecem alertas 24 horas por dia, 7 dias por semana, para sistemas críticos? • A cobertura de detecção está documentada (ativos, categorias de alerta, SLAs de resposta)? | — | Evidências da ferramenta SIEM/monitoramento; matriz de cobertura de alertas; documentação do SLA | |
| 21b.3 | Análise de Incidentes, Triagem e Manuais de Procedimentos • Qual o procedimento definido para triagem de incidentes e classificação de gravidade? • Os limites de escalonamento e as cadeias de comunicação estão documentados? • Existem manuais/roteiros para tipos comuns de incidentes (ransomware, violação de dados, DDoS)? | — | Procedimento de triagem; matriz de gravidade; manuais de procedimentos; árvore de escalonamento | |
| 21b.4 | Contenção e Erradicação • Procedimentos para conter ameaças e isolar sistemas comprometidos? • A capacidade de isolamento/quarentena da rede foi testada? • Os procedimentos de remoção de malware, limpeza do sistema e reinstalação estão documentados? | — | Procedimentos de contenção; registros de testes de isolamento; procedimentos de reconstrução | |
| 21b.5 | Procedimentos de Recuperação • Os procedimentos de recuperação pós-incidente estão documentados com os RTOs definidos para os serviços críticos? • As etapas de restauração do serviço, os testes de validação e o processo de aprovação foram documentados? • Critérios definidos para o retorno às operações normais? | — | Procedimentos de recuperação; definições de RTO/RPO; registros de testes de restauração | |
| 21b.6 | Análise pós-incidente e lições aprendidas • Foi realizada uma revisão pós-incidente para todos os incidentes significativos? • Lições aprendidas documentadas e ações atribuídas com responsáveis e prazos definidos? • Os resultados da análise da causa raiz contribuem para a gestão de riscos e atualizações de políticas? | — | Relatórios PIR; rastreador de ações; atualizações do registro de riscos; evidências de revisão de políticas | |
| Art. 21(c): Continuidade de Negócios, Gestão de Backup, Recuperação de Desastres e Gestão de Crises | ||||
| 21c.1 | Plano de Continuidade de Negócios (PCN) • O Plano de Continuidade de Negócios (PCN) documenta a cobertura de todos os serviços críticos de rede e informação? • O Plano de Continuidade de Negócios (PCN) é testado pelo menos anualmente, incluindo cenários de incidentes cibernéticos? • Os papéis do Plano de Continuidade de Negócios (PCN), os contatos de escalonamento e os critérios de ativação estão documentados? | — | Documento BCP; relatórios de exercícios de teste; registros de ativação | |
| 21c.2 | Política de backup e testes • Política de backup abrangendo escopo, frequência, período de retenção, local de armazenamento (incluindo externo/isolado da internet) e criptografia? • Cópias de segurança de todos os sistemas críticos são feitas e a restauração é testada regularmente (no mínimo trimestralmente)? • O tempo de verificação e restauração da integridade do backup foi medido? | — | Política de backup; registros de backup; registros de teste de restauração; resultados da verificação de integridade | |
| 21c.3 | Plano de Recuperação de Desastres de TI • O plano de recuperação de desastres de TI está alinhado com o plano de continuidade de negócios, abrangendo failover e recuperação de sistemas críticos? • RTO e RPO definidos e acordados para todos os serviços críticos? • Os testes de failover de DR são realizados pelo menos anualmente e os resultados são documentados? | — | Plano de DR; Registro RTO/RPO; Resultados do teste de DR; Evidências de alinhamento do BCP | |
| 21c.4 | Procedimentos de Gestão de Crises • Os procedimentos de gestão de crises para grandes eventos cibernéticos estão documentados? • A composição, as funções e o plano de escalonamento da equipe de crise foram definidos? • Plano de comunicação de crise que abranja comunicação interna, externa, com a mídia e com órgãos reguladores? | — | Plano de gerenciamento de crises; composição da equipe; modelos de comunicação; registros de exercícios | |
