Qual é a maturidade da sua segurança cibernética?

Existe uma política de segurança da informação aprovada pela gestão.

Estão nomeados o responsável de segurança e o auditor interno.

O âmbito do sistema de gestão está definido e comunicado.

A administração recebe reporte periódico sobre segurança.

Existe uma metodologia de gestão do risco documentada.

Foi feita uma avaliação de risco com registo e níveis.

Há um plano de tratamento com responsáveis e prazos.

Existe uma declaração de aplicabilidade de controlos (SoA).

Os acessos seguem o princípio do menor privilégio.

A autenticação multifactor está activa nos acessos críticos e remotos.

Os acessos são revistos periodicamente e revogados à saída.

Os utilizadores dos serviços são registados e identificados.

As redes estão segmentadas e protegidas por firewall.

Há protecção contra malware em postos e servidores.

Os sistemas críticos estão endurecidos e monitorizados.

A informação sensível em trânsito e em repouso é cifrada.

Há um processo de identificação de vulnerabilidades.

As correcções são aplicadas em janelas definidas por severidade.

Existe uma política de divulgação responsável de vulnerabilidades.

As cópias de segurança seguem a regra 3-2-1.

A reposição a partir de backup foi testada com sucesso.

Existe um plano de continuidade com RTO e RPO definidos.

Existe um CSIRT institucional com mandato e contactos.

Há um plano de resposta a incidentes com runbooks.

Existe um procedimento de notificação ao CSIRT sectorial e nacional.

Os incidentes são registados e há relatório de seguimento.

Há um programa contínuo de consciencialização em segurança.

São feitas simulações de phishing e medidas as melhorias.

Há processos seguros de entrada e saída de colaboradores.

A informação está classificada e tratada por nível.

Os dados de tráfego e localização são retidos com segurança por um ano.

Existe um registo do tratamento de dados pessoais.

São feitas auditorias internas de segurança.

As não conformidades são remediadas com plano e prazos.

A entidade está (ou está a preparar-se para estar) registada na ANSC.