Como é que o Factorial IT ajuda a cumprir a NIS2?

A diretiva NIS2 levanta a mesma dúvida a quem tem de responder por ela, seja de IT, de conformidade ou de direção. O que é preciso fazer ao certo, e por onde começar.

A resposta incómoda é que não se cumpre com uma única ferramenta. Cumpre-se com decisões de direção, processos, infraestrutura e dados, e nenhuma plataforma cobre estas quatro coisas ao mesmo tempo. O que uma ferramenta resolve, isso sim, é a parte que depende dos dados. Que equipamentos tens, em que estado estão, quem acede a quê e desde quando.

Este artigo explica que partes destas medidas podem ser cobertas com o Factorial IT, com que evidência, e como abordar o resto.

A NIS2 não se cumpre com uma única ferramenta

A NIS2 obriga a coisas de natureza muito diferente, que não se resolvem no mesmo sítio nem com o mesmo tipo de fornecedor. O cumprimento assenta em quatro camadas.

• As decisões de direção que alguém tem de assinar.
• Os processos que é preciso definir e executar.
• A infraestrutura, com os seus servidores e a sua rede.
• Os dados sobre que equipamentos tens, em que estado estão e quem acede a quê.

Nenhuma plataforma é capaz de cobrir estas quatro camadas em simultâneo. Uma ferramenta de gestão de dispositivos não pode aprovar um documento de direção, e uma consultora não te consegue reportar em tempo real a percentagem de equipamentos encriptados. Por isso, quando um fornecedor te mostra uma tabela com as dez medidas do artigo 21.2 assinaladas a verde, está apenas a preencher quadrículas.

Das quatro camadas, a dos dados é a que pior se dá com o papel. As outras três demonstram-se com um documento, um procedimento ou uma fatura. Os dados demonstram-se com o estado real da frota de dispositivos numa data concreta, e esse estado muda todos os dias. É também a que consome mais tempo, porque quase nenhuma organização tem o dado à mão. É essa a parte que o Factorial IT resolve.

O que exige o artigo 21.2 da NIS2?

O artigo 21.2 é o coração técnico da diretiva. Enumera as medidas de gestão de riscos que qualquer entidade obrigada tem de aplicar. Se ainda tens dúvidas sobre o que é a NIS2 e quem é abrangido, o nosso artigo dedicado desenvolve o tema em detalhe.

Entidades essenciais e entidades importantes

A NIS2 aplica-se às médias e grandes empresas de uma lista de setores, que divide em dois grupos. Por um lado, as entidades essenciais, em setores de elevada criticidade como energia, transportes, banca ou saúde. Por outro, as entidades importantes, em setores igualmente relevantes mas com um regime um pouco menos exigente. Para saber as diferenças entre entidades essenciais e entidades importantes, podes ler o nosso artigo dedicado.

A diferença entre as duas não está nas medidas de segurança, que são as mesmas, mas na supervisão. As entidades essenciais podem ser fiscalizadas a qualquer momento, ao passo que as entidades importantes só são supervisionadas quando há indícios de incumprimento. As coimas também são mais elevadas para as primeiras.

Há um terceiro grupo que a norma não obriga diretamente, mas que acaba por ser afetado da mesma forma. Se vendes a uma empresa obrigada a cumprir a NIS2, o mais provável é que te exija também esses mesmos requisitos por contrato. Aqui o prazo não é a lei que o marca, é o teu cliente.

As dez categorias de medidas e quais se demonstram com dados

O artigo 21.2 da NIS2 enumera dez categorias de medidas.

