O vocabulário GRC, escrito por quem o pratica.

AI Risk Manager é a credencial (PECB / ISACA emergente) para profissionais que gerem programas de risco específicos de IA: risco de modelo, viés, deriva, transparência, risco de modelo de terceiros. Camada operacional que complementa a ISO 42001 (nível de sistema) e o AI Act (camada regulatória). Acompanhamento habitual de um CISO ou Lead AI Auditor.

AAIA é a credencial avançada da ISACA para auditoria de sistemas, modelos e governação de IA. Mais recente (a partir de 2024). Requer CISA ou equivalente. Concebida para auditores sénior que pretendem adquirir competências em IA, alinhada com a ISO 42001 e as obrigações de alto risco do AI Act.

A ANSSI é a agência nacional de cibersegurança francesa, sob tutela do Primeiro-Ministro desde 2009. É a autoridade nacional em matéria de política de cibersegurança em França, qualifica produtos e prestadores de serviços, publica o EBIOS Risk Manager e atua como autoridade competente para a transposição do NIS 2. As suas qualificações (SecNumCloud, PVID, PASSI) são o padrão de referência no setor público francês.

O apetite ao risco é a quantidade e o tipo de risco que a organização está disposta a aceitar para atingir os seus objetivos. Definido ao nível executivo ou do conselho de administração, por escrito. Sem ele, cada decisão de tratamento do risco é um julgamento pessoal da equipa de risco, e a auditoria vai destrui-lo. Associar com a tolerância ao risco (o desvio tolerado em torno do apetite).

A certificação ISO inicial divide-se em fase 1 (revisão da documentação e prontidão, normalmente 1 a 2 dias) e fase 2 (auditoria de evidências operacionais, 2 a 5 dias). A fase 1 confirma que o sistema de gestão existe no papel; a fase 2 verifica se funciona na prática. A maioria das auditorias de fase 2 "reprovadas" resulta de problemas da fase 1 que ninguém corrigiu no intervalo.

BEC é o ataque de engenharia social direcionado que se faz passar por um executivo ou fornecedor para redirecionar um pagamento ou induzir um colaborador a aprová-lo. Não requer malware; é puro pretexting. A perda média por incidente supera a do ransomware. Os controlos de processo (segregação de funções, verificação por callback) detetam-no; a tecnologia por si só não é suficiente.

Uma BIA é a análise estruturada que quantifica o impacto da interrupção em cada atividade crítica ao longo do tempo. Os resultados incluem o objetivo de tempo de recuperação, o objetivo de ponto de recuperação e o objetivo mínimo de continuidade de negócio. Entrada obrigatória para ISO 22301 e DORA. Bem executada, torna-se o documento que o conselho de administração efetivamente lê.

BCM é a disciplina que identifica ameaças às operações críticas e define os planos e procedimentos para as manter em funcionamento durante uma perturbação. Não é um projeto pontual. A equipa de BCM que responde eficazmente num incidente real é a que realizou um exercício de simulação quatro meses antes e registou o que falhou.

Os CIS Critical Security Controls são um conjunto priorizado de 18 categorias de controlos publicado pelo Center for Internet Security. Os grupos de implementação (IG1, IG2, IG3) correspondem à maturidade da organização. A forma mais rápida de levar uma organização de pequena ou média dimensão do zero a uma postura defensável. Alinha-se de forma consistente com o Annex A do ISO 27001.

COBIT é o framework da ISACA para a governação e gestão das tecnologias de informação empresariais. A edição atual é o COBIT 2019. É o framework utilizado pelas Big Four para avaliar a maturidade da governação de TI e a referência para a credencial CGEIT. Mais estratégico do que o ISO 27001; menos prescritivo do que o NIST.

CCAK é a credencial conjunta ISACA / Cloud Security Alliance para auditores de cloud. Abrange governação cloud, CCM, o programa STAR e considerações de auditoria específicas a hiperscalers. A extensão natural para um titular de CISA cujo âmbito passou a ser cloud-first.

O CSX-P é a credencial prática de cibersegurança da ISACA, baseada em desempenho. Avaliado num ambiente de cyber-range em direto, cobrindo as cinco funções do NIST CSF. Menos conhecido do que o CISM ou o CISA, mas é a credencial rara em que o exame testa o que se faz na prática, não o que se consegue escrever sobre isso.