| 21c.5 | Contatos de Emergência e Resiliência na Comunicação • A lista de contatos de emergência (pessoal-chave, reguladores, fornecedores, autoridades) é mantida e revisada trimestralmente? • Existe capacidade de comunicação fora de banda caso os sistemas primários sejam comprometidos? • Os contatos foram testados durante os exercícios? | — | Lista de contatos de emergência; revisão de registros; evidências de testes de comunicação fora da banda | |
| Art. 21(d): Segurança da cadeia de suprimentos | ||||
| 21d.1 | Cadastro de Inventário e Riscos do Fornecedor • Mantém-se um inventário completo de fornecedores terceirizados e prestadores de serviços críticos? • Registro de riscos da cadeia de suprimentos com classificações de risco, classificação de criticidade e datas da última avaliação? • Fornecedores categorizados por nível (crítico, significativo, padrão)? | — | Inventário do fornecedor; registro de riscos da cadeia de suprimentos; critérios de classificação | |
| 21d.2 | Requisitos de segurança em contratos com fornecedores • Os requisitos de cibersegurança estão incluídos em todos os contratos com fornecedores críticos? • Cláusulas contratuais que abrangem: obrigações de notificação de incidentes, padrões mínimos de segurança, direitos de auditoria, proteção de dados? • A conformidade com as diretrizes de segurança da cadeia de suprimentos da ENISA foi analisada? | — | Exemplos de contratos com fornecedores; lista de verificação de cláusulas de segurança; evidências de revisão jurídica | |
| 21d.3 | Avaliações e auditorias de segurança de fornecedores • São realizadas avaliações ou auditorias de segurança regulares em fornecedores críticos? • Frequência de avaliação com base no nível de risco do fornecedor (crítico: anual, significativo: bienal)? • Os resultados das avaliações foram acompanhados e os planos de remediação monitorados? | — | Relatórios de avaliação de fornecedores; cronograma de avaliação; rastreador de remediação | |
| 21d.4 | Procedência de Software e Hardware • Qual o processo para verificar a integridade e a autenticidade de software e hardware de fornecedores? • Lista de materiais de software (SBOM) ou equivalente para componentes de software críticos? • Monitoramento de vulnerabilidades de componentes de terceiros (rastreamento de CVEs, avisos de fornecedores)? | — | Registros SBOM; processo de verificação de software; evidências de monitoramento de CVE | |
| 21d.5 | Controles de acesso de terceiros • Acesso privilegiado e remoto por parte dos fornecedores, formalmente controlado, monitorizado e registado? • Provisionamento de acesso just-in-time ou gravação de sessão para acesso crítico de fornecedores? • Existe um processo formal de desligamento para relações com fornecedores encerradas? | — | Registros de controle de acesso; registros de acesso JIT; gravações de sessão; lista de verificação de desligamento | |
| Art. 21(e): Segurança de Redes, Aquisição Segura, Desenvolvimento e Manutenção | ||||
| 21e.1 | Arquitetura de Segurança de Rede • A segmentação de rede, os controles de perímetro e a arquitetura de controle de acesso estão documentados? • As políticas de firewall, DMZ e microsegmentação são implementadas e revisadas anualmente? • O diagrama da arquitetura de rede está atualizado e preciso? | — | Documentação da arquitetura de rede; revisão de regras de firewall; evidências de segmentação | |
| 21e.2 | Programa de Gestão de Vulnerabilidades • Programa de varredura de vulnerabilidades que abrange todos os ativos e sistemas de rede em escopo? • Vulnerabilidades críticas e de alta prioridade foram corrigidas dentro dos SLAs definidos (por exemplo, críticas em 72 horas, de alta prioridade em 14 dias)? • Os KPIs de gestão de vulnerabilidades são monitorados e reportados à gestão? | — | Relatórios de varredura; política de SLA de patches; relatórios de KPIs; registros de remediação | |