• a) Análise de riscos e política de segurança: a base que sustenta tudo o resto. É preciso identificar os ativos críticos, avaliar o que lhes pode acontecer e aprovar uma política assinada por um responsável.
• b) Gestão de incidentes: deteção, resposta e notificação dentro do prazo. A NIS2 fixa 24 horas para o alerta inicial e 72 horas para a avaliação de impacto, pelo que o que se audita é a capacidade de reagir depressa.
• c) Continuidade de negócio: cópias de segurança, recuperação e gestão de crises. Trata-se de saber que serviços são críticos, quanto tempo podes ficar sem eles e quem faz o quê entretanto.
• d) Segurança da cadeia de abastecimento: controlo dos fornecedores e dos serviços que te prestam. Inclui o software de terceiros que utilizas, não só quem te presta um serviço gerido.
• e) Aquisição e manutenção de sistemas: incluindo a gestão de vulnerabilidades. Entram aqui o patching, a retirada de sistemas fora de suporte e a segurança no desenvolvimento se produzes software próprio.
• f) Avaliação da eficácia das medidas: comprovar que o que foi aplicado funciona mesmo. Uma política que ninguém revê não conta como medida implementada.
• g) Ciber-higiene e formação: práticas básicas de segurança e sensibilização dos colaboradores. Abrange desde a proteção antimalware até à formação periódica, com registo de quem a concluiu.
• h) Criptografia e encriptação: políticas de encriptação aplicadas e verificadas. A pergunta não é se tens a política, mas em que percentagem da frota de dispositivos a encriptação está ativa.
• i) Segurança nos RH, controlo de acessos e gestão de ativos: o ciclo de vida de pessoas, contas e dispositivos. É a categoria mais ampla das dez e a que gera mais trabalho operacional.
• j) Autenticação multifator: MFA e comunicações seguras onde se aplique. É o teu fornecedor de identidade que a disponibiliza, mas tens de conseguir demonstrar em que contas está ativa.

Destas dez medidas, seis demonstram-se sobretudo com documentação e processos. Escreves a política, defines o procedimento, guardas a ata. As outras quatro, mais partes de duas das anteriores, não se demonstram com um documento, mas sim com o estado real dos teus dispositivos e acessos numa data concreta.

E essa segunda parte, a que se demonstra com dados, é precisamente a que o Factorial IT gera de forma contínua. Vejamos em detalhe.

Que medidas da NIS2 cobre o Factorial IT?

Uma ferramenta deste tipo não substitui um consultor nem um auditor. O que faz, isso sim, é gerar por conta própria metade do processo que vais ter de apresentar, a parte que se demonstra com dados. Estas são as seis medidas cobertas e a evidência que resulta de cada uma.

i) Gestão de ativos

Quase toda a gente tem uma lista de dispositivos. Quase ninguém a tem associada a pessoas, e sem essa ligação não é possível demonstrar nem a revogação de acessos nem o âmbito de um incidente.

Há uma segunda falha habitual. O inventário fica-se muitas vezes pelos portáteis, quando a norma inclui também os serviços contratados a fornecedores externos. No Factorial IT, o inventário reúne hardware, software instalado e versões a partir de uma única consola, com uma frota mista de macOS, Windows, Linux, iOS e Android, e cada dispositivo fica associado a uma pessoa, uma equipa e um departamento através da ligação ao sistema de RH. Integra ainda as aplicações SaaS efetivamente em uso, incluindo as contratadas fora do IT.

A evidência que o Factorial IT gera: inventário descarregável, datado, com um responsável por ativo e a percentagem de cobertura do relatório.

i) Controlo de acessos

O princípio do privilégio mínimo é fácil de enunciar e difícil de comprovar. O que uma auditoria pede não é a política de permissões, mas sim a lista de quem tem acesso a quê hoje e desde quando. Na maioria das organizações essa lista não existe enquanto tal e tem de ser reconstruída entrando aplicação a aplicação.

O Factorial IT mantém esse inventário de acessos por pessoa e automatiza o aprovisionamento consoante a função, com regras que atribuem grupos, permissões e licenças a partir dos dados do software de RH. As aplicações em que a automatização não é possível são cobertas por um fluxo de tickets que deixa o mesmo rasto auditável.

A evidência que o Factorial IT gera: um registo datado de criações, alterações e revogações, e o mapa de acessos por pessoa a qualquer momento.

i) Segurança nos RH

O procedimento de offboarding está escrito em quase todas as empresas. O que não existe é a prova da sua execução.

Quase nenhuma organização sabe dizer quantas horas passaram, nas últimas doze saídas, entre o último dia do colaborador e o corte do último acesso. É exatamente isso que se audita.

A entrada e a saída são despoletadas a partir do próprio software de RH da Factorial, não de um ticket. Quando alguém novo entra na equipa, são aprovisionadas contas e acessos consoante a sua função. Quando esse colaborador sai da empresa, são revogados os acessos, é bloqueado o dispositivo e são libertadas as licenças. Os AI Agents identificam todos os acessos, dispositivos e aplicações atribuídos a uma pessoa e executam a saída completa, pelo que a revogação e o seu registo acontecem no mesmo momento.

A evidência que o Factorial IT gera: o rasto completo de cada saída, com a hora de revogação de cada acesso e o tempo decorrido desde o último dia do colaborador.

h) Criptografia e encriptação

A pergunta do auditor nunca é se tens encriptação de disco. É em que percentagem da frota de dispositivos está ativa e em que data foi verificada. A política que impõe a encriptação existe em quase todas as empresas, mas o dado sobre que dispositivos a cumprem hoje não.