CCOA é a credencial prática de operações de cibersegurança da ISACA, centrada no trabalho de SOC: monitorização, deteção, resposta e recuperação. O complemento técnico do CISM. Mais adequado para analistas e responsáveis por resposta a incidentes do que para gestores ou auditores.

CDPSE é a credencial técnica de privacidade da ISACA. Três domínios: governação de privacidade, arquitetura de privacidade, ciclo de vida dos dados. O complemento técnico das credenciais DPO/CDPO orientadas para a política. Indicado para equipas de segurança responsáveis pela implementação de privacidade e para arquitetos que trabalham no âmbito do GDPR ou do AI Act.

CISM é a credencial ISACA para gestores de segurança da informação: governação, gestão de programas, gestão do risco, gestão de incidentes. O padrão de referência para funções de liderança em segurança, exigido em cerca de 60% das ofertas de CISO. Perspetiva diferente da CISSP: focada na gestão, menos técnica.

CISA é a certificação de referência em auditoria de TI, atribuída pela ISACA desde 1978. Cinco domínios que abrangem o processo de auditoria, governação, aquisição, operações e proteção de ativos. A certificação de eleição nos projetos das Big Four. Reconhecida globalmente; obrigatória em muitas funções de auditoria interna e conformidade em setores regulados.

CRISC é a credencial de risco da ISACA para profissionais de risco de TI. Identificação, avaliação, resposta e monitorização ligadas aos sistemas de informação. Faz a ponte entre o risco de negócio e o risco de TI. Complemento natural do CISA para auditores que transitam para a gestão do risco, e do ISO 27005 / 31000 para profissionais formados em ISO que adicionam o vocabulário ISACA.

CGEIT é a credencial ISACA para profissionais sénior que assessoram a governação de TI empresarial: alinhamento estratégico, criação de valor, otimização de risco e de recursos. Fundamentada no COBIT. Mercado mais restrito do que o CISA / CISM, mas a credencial adequada para CIOs, conselheiros de TI ao nível do conselho de administração e consultores sénior.

O CISO é o executivo responsável pela estratégia de segurança da informação. É titular do registo de riscos, lidera a resposta a incidentes, informa o conselho de administração e aprova o risco residual. Ao abrigo do NIS 2 e do DORA, a responsabilidade é agora explícita e pessoal. A função é de governação, não de implementação; a parte mais difícil é a tradução para a linguagem do conselho.

A CNIL é a autoridade francesa de proteção de dados, criada em 1978. Aplica o GDPR em França, emite decisões vinculativas e coimas, publica orientações (cookies, biometria, IA) e disponibiliza a ferramenta PIA. É uma das autoridades de supervisão mais ativas da UE; as suas decisões estabelecem frequentemente precedentes a nível europeu.

O Cyber Resilience Act é o regulamento europeu que impõe obrigações de segurança de base a produtos de hardware e software com elementos digitais comercializados na Europa. Obrigações do fornecedor ao longo do ciclo de vida: segurança por design, gestão de vulnerabilidades, SBOM, cinco anos de patches. Adotado no final de 2024, aplica-se a partir de dezembro de 2027. Articular com NIS 2 (vertente organizacional) e AI Act (vertente dos modelos).

CMMC é o modelo de maturidade em cibersegurança que o Departamento de Defesa dos EUA impõe aos seus contratantes que lidam com informação contratual federal e informação não classificada controlada. O CMMC 2.0 foi consolidado em três níveis (Foundational, Advanced, Expert), alinhados com o NIST SP 800-171 e 800-172. Se vende ao DoD ou integra a sua cadeia de fornecimento, está no âmbito de aplicação.

Uma DPIA é a análise estruturada que o GDPR exige antes de qualquer tratamento de dados de alto risco. Documenta a natureza, o âmbito, o contexto e as finalidades; avalia a necessidade e a proporcionalidade; identifica medidas de mitigação. A CNIL disponibiliza gratuitamente uma ferramenta PIA. Omitir uma DPIA quando era obrigatória é uma das formas mais directas de atrair uma visita do regulador.