| 21e.3 | Ciclo de Vida de Desenvolvimento Seguro (SDLC) • Existe uma política de SDLC segura que abranja design, revisão de código, testes e implantação? • Ferramentas SAST/DAST integradas ao pipeline CI/CD para aplicações desenvolvidas? • Testes de segurança (testes de penetração) são realizados para alterações significativas no sistema? | — | Política SDLC; resultados SAST/DAST; relatórios de testes de penetração; evidências de revisão de código | |
| 21e.4 | Gestão de Mudanças • Existe um processo formal de gestão de mudanças para todas as alterações de SI/rede com avaliação de impacto na segurança? • As alterações foram testadas e aprovadas antes da implementação em produção? • A capacidade de revisão e reversão pós-alteração foi documentada e testada? | — | Processo de gestão de mudanças; registros do CAB; formulários de avaliação de segurança; planos de reversão | |
| 21e.5 | Política de Divulgação de Vulnerabilidades • Existe uma política de divulgação responsável de vulnerabilidades (RVD) publicada e acessível? • Canal de comunicação para pesquisadores de segurança externos (security.txt ou equivalente)? • O processo de coordenação do CVE e de divulgação do NCA foi documentado? | — | Política RVD; canal de divulgação; procedimento de coordenação; histórico de CVD | |
| Ref | Requisitos e Pontos de Verificação de Auditoria | Status | Evidências Necessárias | Notas do Auditor |
|---|---|---|---|---|
| Art. 21(f): Políticas e procedimentos para avaliar a eficácia das medidas de cibersegurança | ||||
| 21f.1 | Estrutura de KPIs e Métricas de Segurança Cibernética • Os KPIs e métricas de cibersegurança foram definidos, medidos e reportados em intervalos planejados? • As métricas abrangem: tempos de detecção, tempos de resposta, conformidade com patches, conclusão de treinamento, taxas de incidentes? • Os KPIs são analisados em relação às metas e reportados à gestão trimestralmente? | — | Estrutura de KPIs; relatórios de métricas; painel de gestão; comparação de metas | |
| 21f.2 | Auditorias Independentes e Testes de Penetração • Auditorias de segurança independentes regulares dos principais controles são realizadas (pelo menos anualmente)? • Foram realizados testes de penetração em sistemas e interfaces críticas? • Os resultados das auditorias e testes foram acompanhados até a sua remediação, com responsabilização do proprietário? | — | Relatórios de auditoria; resultados de testes de penetração; rastreador de descobertas; evidências de remediação | |
| 21f.3 | Monitoramento contínuo da eficácia do controle • Existe um programa de monitoramento contínuo da eficácia dos controles de segurança? • Verificações automatizadas de conformidade para controles críticos (por exemplo, aplicação de patches, antivírus, conformidade de configuração)? • Os resultados do monitoramento foram integrados à gestão de riscos e reportados à gerência? | — | Evidências da ferramenta de monitoramento; relatórios de conformidade; integração com o registro de riscos | |
| 21f.4 | Análise da eficácia da cibersegurança pela gestão • A eficácia da cibersegurança é formalmente revista pela gestão, no mínimo, anualmente? • Os insumos para a revisão incluem: resultados de auditoria, KPIs, incidentes, inteligência de ameaças, mudanças de risco? • Os resultados da revisão (decisões, ações de melhoria) foram documentados e acompanhados? | — | Ata da reunião de gestão; registro de ações; planos de melhoria | |
| Art. 21(g): Práticas básicas de higiene cibernética e treinamento em segurança cibernética | ||||
| 21g.1 | Padrões Básicos de Higiene Cibernética • Os padrões básicos de higiene cibernética estão documentados e aplicados em toda a organização? • As normas abrangem: política de senhas/MFA, frequência de aplicação de patches, antivírus/EDR, conscientização sobre phishing, configurações seguras? • Os padrões de higiene são aplicados de forma consistente a funcionários, contratados e dispositivos gerenciados? | — | Política de higiene cibernética; documento de padrões básicos; evidências de monitoramento de conformidade | |