O Factorial IT aplica e verifica FileVault e BitLocker em toda a frota, e permite definir políticas de configuração por função, sistema operativo ou estado de segurança. Entram aqui a firewall, o bloqueio de sessão, a política de palavras-passe e as restrições a periféricos. Os desvios são detetados e corrigidos de forma automática.

A evidência que o Factorial IT gera: a percentagem de conformidade por regra numa data concreta, a lista nominal de dispositivos não conformes e o rasto das remediações. É essa lista nominal que importa, porque é o que transforma um número numa evidência utilizável.

e) Aquisição e manutenção de sistemas

Esta categoria cobre a segurança ao longo da vida de um sistema, desde que é comprado até que é retirado, e inclui a gestão de vulnerabilidades. No posto de trabalho, isso traduz-se em duas coisas, manter o software atualizado e não ter em produção sistemas que já não recebem patches.

A primeira coisa faz-se em quase todas as empresas, mas comprova-se em muito poucas. Aplicam-se patches e, ainda assim, não há forma de responder ao tempo médio que decorre entre a publicação de uma atualização crítica e a sua aplicação em toda a frota, que é justamente a métrica pedida. A segunda pesa ainda mais, porque um dispositivo com um sistema operativo fora de suporte é um incumprimento explícito, e não uma recomendação, e esses dispositivos costumam aparecer precisamente durante a auditoria.

O que o Factorial IT mantém em dia.

• O acompanhamento das versões de sistema operativo e aplicações em toda a frota.
• As políticas de atualização, com o respetivo nível de aplicação por dispositivo.
• As vulnerabilidades conhecidas detetadas em cada dispositivo, com o respetivo estado de remediação.
• O software fora de suporte, assinalado no próprio inventário.

A evidência que o Factorial IT gera: o nível de patch por dispositivo, o tempo médio de aplicação e a lista de sistemas sem suporte.

g) Ciber-higiene

A ciber-higiene agrupa as práticas básicas de segurança que se dão como garantidas mas que é preciso poder demonstrar, e uma delas é a proteção contra código malicioso em todos os dispositivos. O que se audita não é teres um antivírus contratado, mas que esteja instalado e ativo em cada dispositivo.

E aqui convém ser preciso. O Factorial IT não é o antivírus, é a camada que demonstra que está lá e que funciona.

O que se mostra numa auditoria é, em geral, a fatura do antivírus. O que se verifica é a cobertura efetiva, e há quase sempre entre 3% e 8% de dispositivos sem agente ou com o agente parado, normalmente por causa de uma reinstalação, de um dispositivo novo que ninguém inscreveu ou de um utilizador com permissões de administrador local. O Factorial IT verifica o estado do agente de proteção em cada dispositivo e assinala os que não o têm.

A evidência que o Factorial IT gera: a cobertura efetiva do antimalware, dispositivo a dispositivo, com data.

b) Gestão de incidentes

A NIS2 obriga a notificar os incidentes significativos num prazo muito curto, com um alerta inicial em 24 horas e uma avaliação de impacto em 72. Cumprir esse calendário depende de conseguir responder depressa a uma pergunta concreta, que é até onde chegou o incidente.

O problema não está em detetar, mas em delimitar. O que bloqueia a notificação é saber que dados, que acessos e que sistemas estavam ao alcance do dispositivo comprometido, e responder a isso à mão leva dias.

Quando um incidente afeta um dispositivo, a consola devolve de imediato o utilizador, os seus acessos, as suas aplicações e o histórico de ações sobre o dispositivo. Inclui bloqueio e eliminação remota, com o rasto de cada ação.

A evidência que o Factorial IT gera: o âmbito do incidente e o rasto da resposta, com horas.

Onde o Factorial IT faz o grosso do trabalho

Além das seis medidas anteriores, há mais quatro em que o Factorial IT resolve a parte que depende dos dados, a mais dispendiosa de reunir, como já vimos. O resto destas medidas completa-se com outras ferramentas ou com um processo interno. Não é o mesmo que as medidas que o Factorial IT não cobre de todo, que veremos mais à frente. Nestes quatro pontos, a ferramenta traz algo concreto, o inventário, a rastreabilidade ou a visibilidade que normalmente demora semanas a reconstruir à mão.

b) Gestão de incidentes

Um incidente de segurança tem dois momentos. Detetá-lo e, uma vez detetado, perceber até onde chegou. São dois trabalhos distintos, feitos por ferramentas distintas.