O DPO é o cargo exigido pelo GDPR que monitoriza a conformidade, aconselha o responsável pelo tratamento e atua como ponto de contacto com a autoridade de controlo. Obrigatório para entidades públicas e para tratamentos que impliquem monitorização sistemática em grande escala ou dados de categorias especiais. A independência e o acesso à gestão de topo são os dois aspetos que os auditores efetivamente verificam.

A defesa em profundidade é o princípio de sobrepor controlos de forma a que nenhuma falha isolada comprometa o sistema. Rede, endpoint, aplicação, dados, pessoas, físico: cada camada atrasa o atacante, aumenta o custo e ganha tempo de deteção. Princípio fundamental desde os anos 1990. Os auditores esperam encontrá-lo; os fornecedores adoram vender camadas adicionais.

DORA é o regulamento da UE que impõe um quadro de resiliência unificado às entidades financeiras e aos seus prestadores críticos de TIC. Cinco pilares: gestão do risco de TIC, reporte de incidentes, testes de resiliência incluindo TLPT, risco de TIC de terceiros, partilha de informação. Aplicável desde 17 de janeiro de 2025. É mais exigente do que NIS 2 na dimensão TIC; o princípio lex specialis determina a sua prevalência para as entidades financeiras.

A NIS 1 (Diretiva 2016/1148) foi a primeira diretiva europeia de cibersegurança transversal a todos os setores, abrangendo operadores de serviços essenciais e prestadores de serviços digitais. Foi substituída pela NIS 2 em outubro de 2024 porque o âmbito era demasiado restrito, a aplicação era desigual e as obrigações de notificação de incidentes careciam de eficácia. É referida aqui sobretudo para que saiba o que era efetivamente o "regime anterior" que os seus colegas ainda recordam vagamente.

NIS 2 é a diretiva europeia que coloca a responsabilidade de cibersegurança nos conselhos de administração. Se a organização for de média ou grande dimensão e operar num dos 18 setores listados, está em âmbito. O relógio começa no primeiro incidente significativo: alerta precoce em 24 horas, notificação em 72 horas, relatório completo ao fim de um mês. As sanções são pesadas (10 milhões de euros ou 2% do volume de negócios mundial). O estado de transposição varia de país para país.

A Diretiva ePrivacy (2002/58/CE, alterada em 2009) é a «lei dos cookies» que toda a gente implementa a meias. Rege a confidencialidade das comunicações eletrónicas e as tecnologias de rastreamento em dispositivos de utilizadores. Mais antiga do que o GDPR e ainda em vigor; o Regulamento ePrivacy que deveria substituí-la está bloqueado em negociação desde 2017. As autoridades nacionais de proteção de dados (CNIL, Garante, AEPD) aplicam-na nos respetivos territórios.

Disaster recovery é o subconjunto de BCM orientado às TI: restaurar infraestrutura, aplicações e dados após uma perturbação. O RPO, o RTO e os runbooks residem aqui. O plano de DR que nunca foi testado de ponta a ponta é uma ficção. O ISO 24762 cobria esta área; a prática atual remete para o ISO 22301 acrescido dos runbooks operacionais.

DDoS é o ataque que inunda um serviço a partir de múltiplas origens para esgotar a capacidade disponível. Pode ser volumétrico, ao nível do protocolo ou da camada aplicacional. A mitigação tornou-se uma commodity (Cloudflare, Akamai, AWS Shield). A questão de risco já não é «conseguimos bloqueá-lo», mas «os serviços críticos estão encaminhados através da proteção, incluindo as APIs que nunca aparecem nos dashboards».

A ENISA é a agência de cibersegurança da UE, com sede em Atenas. Apoia os Estados-Membros e as instituições da UE em matéria de política de cibersegurança, cooperação operacional e o quadro de certificação da UE. Está operacionalmente envolvida na cooperação ao abrigo do NIS 2, nas normas de execução do DORA e na linha de base de segurança do AI Act. O seu relatório anual sobre o panorama de ameaças é a publicação anual mais citada.