| 21g.2 | Programa de Treinamento de Conscientização de Segurança • Treinamento obrigatório de conscientização sobre segurança para todos os funcionários no momento da integração e anualmente depois disso? • O treinamento abrange as obrigações do NIS2, phishing, engenharia social e procedimentos de notificação de incidentes? • A eficácia foi medida por meio de simulações, testes ou avaliações de phishing? | — | Programa de treinamento; registros de conclusão; resultados da simulação de phishing; pontuações dos testes | |
| 21g.3 | Treinamento de pessoal técnico e de segurança • Treinamento em cibersegurança específico para cada função, destinado a funcionários de TI, segurança e DevOps? • Quais são os requisitos de desenvolvimento profissional contínuo/certificação para funções de segurança definidos (por exemplo, CISSP, CISM, SC-200)? • O programa de treinamento está alinhado com o cenário atual de ameaças e os requisitos do NIS2? | — | Plano de treinamento; certificações; registros de desenvolvimento profissional contínuo; currículo específico da função | |
| 21g.4 | Exercícios de Resposta a Incidentes • Exercícios de simulação ou de resposta a incidentes reais são realizados no mínimo anualmente? • Os exercícios incluem cenários de cronograma de relatórios NIS2 (obrigações de 24h / 72h)? • Os resultados dos exercícios foram documentados e implementados nas atualizações do IRP? | — | Programa de exercícios; relatórios de exercícios; revisões pós-ação; atualizações do IRP | |
| Art. 21(h): Políticas e Procedimentos Relativos à Criptografia e à Encriptação | ||||
| 21h.1 | Criptografia e Política de Criptografia • A política de criptografia e encriptação foi aprovada e implementada? • A política especifica os algoritmos aprovados (AES-256, RSA-2048+, TLS 1.2+), os comprimentos das chaves e as cifras proibidas? • A política está alinhada com as diretrizes criptográficas da ENISA e é revisada anualmente? | — | Política de criptografia; padrões de algoritmos; registro de revisão anual | |
| 21h.2 | Criptografia em Trânsito • O protocolo TLS 1.2+ é obrigatório para todos os serviços web, APIs e comunicações externas? • VPN ou canais seguros são obrigatórios para todo acesso remoto? • Protocolos obsoletos (TLS 1.0/1.1, SSL, HTTP não criptografado) desativados e monitorados? | — | Varreduras de configuração TLS; política de VPN; relatórios de auditoria de protocolo | |
| 21h.3 | Criptografia em repouso • Criptografia de disco completa implementada em todos os laptops, dispositivos móveis e mídias portáteis? • Criptografia em nível de banco de dados e de arquivo para dados pessoais e comerciais sensíveis em repouso? • A criptografia do armazenamento em nuvem foi verificada (chaves gerenciadas pelo cliente, quando aplicável)? | — | Inventário de criptografia; relatórios de conformidade com FDE; configuração de criptografia em nuvem | |
| 21h.4 | Gerenciamento de Chaves Criptográficas • Quais são os principais procedimentos de gestão que abrangem a geração, o armazenamento, a rotação e a destruição segura? • HSM ou cofre de chaves seguro (por exemplo, Azure Key Vault, AWS KMS, HashiCorp Vault) usado para chaves críticas? • O cronograma de rotação de funções foi definido e aplicado? | — | Procedimento de gerenciamento de chaves; inventário de chaves; configuração de HSM/cofre; registros de rotação | |
| Art. 21( i ): Segurança dos Recursos Humanos, Políticas de Controle de Acesso e Gestão de Ativos | ||||
| 21i.1 | Inventário de Ativos • Inventário completo dos ativos de rede e sistemas de informação (hardware, software, dados, nuvem)? • Registro de ativos revisado e atualizado trimestralmente; titularidade atribuída? • Qual a classificação de criticidade dos ativos utilizada para priorizar medidas de proteção? | — | Registro de ativos; resultados da varredura de descoberta; classificação de criticidade; registros de revisão | |