A deteção, ou seja, aperceberes-te de que algo de mau está a acontecer, é tarefa de um SIEM ou de um SOC. Um SIEM é um sistema que recolhe e correlaciona os registos de toda a infraestrutura para gerar um alarme quando deteta algo anómalo. Um SOC é a equipa de pessoas que vigia esses alarmes. O Factorial IT não é nenhuma das duas coisas e não pretende sê-lo.

O que faz, isso sim, depois de o incidente ser detetado, é delimitá-lo. Quando o dispositivo afetado é gerido pelo Factorial IT, a consola devolve de imediato quem o utilizava, a que é que essa pessoa tinha acesso e que ações tinham sido executadas sobre o dispositivo. É exatamente o que é preciso para notificar dentro do prazo, mas o alarme que despoleta todo o processo vem de outro sítio.

j) Autenticação multifator

A autenticação multifator (MFA) é disponibilizada pelo teu fornecedor de identidade (Google Workspace, Microsoft Entra ID ou outro), que é onde os teus colaboradores iniciam sessão. O Factorial IT não substitui esse fornecedor nem ativa a MFA por conta própria.

Onde o Factorial IT ajuda é na parte do controlo. A norma não exige apenas ter a MFA, exige poder demonstrar em que contas está realmente ativa, e essa fotografia costuma estar dispersa por várias ferramentas. A integração com o fornecedor de identidade permite reunir essa informação num único sítio.

i) Revisão de acessos

Rever os acessos significa verificar de tempos a tempos que cada pessoa continua a ter apenas as permissões de que precisa, nem mais nem menos. Isto tem duas faces. Uma é ter a lista de quem acede a quê. A outra é o processo formal de sentar um responsável a rever essa lista e a assinar que a aprova, aquilo a que se chama recertificação.

O Factorial IT resolve a primeira face. Mantém o inventário de acessos por pessoa sempre atualizado e executa a revogação quando é altura disso. O que não traz é o circuito de aprovação, ou seja, o fluxo em que cada responsável de área revê periodicamente os acessos da sua equipa e deixa registo de que os validou.

d) Cadeia de abastecimento

Esta medida procura controlar o risco que entra pelos teus fornecedores, sobretudo os de software e serviços digitais. Também tem duas partes. Saber que fornecedores e serviços estás mesmo a usar, e avaliar e contratar esses fornecedores com as devidas garantias.

É na primeira que o Factorial IT dá o seu contributo. Descobre as aplicações SaaS realmente em uso na organização, incluindo as que foram contratadas fora do departamento de IT, aquilo a que se chama shadow IT. Esse inventário real é o ponto de partida da medida, porque não podes controlar o risco de um fornecedor que nem sabias que estavas a usar. O que fica de fora é a segunda parte, a avaliação e a contratação de cada fornecedor, que é um processo de negócio e não um dado.

O que o Factorial IT não cobre, e como abordá-lo

Estas quatro áreas ficam fora do Factorial IT, porque nenhuma ferramenta desta categoria cobre as dez medidas do artigo 21.2. Ainda assim, saber como abordá-las e por que ordem é o que separa um projeto de seis semanas de um de seis meses.

a) Governança, política e análise de riscos

Isto não é software porque são decisões de direção. Um documento que ninguém aprova não vale como evidência, e nenhuma ferramenta pode assinar por ti a política de segurança nem a análise de riscos.

A forma de o abordar é com uma consultora, mas delimitando o encargo. Para uma empresa com menos de 300 pessoas, este é um projeto de quatro a seis semanas, e deveria entregar-te quatro coisas concretas.

• A política de segurança.
• A atribuição de funções, com nome e apelido.
• A análise de riscos sobre os ativos críticos.
• A ata de aprovação do órgão de administração.

Pede um orçamento fechado por entregável, não à hora. Além disso, chegas com vantagem, já que a análise de riscos arranca sempre pelo inventário de ativos, que costuma ser o primeiro mês de trabalho da consultora. Se o trazes já feito e associado a pessoas, saltas esse mês e entras diretamente na análise.

g) Formação e sensibilização

A alínea g) do artigo 21.2 tem duas metades. Uma é a ciber-higiene técnica, que inclui o antimalware e que o Factorial IT cobre. A outra é a formação dos colaboradores em segurança, e essa fica de fora, porque para a dar é preciso uma plataforma específica que registe quem concluiu cada curso.

