Quase todos os quadros normativos que tem de cumprir incluem um requisito próprio de sensibilização e formação do pessoal. Damos-lhe o programa que o cobre, ligado às cláusulas concretas de cada norma, e as provas para o demonstrar quando lhas pedirem.
Solicitar uma demonstração Ver os 13 quadrosA conformidade normativa em cibersegurança é o conjunto de obrigações que uma organização tem de satisfazer, e de conseguir demonstrar, face a uma lei ou a uma norma de segurança. Uma parte resolve-se com controlos técnicos e a restante recai sobre as pessoas. Segundo o relatório DBIR da Verizon, o fator humano intervém em cerca de 6 de cada 10 violações de segurança, e essa segunda parte é a mais difícil de comprovar perante um auditor.
Um auditor não avalia a intenção do programa, avalia o seu registo. Três elementos constroem esse registo.
Cada módulo de formação, exame e newsletter está ligado às cláusulas que cobre. A plataforma mapeia atualmente 194 cláusulas de 12 quadros normativos, pelo que o grau de conformidade lê-se cláusula a cláusula e não como uma estimativa geral.
O que um conselho de administração precisa para decidir sobre risco é bastante diferente do que o resto do pessoal precisa no dia a dia. Cada quadro normativo traz os seus percursos separados, com o nível de detalhe e a linguagem adequados a cada grupo.
A partir da gestão de regulamentações da plataforma verifica o grau de conformidade segundo a formação atribuída a cada pessoa, com o detalhe de quem completou o quê, que resultado obteve e como respondeu a uma simulação.
Cada quadro normativo tem a sua própria página, com o que exige sobre as pessoas e o programa que o satisfaz. O catálogo cresce à medida que entram em vigor novos quadros e mapeamos as suas provas.
Há mais de 10 anos que acompanhamos organizações da banca, da saúde, do setor público e das infraestruturas críticas a reduzir o risco humano e a deixar provas auditáveis de que o fazem. Quando uma organização tem de responder a vários quadros normativos ao mesmo tempo, o mesmo programa cobre as cláusulas de todos eles sem duplicar o trabalho.
Quase todos os quadros normativos de cibersegurança incluem a sensibilização e a formação do pessoal como um requisito exigível. A ISO/IEC 27002:2022 trata-o no controlo 6.3, a PCI DSS no requisito 12.6, a HIPAA no §164.308(a)(5) e a Diretiva NIS 2 exige-o às entidades essenciais e importantes. A forma muda de um quadro para outro e o fundo repete-se em todos. As pessoas têm de ser formadas periodicamente e é preciso conseguir demonstrá-lo.
Serve quando deixa registo. Uma campanha isolada, da qual apenas resta a memória de ter acontecido, não é suficiente. O que um auditor pode revisar é o registo de quem completou cada conteúdo, em que data, com que resultado na avaliação e como respondeu a uma simulação. Esse registo é o que torna verificável a afirmação de que se forma o pessoal.
Não. As obrigações que recaem sobre as pessoas sobrepõem-se bastante entre quadros, pelo que um mesmo conteúdo cobre frequentemente cláusulas de várias normas em simultâneo. Como cada conteúdo está ligado às cláusulas que satisfaz, um único programa alimenta o relatório de conformidade de todos os quadros que lhe sejam aplicáveis.
Os conteúdos já estão produzidos e mapeados, pelo que não há nada para escrever nem é preciso descobrir de início a quem os atribuir. As normas do catálogo trazem programas automáticos que se atribuem e se calendarizam sozinhos. O trabalho concentra-se em definir os grupos de pessoas e o calendário que serve à sua organização. Com as primeiras equipas estamos ainda a afinar o Compliance Center, onde um painel mostra o cumprimento em tempo real e um agente constrói o Plano de cumprimento e vai fechando as lacunas. Contamo-lo em detalhe neste artigo.
Deixe-nos os seus dados e mostramos-lhe como cobrir as obrigações de cada quadro com conteúdos ligados às suas cláusulas, prontos para a sua organização.