| 21i.2 | Segurança de RH e Triagem Pré-Emprego • Triagem pré-emprego para todas as funções com acesso significativo a sistemas de informação (verificação de antecedentes, referências)? • Os contratos de trabalho incluem obrigações de cibersegurança (uso aceitável, confidencialidade, conhecimento da NIS2)? • O processo disciplinar por violações da política de cibersegurança foi documentado? | — | Política de triagem; modelos de contrato; procedimento disciplinar; registros de RH | |
| 21i.3 | Política de Controle de Acesso (Privilégio Mínimo) • Política formal de controle de acesso baseada nos princípios do menor privilégio e da necessidade de saber? • O controle de acesso baseado em funções (RBAC) foi implementado em todos os sistemas críticos? • Avaliações de acesso realizadas no mínimo semestralmente com resultados documentados? | — | Política de controle de acesso; matriz RBAC; registros de revisão de acesso | |
| 21i.4 | Gerenciamento de Acesso Privilegiado (PAM) • Contas privilegiadas inventariadas, justificadas e controladas por meio de solução PAM ou equivalente? • Sessões privilegiadas monitoradas e gravadas para sistemas críticos? • Contas compartilhadas eliminadas ou estritamente controladas com responsabilidade individual? | — | Evidências da ferramenta PAM; registro de contas privilegiadas; logs de sessão; política de contas compartilhadas | |
| 21i.5 | Gestão do Ciclo de Vida da Identidade (Admissões, Transferências, Desligamentos) • Existe um processo JML formal que assegure que o acesso aos sistemas de informação seja concedido, modificado e revogado em tempo oportuno? • Desprovisionamento automático ou revogação manual vinculada ao SLA para funcionários que se desligam da empresa? • Conciliação regular dos direitos de acesso com o status atual de emprego/função? | — | Procedimento JML; registros de provisionamento/desprovisionamento; registros de reconciliação de acesso | |
| Art. 21(j): Autenticação multifatorial e comunicações seguras | ||||
| 21j.1 | Autenticação Multifatorial (MFA) • A autenticação multifator (MFA) é obrigatória para todos os acessos remotos (VPN, RDP, portais na nuvem) e para todas as contas privilegiadas? • A autenticação multifator (MFA) foi estendida a todos os serviços e aplicativos externos com contas de usuário? • A política de MFA está documentada com um processo de exceções que exige aceitação formal de riscos? | — | Evidências de aplicação do MFA; registro de exceções; documento de política | |
| 21j.2 | Autenticação Contínua e Baseada em Risco • Autenticação contínua ou baseada em risco implementada para transações sensíveis e ações privilegiadas? • Os tempos limite de sessão são impostos e a reautenticação é acionada para operações de alto risco? • Padrões de acesso anômalos que acionam autenticação de dois fatores? | — | Política de autenticação; configuração de tempo limite de sessão; registros de autenticação baseados em risco; alertas de anomalia | |
| 21j.3 | Comunicações seguras de voz, vídeo e texto • Soluções de comunicação seguras são obrigatórias para discussões comerciais sensíveis (plataformas criptografadas de ponta a ponta)? • Política BYOD que aborda os requisitos de comunicação segura para dispositivos pessoais? • Os funcionários receberam treinamento sobre os canais de comunicação aprovados e proibidos para dados sensíveis? | — | Política de comunicações seguras; lista de ferramentas aprovadas; política de BYOD (Traga Seu Próprio Dispositivo); comprovação de treinamento | |
| 21j.4 | Sistemas de Comunicação de Emergência • Sistemas de comunicação de emergência seguros disponíveis para uso durante incidentes cibernéticos? • O canal de comunicação fora de banda foi mantido e testado (por exemplo, linhas telefônicas separadas, mensagens criptografadas)? • O canal de comunicação de emergência está incluído nos exercícios de gestão de crises? | — | Documentação do sistema de comunicações de emergência; registros de testes de canal OOB; evidências de exercícios | |