É a medida mais barata de todas e, ao mesmo tempo, a que mais costuma ficar para trás. Uma plataforma de simulação de phishing e microformação custa pouco por colaborador e por ano, e a única coisa que se audita é a existência do registo de quem fez a formação. Contrata-se uma vez e quase não exige acompanhamento.

A sua única manutenção real é manter atualizada a lista de colaboradores que a alimenta, organizada por departamento. E essa lista é precisamente a que o Factorial IT já tem em dia, em vez de ser gerida à mão numa folha à parte.

c) Cópias de segurança, continuidade e infraestrutura

É a mais heterogénea das quatro. Sob a mesma epígrafe cabem o backup e a recuperação, o plano de continuidade e de recuperação de desastres, a segurança de rede e a firewall perimetral, os servidores e as cargas de trabalho na cloud, e o controlo de acessos físicos. Nada disto é terreno do Factorial IT.

A primeira coisa é separar dois elementos que costumam andar juntos mas não são o mesmo. Por um lado, a ferramenta de backup, que é uma compra e se resolve com o teu integrador habitual. Por outro, o plano de continuidade, que não se compra, escreve-se e ensaia-se, e isso sim exige tempo interno. Consiste em definir que serviços são críticos, quanto tempo podes ficar sem eles e quem faz o quê entretanto. Convém começar pelos poucos serviços sem os quais a empresa para de imediato, não pela lista completa de sistemas.

Aqui o inventário volta a ser o ponto de partida, porque não podes definir um plano de continuidade sobre sistemas que nem sequer estão identificados.

f) Supervisão, auditoria e teste de intrusão

Esta medida agrupa as três formas de comprovar que aquilo que implementaste funciona mesmo. A supervisão é vigiar os sistemas de forma contínua para detetar atividade anómala. A auditoria é a revisão, interna ou externa, que verifica que as medidas estão implementadas e são cumpridas. E o teste de intrusão, ou pentest, é contratar alguém para tentar entrar nos teus sistemas como o faria um atacante, e assim encontrar as falhas antes deles.

Nada disto o faz o Factorial IT, e por motivos diferentes em cada caso. A supervisão contínua é um SOC, ou seja, uma equipa que vigia alertas a toda a hora, de que já falámos na secção dos incidentes. A auditoria, por definição, tem de ser feita por um terceiro independente que não seja o teu fornecedor. E o pentest é executado por uma empresa especializada em segurança ofensiva. São três fornecedores externos, não uma função de software.

O que te pode orientar, isso sim, é a ordem, porque aqui há um conselho que poupa dinheiro. A supervisão avançada do tipo SOC só é exigível às entidades essenciais, por isso, se és uma entidade importante, não a contrates antes de teres fechadas as medidas básicas, porque é a despesa mais alta do projeto e a que menos urge. A auditoria e o pentest ficam para o fim, quando já há algo para auditar, e contratam-se a um terceiro acreditado.

Como cumprir a NIS2 de princípio a fim?

Ao longo do artigo, as dez medidas do artigo 21.2 foram separadas em três grupos. As seis que o Factorial IT cobre com dados, as que cobre a meias e as que ficam de fora porque são decisões, documentos ou fornecedores externos. O problema de separar assim é que depois alguém tem de juntar todas as peças.

A resposta é que não tens de as juntar tu. O Factorial IT resolve a camada técnica, a que se demonstra com o estado real dos teus dispositivos e acessos, enquanto uma equipa de especialistas e parceiros especializados em conformidade trata da política, da análise de riscos, da continuidade e da auditoria. E não o fazem por conta própria, apoiam-se nos dados que o Factorial IT já gera, pelo que a evidência produzida pela ferramenta é a mesma que eles usam para montar o processo completo. O que seria um projeto com cinco interlocutores diferentes torna-se um serviço de princípio a fim.

➡️ EM CONFORMIDADE COM A NIS2 EM POUCAS SEMANAS. O Factorial IT combina MDM, gestão de acessos e um consultor de conformidade dedicado para te levar de zero à conformidade com a NIS2. ⬅️

Não é uma decisão que valha a pena adiar. O incumprimento da NIS2 acarreta coimas até 10 milhões de euros ou 2% do volume de negócios global para as entidades essenciais, e responsabilidade direta dos órgãos de gestão. Chegar tarde e à última hora é a forma mais cara de cumprir. Começar pela parte que se resolve com dados, e apoiar-se num parceiro para o resto, é a mais previsível.