(Notas de campo de avaliações de lacunas reais realizadas em toda a Europa, não de manuais.)
Toda a gente diz que está a "amadurecer o GRC".A realidade: a maioria das organizações ainda improvisa a segurança e chama-lhe governação.É o que encontramos de facto com a Cresco Cybersecurity e o que pode fazer antes de a próxima auditoria o expor.
| # | O Que Encontramos | O Que Significa | Como Corrigir (De Verdade) |
|---|---|---|---|
| 1 | Sem políticas reais, ou totalmente desatualizadas | As equipas acreditam que as políticas existem porque um consultor as escreveu uma vez. Ninguém encontra a versão mais recente. | Comece com 5 essenciais: Segurança da Informação, Controlo de Acessos, Resposta a Incidentes, Utilização Aceitável, Gestão de Terceiros. Mantenha-as abaixo de 5 páginas e reveja anualmente. |
| 2 | Sem responsabilidade clara | "A TI trata disso." "O Jurídico é o responsável." Tradução: ninguém o faz. | Atribua nomes, não departamentos. A responsabilidade não é coletiva, é individual. |
| 3 | Segurança = problema de TI | As unidades de negócio acreditam que o risco cibernético começa e termina na firewall. | Transfira a conversa para o impacto: indisponibilidade, coimas, reputação. O risco é linguagem de negócio; use-a. |
| 4 | O negócio quer segurança, mas não consegue provar o ROI | Querem melhores ferramentas, mas não conseguem justificar orçamentos porque nunca traduziram o risco em dinheiro. | Quantifique a exposição: "Este risco = 300 000 € se se concretizar." De repente, a segurança tem ROI. |
| 5 | Governação é apenas uma palavra da moda | "Temos um comité." Sem ordens de trabalho. Sem atas. Sem decisões. | Torne a governação visível: uma reunião por mês, um registo de decisões, uma linha de reporte à gestão. Feito. |
| 6 | Gestão de terceiros = confiança cega | "Os nossos fornecedores são certificados." Ótimo. Quais? Ninguém sabe. | Mantenha uma lista de risco de fornecedores. Comece pelos 10 principais. Faça-lhes uma pergunta: "Quem vos audita?" |
| 7 | Formação = PowerPoint dos Recursos Humanos | A sensibilização é tratada como teatro de conformidade. Ninguém se lembra de nada. | Substitua os slides estáticos por sessões de refresco de 10 minutos baseadas em histórias reais. Faça as pessoas sentir o risco. |
| 8 | Os ativos são "geridos" (no papel) | Os inventários existem apenas para o relatório de auditoria. Na prática, ninguém sabe o que está em produção. | Automatize a descoberta. Classifique os ativos críticos. Reveja trimestralmente. Se não consegue nomear, não consegue proteger. |
| 9 | Os sistemas de deteção são uma ilusão | Os dashboards do SIEM piscam, mas ninguém investiga os alertas. "Monitorização" = existência, não ação. | Meça a resposta, não a visibilidade. Acompanhe o tempo desde o alerta até à triagem e ao encerramento. |
| 10 | Sem visão holística do risco | Cada risco "baixo" é tratado isoladamente, até três riscos baixos se combinarem numa crise de negócio. | Correlacione os riscos por domínio. Mostre a exposição acumulada. Ensine a gestão que "baixo + baixo + baixo = crítico". |
As políticas, a responsabilidade e o alinhamento falham muito antes das firewalls.
Corrija primeiro a governação e a conformidade torna-se prova, não sofrimento.
Quer Deixar de Constar Desta Lista?
Inscreva-se num dos nossos programas Lead Implementer/Manager na Cyber Academy.
Porque em 2026, a maior lacuna numa auditoria não são os seus controlos, é a sua disciplina.