EBIOS Risk Manager é o método de gestão do risco cibernético da ANSSI, centrado em cenários de ataque estratégicos. Mapeia os processos de negócio face aos objetivos dos atacantes e daí deriva os controlos técnicos. É a referência no setor público francês e nos operadores de importância vital. Excelente para demonstrar ao conselho de administração POR QUE RAZÃO um determinado cenário é relevante; menos frequente em auditorias multinacionais do setor privado.

O EU AI Act é o primeiro regulamento abrangente sobre IA no mundo. Quatro níveis de risco: inaceitável (proibido), elevado (obrigações pesadas e avaliação de conformidade), limitado (transparência), mínimo. Aplica-se por fases até agosto de 2027. Combine-o com a ISO 42001 se pretender uma resposta baseada em sistema de gestão em vez de uma checklist. As regras para modelos GPAI acrescem ao restante.

EDR é a plataforma baseada em agente que regista a atividade dos endpoints, deteta comportamentos suspeitos e permite aos analistas isolar ou remediar hosts comprometidos. XDR alarga a visibilidade a endpoints, rede e cloud; MDR é a camada de serviço gerido. O endpoint continua a ser o ponto de entrada mais comum; EDR é hoje um requisito mínimo, não um fator de diferenciação.

Um exercício de mesa é uma simulação baseada em discussão de um cenário perturbador com a equipa de resposta reunida à mesa. Barato, rápido, expõe as lacunas que nenhuma revisão documental revela. Prática exigida ao abrigo do ISO 22301, NIS 2 e DORA, e a atividade com maior ROI num programa de BCM. Agende-os trimestralmente, não anualmente.

A gestão de patches é o processo operacional que aplica uma correção publicada em todo o parque, com um SLA definido e verificação. Frequentemente o elo mais fraco: os patches de emergência colidem com as janelas de mudança, a compatibilidade com fornecedores e as dependências de terceiros. A auditoria pede sempre o SLA, a lista de exceções e as métricas.

A gestão de vulnerabilidades é o ciclo de descoberta, priorização, remediação e verificação de vulnerabilidades no parque tecnológico. Os scanners identificam milhares; a disciplina está na priorização (criticidade do ativo + disponibilidade de exploit + exposição ao negócio) e não na simples digitalização. CVE, CVSS e KEV são o vocabulário de referência.

O GDPR regula os dados pessoais na UE e em qualquer organização que sirva residentes da UE. Base jurídica, direitos dos titulares dos dados, responsabilização, notificação de violações, fiscalização pelas autoridades de controlo. As coimas máximas (20 milhões de euros ou 4% do volume de negócios mundial) dominam as notícias; a maioria das ações de fiscalização resulta do diálogo com as autoridades de controlo, não da aplicação do máximo.

IAM é a disciplina que gere quem pode aceder a quê, quando, como e em que condições. Aprovisionamento, autenticação, autorização, desaprovisionamento. A identidade é o novo perímetro. Toda a arquitetura Zero Trust é, no fundo, um problema complexo de IAM disfarçado de problema de rede.

ISO 19011 é a norma de diretrizes para auditoria de sistemas de gestão. Genérica, aplica-se igualmente a auditorias ISO 27001, 9001 e 22301. Define os princípios de auditoria, a gestão do programa, o ciclo de auditoria e a competência dos auditores. O curso Lead Auditor ensina-a; os auditores que encontra no terreno foram formados com base nela.

ISO 22301 é a norma internacional para sistemas de gestão da continuidade de negócio (BCMS). Define os requisitos para planear, operar, monitorizar e melhorar um BCMS que permita retomar as operações críticas após uma interrupção. É cada vez mais exigida pelos reguladores financeiros desde o DORA, e pelos supervisores NIS 2 para operadores de serviços essenciais.

ISO 31000 é a norma genérica de gestão do risco. Princípios, enquadramento e processo iterativo. NÃO é um sistema de gestão certificável, não existe ISO 31000 Lead Auditor, apesar do que alguns catálogos afirmam. O percurso PECB é Foundation → Risk Manager → Lead Risk Manager. Utilizar quando o risco é mais abrangente do que a segurança da informação isolada.

ISO 27001 é o referencial certificável que os auditores utilizam para avaliar a segurança da informação. A revisão de 2022 reduziu o Anexo A para 93 controlos organizados em quatro temas (organizacional, pessoas, físico, tecnológico). O SGSI depende da Declaração de Aplicabilidade e das evidências de funcionamento. Toda a gente o referencia; poucos o aplicam bem.

