Recursos
A biblioteca da Cyber Academy.
Material de referência GRC testado em campo, escrito por um CISO em exercício. Artigos, pilares aprofundados, uma enciclopédia em crescimento e uma newsletter semanal que não desperdiça o seu tempo.
Recursos
Blog
Notas de campo
Artigos curtos sobre regulamentação, auditorias e o dia a dia do CISO.
Pilares
Análises aprofundadas
Os guias completos sobre NIS 2, DORA, ISO 27001, AI Act e mais.
Enciclopédia
Vocabulário GRC
Definições práticas de termos comuns de GRC, com fontes e datas de revisão, quando disponíveis.
Newsletter
The GRC Brief
Cinco ligações selecionadas sobre regulamentação cibernética na UE. Sem rodeios.
Mais recentes
Últimos artigos do blogue
O CISM muda a 3 de novembro. A ISACA colocou a arquitetura de volta na sua mesa.
Duas novas áreas de conteúdo, três semanas para fazer o exame antigo, e uma declaração clara sobre o que se espera agora de um gestor de segurança.
Ler
NIS 2 Está em Vigor. O Regulador Não Vai Esperar.
Já leu a diretiva. Mesmo assim, não consegue arrancar na segunda-feira. Cinco dias em dezembro para fechar a distância entre conhecer o NIS 2 e implementá-lo.
Ler
O risco de que não temos MFA
Duas semanas de auditorias ISO/IEC 27001 e o mesmo erro em quase todos os registos de risco; eis por que continua a acontecer, e por que a sua folha de cálculo faz parte do problema.
LerAnálises aprofundadas
As páginas pilar
Pilar
NIS 2: o guia que substitui a sua monitorização jurídica.
Abrangidos: 18 setores, entidades de média dimensão (50+ ETI / 10M+ de volume de negócios) e superiores. Dois escalões, essenciais e importantes, com diferente intensidade de supervisão.Dez medidas de gestão de riscos de cibersegurança ao abrigo do Artigo 21. A diretiva diz o quê; a ISO 27001 é o como mais comum.Notificação de incidentes: alerta precoce em 24 horas, notificação em 72 horas, relatório completo ao fim de um mês. Defina o percurso antes de precisar dele.A responsabilidade pessoal e a prestação de contas pela gestão são agora explícitas. O conselho de administração está em causa, não apenas o CISO.O estado de transposição varia de país para país; verifique a sua autoridade nacional antes de presumir que o texto da UE se aplica tal como está.
Ler o guiaPilar
DORA: o que o seu RSSI não lhe contou.
Aplica-se a cerca de 20 categorias de entidades financeiras, mais os prestadores terceiros de TIC críticos designados, desde 17 January 2025.Cinco pilares. O registo de terceiros (Pilar 4) e os testes de resiliência (Pilar 3, incluindo TLPT para as entidades significativas) são os mais operacionais e os mais auditados.Para as entidades significativas, testes de penetração baseados em ameaças de três em três anos, supervisionados pela autoridade nacional ao abrigo do TIBER-EU.Os prestadores terceiros de TIC críticos são supervisionados diretamente pelas European Supervisory Authorities (ESAs). O seu risco de concentração passa agora a ter relevância ao nível da UE.Combine com a ISO 22301 para o BCMS, a ISO 27001 para a gestão do risco de TIC, e o Lead Operational Resilience Manager para a camada voltada para o regulador.
Ler o guiaPilar
ISO 27001: Foundation, Lead Implementer, Lead Auditor, qual escolher?
A Foundation é o pré-requisito. Dá o vocabulário e o modelo mental do sistema de gestão. Dois dias, exame de 1 hora.A Lead Implementer (5 dias) ensina-o a construir o ISMS, a redigir a SoA, a conduzir o tratamento do risco e a operar o ciclo de revisão pela gestão.A Lead Auditor (5 dias) ensina-o a planear e a liderar auditorias de terceira parte ou internas. Uma mentalidade diferente: evidências, amostragem, técnica de entrevista, relato.A maioria dos CISOs e responsáveis de segurança faz a Lead Implementer. Auditores internos e consultores das Big Four fazem a Lead Auditor. Fazer ambas é comum ao longo de 12 a 18 meses.Taxas de aprovação em turmas PECB com formador: 99,1% à primeira tentativa nas nossas formações; a média de mercado situa-se entre 80% e 85% consoante o parceiro.
Ler o guiaVocabulário
Pré-visualização da enciclopédia
AI Risk Manager
AI Risk Manager é a credencial (PECB / ISACA emergente) para profissionais que gerem programas de risco específicos de IA: risco de modelo, viés, deriva, transparência, risco de modelo de terceiros. Camada operacional que complementa a ISO 42001 (nível de sistema) e o AI Act (camada regulatória). Acompanhamento habitual de um CISO ou Lead AI Auditor.
Advanced in AI Audit
AAIAAAIA é a credencial avançada da ISACA para auditoria de sistemas, modelos e governação de IA. Mais recente (a partir de 2024). Requer CISA ou equivalente. Concebida para auditores sénior que pretendem adquirir competências em IA, alinhada com a ISO 42001 e as obrigações de alto risco do AI Act.
Agência Nacional de Cibersegurança Francesa
ANSSIA ANSSI é a agência nacional de cibersegurança francesa, sob tutela do Primeiro-Ministro desde 2009. É a autoridade nacional em matéria de política de cibersegurança em França, qualifica produtos e prestadores de serviços, publica o EBIOS Risk Manager e atua como autoridade competente para a transposição do NIS 2. As suas qualificações (SecNumCloud, PVID, PASSI) são o padrão de referência no setor público francês.
Agência da União Europeia para a Cibersegurança
ENISAA ENISA é a agência de cibersegurança da UE, com sede em Atenas. Apoia os Estados-Membros e as instituições da UE em matéria de política de cibersegurança, cooperação operacional e o quadro de certificação da UE. Está operacionalmente envolvida na cooperação ao abrigo do NIS 2, nas normas de execução do DORA e na linha de base de segurança do AI Act. O seu relatório anual sobre o panorama de ameaças é a publicação anual mais citada.
Apetite ao risco
O apetite ao risco é a quantidade e o tipo de risco que a organização está disposta a aceitar para atingir os seus objetivos. Definido ao nível executivo ou do conselho de administração, por escrito. Sem ele, cada decisão de tratamento do risco é um julgamento pessoal da equipa de risco, e a auditoria vai destrui-lo. Associar com a tolerância ao risco (o desvio tolerado em torno do apetite).
Auditoria de Fase 1 / Fase 2
A certificação ISO inicial divide-se em fase 1 (revisão da documentação e prontidão, normalmente 1 a 2 dias) e fase 2 (auditoria de evidências operacionais, 2 a 5 dias). A fase 1 confirma que o sistema de gestão existe no papel; a fase 2 verifica se funciona na prática. A maioria das auditorias de fase 2 "reprovadas" resulta de problemas da fase 1 que ninguém corrigiu no intervalo.
The GRC Brief
Cinco ligações selecionadas todas as segundas-feiras às 8h.
Regulamentação cibernética na UE, conclusões de auditoria, modelos e breves comentários. De um CISO em exercício. Gratuito. Sem rodeios.
Subscrever The GRC Brief