ISO 27001
O sistema de gestão da segurança da informação: políticas, declaração de aplicabilidade, controlos, indicadores e melhoria contínua, da regra à prova.
Ver no cockpit →Referenciais · profissionais
Referenciais suportados pela Galyct Pro
ISO 27001, NIS 2, DORA, o RGPD e a sua notificação em 72 h, EBIOS RM, BIA / PCN / PRD: cobertos, explicados e sobretudo ligados a uma decisão. Porque uma decisão cibernética tem de poder explicar-se a posteriori, perante um cliente, uma seguradora, uma autoridade ou o seu próprio comité.
Compreender o risco. Retomar o controlo. Manter no tempo.
Alojado em França na Scaleway · IA da Mistral (UE) · para preparar e documentar o RGPD, a NIS 2 e o DORA.
01 · OS REFERENCIAIS
Seis bases, uma mesma exigência: decidir, provar, manter
Não os cobrimos para assinalar caixas. Traduzimo-los em responsabilidades, em provas e em arbitragens, a única forma de conformidade que resiste a uma auditoria, a um incidente ou a uma pergunta do regulador.
NIS 2
A diretiva europeia que alarga fortemente o perímetro: entidades essenciais ou importantes, obrigações de higiene e responsabilidade reforçada do dirigente.
Quem está abrangido →DORA
A resiliência operacional digital do setor financeiro: cinco pilares, gestão do risco de TIC e controlo dos prestadores, aplicável desde 17 de janeiro de 2025.
Os cinco pilares →RGPD · 72 h CNIL
Registo das atividades de tratamento, avaliações de impacto, notificação de violação em 72 horas: os dados pessoais tratados como prova, sem conformidade cosmética.
A obrigação das 72 h →EBIOS Risk Manager
O método de análise de risco da ANSSI, em cinco ateliers: da base de segurança aos cenários, até ao tratamento e ao risco residual arbitrado pela direção.
Os 5 ateliers →BIA · PCN · PRD
A continuidade de negócio: distingue-se claramente a análise de impacto, a manutenção em modo degradado e a recuperação técnica, com RTO e RPO incluídos.
A cronologia →
02 · DOUTRINA
Estar em conformidade não é empilhar documentos. É tomar decisões proporcionadas, documentadas e defensáveis.
Um referencial só tem valor quando traduzido em responsabilidades, em provas e em arbitragens realmente acompanhadas. A Galyct Pro liga cada requisito (ISO, NIS 2, DORA, RGPD) a uma decisão rastreável, não a um dossiê que tranquiliza. A documentação reflete práticas reais; nunca o contrário.
03 · EBIOS RISK MANAGER
O método da ANSSI em 5 ateliers, até à decisão
Uma análise de riscos séria não produz uma matriz abstrata. Liga os cenários credíveis aos impactos no negócio, às medidas existentes e às arbitragens da direção: reduzir, aceitar, transferir ou tratar com prioridade.
01Base de segurançaPerímetro, valores do negócio, bens de suporte, eventos temidos e base de medidas já implementadas.
02Fontes de riscoPares fonte de risco / objetivo visado: quem o poderia visar, com que motivações e com que recursos.
03Cenários estratégicosCaminhos de ataque de alto nível através do ecossistema e das partes interessadas, prestadores incluídos.
04Cenários operacionaisModos operatórios técnicos, vulnerabilidades exploradas e verosimilhança dos caminhos selecionados.
05Tratamento do riscoMedidas priorizadas, responsáveis, orçamentos, prazos, e depois avaliação do risco residual e acompanhamento.
→DecisãoO resultado não é uma tabela: é uma trajetória arbitrável, defensável perante o comité.
04 · CONTINUIDADE DE NEGÓCIO
BIA → PCN → PRD: a cronologia de uma interrupção
O BIA identifica o que é vital. O PCN organiza a continuidade em modo degradado. O PRD prepara a recuperação técnica. Colocados na linha do tempo de um incidente, estes planos deixam de se confundir.
01Antes · BIAAtividades críticas, impactos da interrupção, dependências e objetivos RTO / RPO. A base.
02T0 · InterrupçãoO incidente ocorre: o funcionamento nominal para, a crise começa.
03Durante · PCNManter as funções essenciais em modo degradado, a organização inteira, não apenas o sistema de informação.
04Recuperação · PRDRestaurar sistemas e dados respeitando os RTO / RPO. A vertente técnica.
05Depois · Testes & lições aprendidasUm plano nunca testado é uma hipótese, não uma garantia. Desvios, ações, manutenção atualizada.
06Resultado · Continuidade asseguradaRegresso à normalidade controlado, provas conservadas, decisões documentadas.
05 · DEIXAR DE CONFUNDIR
Quatro distinções que mudam a decisão
Usar estes termos indiferentemente já é perder precisão. Clarificá-los é saber por onde começar, e o que se espera realmente de cada dispositivo e de cada papel.
BIA · PCN · PRD
BIA: identifica o que é vital e as tolerâncias à interrupção. A base, sem a qual um plano é construído às cegas.
PCN: organiza a manutenção das atividades essenciais em modo degradado. Vai além da informática: diz respeito à organização inteira.
PRD: restaura os sistemas e os dados depois de um sinistro. A vertente estritamente técnica.
RTO · RPO
RTO: duração máxima de interrupção aceitável: em quanto tempo um serviço tem de ser restabelecido.
RPO: perda máxima de dados tolerável: até onde é aceitável recuar no tempo.
Dois objetivos mensuráveis, fixados no BIA, que dimensionam depois as cópias de segurança, a redundância e o PRD.
Auditoria · Análise de riscos
Auditoria: observa o estado de controlo e os desvios: em que ponto está, num dado momento.
