Conformidade
Frameworks, controles, testes, evidências e documentos.
50 artigosCIS Controls v8: o que a plataforma cobre
Os CIS Controls são um conjunto de práticas de segurança priorizadas, mantidas por uma organização sem fins lucrativos. Eles não certificam nada, e são provavelmente o framework mais útil do catálogo…
Essential Eight: o que a plataforma cobre
O Essential Eight é um conjunto de oito estratégias de mitigação definidas pela autoridade de segurança cibernética da Austrália. Ele é o framework mais enxuto do catálogo, e talvez o mais honesto:…
Cyber Essentials: o que a plataforma cobre
O Cyber Essentials é um esquema de certificação apoiado pelo governo do Reino Unido. Ele tem uma característica que nenhum outro framework do catálogo tem: é certificável, e é pequeno.
DORA: o que a plataforma cobre
O DORA é um regulamento da União Europeia sobre resiliência operacional digital no setor financeiro. Ele parte de uma constatação simples: bancos e seguradoras dependem de tecnologia de terceiros, e…
NIS2: o que a plataforma cobre
A NIS2 é a diretiva europeia de segurança cibernética para setores considerados essenciais e importantes. Ela ampliou bastante o alcance da regra anterior, e passou a valer para muito mais tipos de…
FedRAMP: o que a plataforma cobre
O FedRAMP é o programa de autorização que serviços em nuvem precisam obter para serem usados por órgãos do governo federal dos Estados Unidos. Ele é, com folga, o item mais pesado deste catálogo.
CMMC 2: o que a plataforma cobre
O CMMC é o programa de certificação que o Departamento de Defesa dos Estados Unidos usa para verificar se os seus fornecedores realmente protegem a informação que recebem.
Controles – O que é um controle e o que cada status significa
Um controle é uma exigência concreta que a norma faz à sua empresa. Não é um conceito abstrato: é algo como *exigir autenticação em dois fatores*, *manter backup dos dados*, *restringir quem tem…
Controles – Lista de controles: filtrar, ordenar e priorizar
Avaliações de controles é a tela onde o trabalho de conformidade acontece no dia a dia. Ela reúne os controles de todos os frameworks habilitados e mostra a situação de cada um.
Controles – Página do controle: evidências, testes e responsável
A página de um controle é onde você entende uma exigência e resolve o que falta nela. É a tela em que um administrador passa mais tempo, e vale conhecer cada bloco.
Como anexar evidência a um controle
Boa parte dos controles não tem verificação automática, e depende de você comprovar. Anexar evidência é a ação mais frequente do trabalho de conformidade.
Como excluir um controle do escopo (não aplicável)
Nem toda exigência de uma norma se aplica à sua empresa. Uma norma escrita para qualquer organização inclui controles sobre tecnologias que você não usa e sobre operações que você não tem.
Ações pendentes: o que são e como resolver
Itens de Ação é a lista de tarefas de conformidade da sua empresa. Ela existe para que nada dependa de alguém lembrar.
O que é um teste automático e com que frequência ele roda
Um teste é uma verificação que a plataforma faz nas suas ferramentas conectadas, para confirmar se uma exigência está sendo cumprida na prática.
Lista de execuções: leitura dos resultados
Execuções de Testes reúne todas as verificações da sua empresa, com o resultado de cada uma. É a tela para responder a duas perguntas: o que está falhando, e o que ainda não conseguiu rodar.
Página do teste: histórico, evidência e recursos avaliados
A página de um teste é onde você entende por que uma verificação passou ou reprovou, e decide o que fazer.
Teste em “Requer configuração”: como destravar
Requer Configuração é o status de um teste que existe, está ligado a um controle, e não tem como rodar. Ele não reprovou: ele nunca conseguiu avaliar nada.
Como excluir uma verificação que não se aplica
Algumas verificações não fazem sentido para a sua empresa. Elas avaliam uma tecnologia que você não usa, ou uma responsabilidade que é do seu provedor.
O que conta como evidência para um auditor
Evidência é a prova de que a regra é seguida. É a diferença entre dizer *nós fazemos backup semanal* e mostrar os registros dos backups das últimas semanas.
Como enviar uma evidência
Enviar evidência é a ação mais frequente do trabalho de conformidade. A tela é simples, e a diferença entre fazer bem e fazer mal está em duas decisões: qual arquivo enviar, e a quais controles…