ISO 27002 é o guia de implementação dos controlos do Anexo A da ISO 27001. Não é certificável por si só. Os auditores recorrem a ele quando pretendem questionar COMO se opera um controlo, e não apenas se está "em vigor". Trate-o como o manual operacional que acompanha a norma de certificação.

ISO 27005 é a metodologia de gestão do risco de segurança da informação que se articula com a ISO 27001. Identificação, análise, avaliação, tratamento, aceitação. A revisão de 2022 alinha-se com os princípios da ISO 31000 e clarifica a relação com a Cláusula 6 da ISO 27001. Menos prescritiva do que o EBIOS RM, mas a língua franca canónica junto dos auditores.

ISO 27017 é a extensão de controlos de segurança na nuvem ao ISO 27001. Acrescenta controlos específicos para ambientes cloud e clarifica a divisão de responsabilidade partilhada entre fornecedor e cliente. Se o âmbito do seu ISMS incluir cargas de trabalho em hyperscaler (AWS, Azure, GCP, OVH), os auditores irão perguntar quais os controlos do 27017 que tem mapeados.

ISO 27018 é a extensão de controlos de privacidade ao ISO 27001 para fornecedores cloud que atuam como subcontratantes de informação pessoalmente identificável. Estabelece a ponte entre o ISO 27001 e as obrigações do subcontratante ao abrigo do GDPR. Detido maioritariamente por grandes operadores de infraestrutura cloud, utilizado pelos seus clientes como input de due diligence de fornecedores.

ISO 27034 é a norma de segurança de aplicações. Multi-parte. Cobre o ciclo de vida seguro do software: requisitos, conceção, construção, testes, implementação e manutenção. Menos conhecida do que a 27001 porque vive dentro do SDLC, mas é a única norma ISO que fala a linguagem das equipas de desenvolvimento. Combina naturalmente com as práticas OWASP e SBOM.

ISO 27037 é a norma de forense digital para identificar, recolher, adquirir e preservar prova digital. A referência que uma equipa forense interna, um CERT ou um consultor de apoio a litígio utiliza para manter a cadeia de custódia íntegra. Trate-a como o manual com que auditores e advogados irão comparar as suas ações após um incidente.

ISO 27701 é a extensão de gestão de informações de privacidade ao ISO 27001. Acrescenta obrigações de responsável pelo tratamento e subcontratante ao ISMS. Útil para organizações que pretendem um sistema de gestão único e certificável, cobrindo tanto a segurança como a privacidade. Articula-se com o GDPR, mas não «substitui» o trabalho de conformidade com o GDPR.

ISO 42001 é a primeira norma internacional para sistemas de gestão de inteligência artificial, publicada no final de 2023. O equivalente AIMS do ISMS do ISO 27001. Concebida para organizações que necessitam de gerir a conceção, implementação e operação de IA: risco, responsabilidade, transparência, melhoria contínua. Alinha-se diretamente com as obrigações de alto risco do AI Act.

A ISACA é a associação global para profissionais de auditoria de TI, segurança, risco e governança. Fundada em 1969, com sede em Schaumburg (IL), conta com mais de 165 000 membros em 188 países. Atribui as certificações CISA, CISM, CRISC, CGEIT, CDPSE, AAIA, CCOA. Publica o COBIT. A Cyber Academy é ISACA Accredited Premium Partner.

Um ISMS é o sistema documentado que gere para proteger os ativos de informação. Baseia-se no risco, sustenta-se em evidências e está sujeito a revisão pela gestão. Não é um dossier de políticas. Os auditores não avaliam as suas políticas; avaliam as evidências de funcionamento. Ciclo Plan-Do-Check-Act, certificado ao abrigo da ISO 27001, com a SoA como artefacto central.

Lead Auditor é a credencial PECB para profissionais que planeiam e conduzem auditorias de terceira parte ou internas a um sistema de gestão. Curso de cinco dias baseado na ISO 19011. Ponto de entrada para se tornar auditor de organismo de certificação acreditado. Mindset diferente do Lead Implementer: evidências, amostragem, reporte e técnica de entrevista.

