A maioria das organizações tem políticas; mas muito poucas tem políticas que as pessoas realmente seguem.
O problema não é o conteúdo. É a complexidade, o jargão e o facto de a maioria das políticas parecer escrita por advogados que nunca conheceram as pessoas que as utilizam.
Um programa GRC sério começa com políticas claras e práticas que as equipas compreendem, adotam e utilizam efetivamente no seu trabalho diário.
Aqui estão as 10 políticas essenciais que toda a organização precisa; sem rodeios, sem enchimento, apenas o que funciona.
Não precisa de 40 políticas. Precisa de um framework de políticas lean e coerente que cubra governação, segurança, dados, risco e operações; sem afogar as suas equipas em burocracia.
Cada política deve responder a três perguntas:
- O que é exigido?
- Quem é o responsável?
- Como provamos?
Estas 10 políticas formam a espinha dorsal de qualquer programa GRC sério. Vamos analisá-las.
1. Política de Segurança da Informação (A Política Mestra)
Esta é a sua estrela-guia. Define os objetivos de segurança, os compromissos e as expectativas da organização.
Deve:
- definir o ISMS ou o framework de governação de segurança
- atribuir responsabilidades (CISO, proprietários, gestores)
- estabelecer princípios de segurança de alto nível
- conferir autoridade a todas as outras políticas
- alinhar com ISO 27001, NIS2, DORA
Uma boa Política de Segurança da Informação é curta, clara e diretiva; não um romance de 25 páginas.
2. Política de Controlo de Acessos
É aqui que acontece a maioria das violações e onde os reguladores olham primeiro.
Deve incluir:
- como as contas são criadas
- como as contas são removidas
- requisitos de MFA
- regras de acesso privilegiado
- revisões periódicas de acessos
- fluxo de trabalho joiner–mover–leaver (JML)
- normas de autenticação
Nota: Em 90% das auditorias NIS2, o controlo de acessos deficiente é o primeiro achado. Esta política resolve isso.
3. Política de Gestão de Ativos
Não se pode proteger o que não se consegue identificar.
Cobrir:
- inventário de hardware
- inventário de software
- ativos na cloud
- classificação de dados
- regras de propriedade
- sistemas de terceiros
- linhas de base de configuração
É também aqui que o AI Act começa: identificar os ativos de IA antes de os governar.
4. Política de Gestão de Risco
A espinha dorsal de qualquer programa GRC. Sem ela, os seus controlos não têm lógica.
Deve definir:
- metodologia de risco
- fontes de ameaça
- escalas de probabilidade e impacto
- aprovação da aceitação de risco
- ligação aos planos de tratamento
- papéis e responsabilidades
- frequência de revisão
Se não documentar a sua metodologia, o seu registo de riscos não é defensável.
5. Política de Resposta a Incidentes
NIS2 e DORA tornam esta política obrigatória; com regras de reporte estritas.
Incluir:
- níveis de severidade
- caminhos de escalada
- papéis (técnico, jurídico, executivo, comunicação)
- fluxo de reporte em 24h / 72h
- regras de comunicação
- preservação de evidências
- interação com o CSIRT
- revisão pós-incidente
Uma política que define "como gerimos os dias maus" não é negociável.
6. Política de Continuidade de Negócio e Recuperação de Desastres (BC/DR)
O seu plano de resiliência.
Cobrir:
- requisitos de BIA
- objetivos de recuperação (RTO/RPO)
- estratégia de backup
- gestão de crises
- testes de DR
- localizações de contingência
- propriedade do plano
Os reguladores exigem prova de que consegue manter a operação; mesmo quando os fornecedores falham.
7. Política de Segurança de Fornecedores e Terceiros
O requisito mais subestimado do NIS2.
- classificação de fornecedores (crítico / importante / não crítico)
- etapas de due diligence
- cláusulas contratuais de segurança
- monitorização contínua
- onboarding/offboarding
- transparência sobre subprocessadores
- estratégia de saída
Se os seus fornecedores não estão sob governação, não está em conformidade.
8. Política de Proteção de Dados e Privacidade
O GDPR torna esta política obrigatória, mas as equipas frequentemente interpretam-na de forma errada.
Deve incluir:
- base jurídica do tratamento
- direitos dos titulares dos dados
- regras de retenção
- minimização de dados
- transferências de dados
- critérios de DPIA
- regras de notificação de violações
- requisitos de privacy by design
Torne-a prática; não escrita em linguagem jurídica.
9. Política de Utilização Aceitável (AUP)
A sua primeira linha de defesa contra o erro humano.
Deve indicar claramente:
- utilização aceitável dos sistemas de TI
- restrições (por exemplo, email pessoal, USBs)
- regras de utilização de IA
- requisitos de passwords
- requisitos de trabalho remoto
- reporte de comportamentos suspeitos
A AUP deve ser suficientemente curta para que os colaboradores a leiam de facto.
10. Política de Desenvolvimento Seguro e Gestão de Mudanças
A política que mantém a engenharia alinhada com a governação.
- expectativas de codificação segura
- requisitos de revisão de código
- segurança de pipeline
- gestão de dependências
- fluxo de aprovação de mudanças
- requisitos de testes
- segregação de funções
- governação de infrastructure-as-code
É também aqui que o código gerado por IA deve ser revisto quanto à segurança.
Políticas Adicionais (Dependendo do Contexto)
Se relevante para a sua organização, considere adicionar:
- Política de Criptografia
- Política de Logging e Monitorização
- Política de Governação de IA (alinhada com o EU AI Act e ISO 42001)
- Política de Gestão de Vulnerabilidades
- Política de Trabalho Remoto
- Política de Dispositivos Móveis
- Política de Retenção de Registos
Estas não são obrigatórias para todos; as 10 principais são.
Modelos Gratuitos
Abaixo encontra modelos de políticas simplificados e prontos a utilizar que pode adaptar. São intencionalmente curtos e práticos.
Reflexão Final
As políticas não são documentos; são expectativas tornadas explícitas.
Se as suas políticas são demasiado longas, demasiado teóricas ou escritas em jargão jurídico, o seu programa GRC entrará em colapso sob o seu próprio peso.
Comece lean. Escreva com clareza. Atribua responsabilidade. Reveja regularmente. E faça das políticas a espinha dorsal viva da sua governação; não burocracia para o auditor.
Se pretende modelos de políticas alinhados com ISO 27001, NIS2, DORA, GDPR e o EU AI Act, é exatamente isso que partilhamos nos cursos Cyber Academy Lead Implementer. Junte-se à próxima sessão e obtenha acesso imediato.