Análise de riscos: liga esses desvios a cenários credíveis, impactos no negócio, decisões e riscos residuais. Uma constata, a outra implica uma arbitragem.
CISO · DPO
CISO: pilota a segurança do sistema de informação: proteger a atividade, os acessos, a disponibilidade.
DPO: zela pela conformidade dos tratamentos de dados pessoais (RGPD); função independente. Duas responsabilidades que se coordenam, sem se confundirem.
06 · NIS 2
Um perímetro alargado, uma responsabilidade que sobe até ao dirigente
A NIS 2 estende o quadro europeu de cibersegurança a vários milhares de organizações em França, em cerca de dezoito setores. A lei de transposição está a ganhar forma: esperar pela «data» é um mau cálculo, a adequação leva meses.
Entidades essenciais
Os setores mais críticos: energia, saúde, transportes, água, digital, administração… Supervisão reforçada e obrigações completas, com possível controlo ex ante.
Entidades importantes
Um perímetro alargado: agroalimentar, indústria transformadora, gestão de resíduos… Obrigações proporcionadas e um controlo exercido sobretudo ex post.
As obrigações, em resumo
Gestão dos riscos & higieneAnálise de risco, cópias de segurança, MFA, gestão de acessos, registo de eventos.
Cadeia de abastecimentoSegurança dos prestadores e dos fornecedores críticos de que depende.
Incidentes & notificaçãoDeteção, gestão e notificação dos incidentes significativos às autoridades.
Continuidade de negócioCópias de segurança, gestão de crise e planos de continuidade / recuperação (BIA, PCN, PRD).
Responsabilidade do dirigente
Novidade importante: os órgãos de direção têm de validar e supervisionar as medidas de gestão dos riscos. A cibersegurança deixa de ser um tema puramente técnico.
Por onde começar
Determinar se está abrangido (setor, dimensão, papel), cartografar os seus riscos prioritários através de uma análise EBIOS RM, medir o desvio com uma auditoria e depois estruturar a governação e o reporte.
07 · DORA
A resiliência operacional digital do setor financeiro
Aplicável desde 17 de janeiro de 2025, o regulamento DORA impõe ao setor financeiro (e aos seus prestadores informáticos) um quadro exigente de resiliência. Em França, a supervisão cabe nomeadamente à ACPR e à AMF.
Diretamente sujeitas
As entidades financeiras
Um leque muito vasto de intervenientes entra no perímetro:
- Bancos, seguradoras, sociedades gestoras
- Instituições de pagamento e de moeda eletrónica
- Prestadores de serviços de criptoativos (PSAN)
No perímetro por ricochete
Os seus prestadores de TIC
Ponto crucial: o DORA visa também os fornecedores de serviços informáticos.
- Alojadores, editores de software, fornecedores de cloud
- Através dos requisitos contratuais impostos aos seus clientes financeiros
- Registo dos contratos, cláusulas conformes, estratégia de reversibilidade
Os cinco pilares
Gestão do risco de TIC
Governação, cartografia, medidas de proteção e de continuidade, pilotadas ao nível da direção.
Gestão de incidentes
Deteção, classificação e notificação dos incidentes graves relacionados com as TIC.
Testes de resiliência
Testes regulares, até aos testes avançados (TLPT) para os intervenientes mais significativos.
Risco de prestadores de TIC
Registo dos contratos, cláusulas contratuais, avaliação da concentração, plano de reversibilidade.
Partilha de informações
Troca voluntária de informações sobre ciberameaças entre entidades financeiras.
O ponto mais subestimado: os terceiros
Muitas organizações descobrem que não controlam a sua dependência de alguns fornecedores críticos. O DORA faz disso um tema de primeiro plano: registo, cláusulas conformes, concentração e reversibilidade.
08 · RGPD · 72 H CNIL
Dos dados à prova, notificação em 72 h incluída
A conformidade com o RGPD só tem valor operacional traduzida num registo mantido, em avaliações de impacto reais e na capacidade de notificar uma violação dentro dos prazos, sem declarações vazias nem conformidade cosmética.
Registo das atividades de tratamento
Tratamentos, finalidades, dados sensíveis, acessos e subcontratantes, cartografados e mantidos atualizados.
Avaliações de impacto
AIPD sobre os tratamentos de risco elevado: medir antes de tratar, documentar as decisões.
Notificação em 72 h
Uma violação de dados tem de ser notificada à CNIL no prazo de 72 horas. Uma contagem decrescente que se prepara antes do incidente, não durante.
DPO & segurança
Coordenação do DPO e da função de segurança: provas de decisão, gestão de incidentes, direitos dos titulares.
09 · O QUE NÃO PROMETEMOS
Um referencial orienta, não garante nada por si
Um referencial bem mantido reduz a improvisação e facilita as arbitragens. Não substitui nem os testes, nem as decisões, nem os factos do terreno. Eis o que não prometemos.
Uma conformidade ligada às práticas reais
Nenhum selo substitui medidas realmente aplicadas. Um documento inútil, nunca posto em prática, aumenta por vezes o risco em vez de o reduzir.
Nada de risco zero
Uma análise de riscos não garante nem a ausência de vulnerabilidades, nem a ausência de comprometimento. É uma leitura estruturada num dado momento, a rever depois de qualquer incidente, alteração do sistema de informação ou nova dependência.
Nenhum plano por testar
Um plano nunca testado dá uma ilusão de controlo. E a decisão continua a ser da direção: a Galyct Pro esclarece as arbitragens; a aceitação do risco e os meios cabem à organização.
Veja os seus referenciais aplicados ao seu contexto.
Uma demonstração ao vivo de 30 minutos sobre ISO 27001, NIS 2, DORA, RGPD, EBIOS RM ou PCN / PRD, ou comece sozinho pelo diagnóstico de direção gratuito. Sem compromisso.