Lead Ethical Hacker é a credencial certificada pela PECB para profissionais de segurança ofensiva. Abrange metodologia, definição de âmbito, reconhecimento, exploração, reporte e ética. O complemento de acreditação para credenciais práticas como OSCP e CRTO. Articula-se com o Lead Penetration Testing Professional para a liderança de missões.

Lead Implementer é a credencial PECB para profissionais que planeiam, constroem e gerem um sistema de gestão baseado numa norma ISO específica (mais frequentemente ISO/IEC 27001, ISO/IEC 42001 ou ISO 22301). Curso de cinco dias, exame e certificado. Corresponde à vertente de implementação da disciplina ISO; complementa o Lead Auditor na vertente de auditoria.

MFA é o requisito de que a autenticação utilize dois ou mais fatores de categorias distintas (conhecimento, posse, inerência). Nem todos os MFA são equivalentes: códigos por SMS e e-mail são suscetíveis a phishing, as notificações push provocam fadiga de aprovação, e os tokens de hardware e passkeys são as formas robustas. NIS 2 e DORA impõem MFA "forte" nos acessos críticos.

MITRE ATT&CK é a base de conhecimento aberta sobre táticas, técnicas e procedimentos (TTPs) de adversários observados em ambiente real. Vocabulário normalizado para a defesa orientada por ameaças: regras de deteção, cenários de red team, formação de analistas SOC. Atualizada de forma contínua, de utilização gratuita. Se as suas regras SIEM não referenciam identificadores de técnicas ATT&CK, está a trabalhar mais do que o necessário.

MTTD é o tempo médio entre o início de um incidente e a sua deteção. MTTR é o tempo médio entre a deteção e a recuperação. Em conjunto, constituem as métricas operacionais de referência de um SOC e de um programa de resposta a incidentes. Os benchmarks do setor situam-se na ordem de dias ou semanas; os programas maduros visam horas.

O mínimo privilégio é o princípio segundo o qual cada identidade (humana ou máquina) recebe as permissões mínimas necessárias para a função, e nada mais. Parece óbvio; raramente é aplicado. A maioria dos incidentes de exfiltração de dados começa com uma conta de serviço com permissões excessivas que ninguém conseguia justificar quando questionado. Combine com revisões periódicas de acessos.

O NIST CSF é o framework de cibersegurança publicado pelo Instituto Nacional de Normas e Tecnologia dos EUA. A revisão 2.0 (2024) acrescentou "Govern" às cinco funções existentes (Identify, Protect, Detect, Respond, Recover). Não é certificável; utilizado como referência de maturidade. Complemento habitual do ISO 27001 em organizações transatlânticas.

NIST SP 800-171 é a norma americana que define os requisitos de segurança para a proteção de informação não classificada controlada em sistemas não federais. É a base técnica do CMMC para contratantes de defesa. A Revisão 3 (2024) reforçou os controlos. Se vender ao DoD americano, é obrigatório; se operar apenas na Europa, tem valor informativo.

Uma não conformidade é a constatação, por parte do auditor, de que um requisito não está a ser cumprido. As NC maiores colocam em risco a certificação; as NC menores exigem um plano de ações corretivas com prazo definido. NC menores repetidas na mesma área podem escalar para maior na auditoria de vigilância seguinte. O objetivo não é zero NC; é uma ação corretiva honesta e rastreável.

PCI DSS é o Payment Card Industry Data Security Standard. Obrigatório para qualquer entidade que armazene, processe ou transmita dados de titulares de cartão. A versão 4.0.1 é a revisão atual, totalmente obrigatória desde 31 de março de 2025. A redução do âmbito (tokenização, segmentação) é onde reside o verdadeiro valor; "conforme" é binário, mas o tamanho que se dá ao âmbito é o que realmente conta.

Phishing é o ataque de engenharia social que engana um utilizador levando-o a clicar numa ligação maliciosa, abrir um ficheiro malicioso ou revelar credenciais. Variantes: spear phishing (dirigido), whaling (executivos), smishing (SMS), vishing (voz), BEC (comprometimento de email empresarial). A formação é importante; o MFA resistente a phishing é ainda mais importante.

Privacy by design (artigo 25.º do GDPR) é a obrigação de incorporar controlos de privacidade nos sistemas desde a fase de requisitos. Privacy by default é a obrigação de tornar a opção de maior proteção a opção padrão. Os auditores procuram evidências documentadas (DPIA, revisão de arquitetura, configurações de retenção por defeito) e não um slogan numa política.

PAM é o subconjunto do IAM centrado nas contas privilegiadas: administradores, root, contas de serviço, break-glass. Coloca credenciais em cofre, faz brokers de sessões, regista a atividade. É o primeiro alvo do atacante após o foothold inicial, e o controlo que os auditores testam com maior rigor no âmbito do NIS 2 e do DORA.

PECB é o organismo de certificação acreditado, sediado em Montreal, que emite credenciais profissionais sobre mais de 30 normas ISO em mais de 150 países. Segurança da informação, risco, BCM, governação de IA, privacidade, qualidade. A Cyber Academy é PECB Gold Partner. As credenciais têm a marca PECB; as turmas são realizadas através de parceiros acreditados.

A pseudonimização é a técnica prevista no artigo 4.º, n.º 5, do GDPR que consiste em substituir identificadores diretos por tokens reversíveis, com a chave armazenada separadamente. Reduz o risco e gera boa vontade regulatória, mas os dados continuam a ser dados pessoais. A anonimização é a abordagem que escapa totalmente ao GDPR; a pseudonimização, não. Atenção à confusão entre os dois conceitos.

O RTO é a duração máxima aceitável durante a qual um processo de negócio pode estar indisponível antes de causar danos inaceitáveis. O RPO é a perda máxima de dados medida em tempo antes da perturbação. Ambos resultam da BIA. Os números que o CIO insere no BCP sem consultar o negócio são os que falham sob pressão.

Ransomware é a classe de malware que cifra dados e exige pagamento pela chave, frequentemente combinada com roubo de dados e extorsão (dupla extorsão). Vetores de ataque: phishing, exposição a sistemas com acesso à internet, cadeia de abastecimento. Os seguros cobrem cada vez menos; os reguladores examinam cada vez mais. O trabalho preventivo (backups, segmentação, plano de IR) determina o resultado, não a negociação.

O ROPA é o inventário documentado das atividades de tratamento exigido pelo Artigo 30.º do GDPR. Os responsáveis pelo tratamento registam a finalidade, as categorias, os destinatários, a retenção e as transferências; os subcontratantes registam os responsáveis a quem prestam serviço, as categorias e as transferências. A maioria das organizações subestima o esforço de manutenção. A autoridade de supervisão solicita o ROPA em primeiro lugar quando abre uma investigação.

O registo de riscos é a lista canónica e dinâmica dos riscos identificados, com a respetiva análise, avaliação, tratamento e responsabilidade. Não é uma folha de cálculo pontual. Os auditores esperam entradas datadas, responsáveis nomeados, alterações rastreáveis e ciclos de revisão associados à revisão pela gestão. A versão para o conselho de administração é mais resumida; a versão operacional contém tudo.

O risco inerente é a exposição antes dos controlos. O risco residual é o que permanece após a aplicação dos controlos. Os auditores analisam o desfasamento: deve ser justificado, aceite (ou tratado adicionalmente) por um responsável identificado, e coerente com o apetite ao risco. Um registo que apresente "residual = zero" em qualquer ponto é um sinal de alerta, não uma vitória.

As SCCs são as cláusulas modelo aprovadas pela Comissão Europeia para transferir dados pessoais para países terceiros sem uma decisão de adequação. As SCCs de 2021 substituíram as versões anteriores e exigem uma Avaliação de Impacto da Transferência (TIA) desde o acórdão Schrems II. Documentação obrigatória para qualquer organização que utilize fornecedores SaaS fora da UE.

A SoA é o documento controlado que indica ao auditor quais controlos do Anexo A se aplicam à organização, com que fundamento e onde reside a evidência. Obrigatória ao abrigo da ISO 27001. A incoerência entre a SoA, o plano de tratamento de risco e as operações reais é a causa mais frequente de não conformidades na auditoria de fase 2.

SOC 2 é o relatório de atestação da AICPA sobre os controlos de uma organização de serviços, abrangendo cinco critérios de confiança (segurança, disponibilidade, integridade do processamento, confidencialidade, privacidade). Referência canónica norte-americana para fornecedores SaaS; ISO 27001 é o equivalente europeu. Tipo I = ponto no tempo; Tipo II = eficácia operacional ao longo de 6 a 12 meses. Frequentemente exigido em processos de aquisição empresarial.

Schrems II é o acórdão do TJUE de 2020 que anulou o Privacy Shield UE-EUA e introduziu o requisito de Avaliação de Impacto da Transferência. Cada transferência para um país terceiro exige agora uma análise documentada da legislação local em matéria de vigilância e das medidas suplementares aplicáveis. Substituído na prática pelo EU-US Data Privacy Framework (2023), mas a disciplina da TIA manteve-se.

Um SIEM agrega logs, normaliza eventos e executa regras de deteção em toda a sua infraestrutura. É a camada de visibilidade da qual o SOC depende. Os principais fornecedores de SIEM (Splunk, Sentinel, Elastic, Sumo) integram cada vez mais SOAR e UEBA. O trabalho difícil não é adquirir o SIEM; é a engenharia de dados e o pipeline de deteção como código que se segue.

Um SOC é a equipa e o conjunto de ferramentas que monitoriza, deteta, analisa e responde a eventos de segurança em tempo real. Analistas por níveis (T1 deteção, T2 investigação, T3 threat hunting), 8x5 ou 24x7. Interno, externalizado (MSSP) ou híbrido. Sem um SOC, o SIEM é um arquivo de logs; com um SOC, é um sistema de alerta precoce.

SOAR é a camada que recebe alertas do SIEM e executa playbooks: enriquecimento, triagem, contenção, gestão de tickets. Objetivo: reduzir o MTTR e libertar os analistas de trabalho repetitivo. Atenção às promessas excessivas dos fornecedores: um SOAR vale o que valem os playbooks que se escrevem e mantêm. A maioria dos projetos SOAR falhados ficou sem autores de playbooks.

TPRM é a disciplina que governa o risco introduzido por fornecedores, subcontratados e prestadores de serviços. Diligência prévia no onboarding, cláusulas contratuais, garantia contínua, offboarding. Exigida pelo NIS 2 (segurança da cadeia de abastecimento) e pelo DORA (risco de terceiros TIC). O incidente da Crowdstrike e o incidente da SolarWinds tornaram o TPRM uma conversa ao nível do conselho de administração.

Um teste de intrusão é uma simulação de ataque autorizada e delimitada, com o objetivo de identificar vulnerabilidades exploráveis antes que atacantes reais o façam. Black box / grey box / white box, interno / externo, aplicação / infraestrutura. Distingue-se de uma análise de vulnerabilidades (automatizada, em amplitude) e de um red team (vários meses, baseado em objetivos). Os relatórios alimentam o backlog de remediação.

TLPT é o exercício de red team supervisionado pelo regulador, exigido pelo DORA às entidades financeiras significativas. Baseia-se no framework TIBER-EU (Threat Intelligence-Based Ethical Red Teaming). Decorre ao longo de vários meses, é orientado por inteligência de ameaças e supervisionado pela autoridade nacional. O teste mais exigente que um CISO enfrentará, e aquele que expõe o SOC tal como ele realmente é.

O tratamento do risco é o que se faz depois de conhecer o risco: evitar, reduzir, transferir, aceitar. Cada decisão é documentada, justificada pelo apetite ao risco e rastreada através da SoA até aos controlos e às evidências operacionais. A maioria das auditorias falhadas resume-se a uma coisa: o plano de tratamento e a realidade divergiram, e ninguém atualizou a SoA.

Zero Trust é o modelo de segurança em que se abandona a confiança no perímetro de rede. Cada decisão de acesso é autenticada, autorizada e avaliada contextualmente, sempre. A identidade torna-se o perímetro. Nasceu na Forrester, foi popularizado pelo BeyondCorp da Google e codificado pela NIST SP 800-207. Leia para além dos materiais de marketing dos fornecedores: trata-se de uma arquitetura, não de um produto.