b) Gest\u00e3o de incidentes<\/a><\/strong><\/td>\n| Notifica\u00e7\u00e3o inicial em 24 horas e avalia\u00e7\u00e3o de impacto em 72<\/td>\n | O \u00e2mbito do incidente e o registo da resposta, com horas<\/td>\n | A consola devolve de imediato o utilizador do dispositivo afetado, os seus acessos, as suas aplica\u00e7\u00f5es e o hist\u00f3rico de a\u00e7\u00f5es<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\ni) Gest\u00e3o de ativos<\/h3>\nQuase toda a gente tem uma lista de dispositivos. Quase ningu\u00e9m a tem associada a pessoas<\/strong>, e sem essa liga\u00e7\u00e3o n\u00e3o \u00e9 poss\u00edvel demonstrar nem a revoga\u00e7\u00e3o de acessos nem o \u00e2mbito de um incidente.<\/p>\nH\u00e1 uma segunda falha habitual. O invent\u00e1rio fica-se muitas vezes pelos port\u00e1teis, quando a norma inclui tamb\u00e9m os servi\u00e7os contratados a fornecedores externos. No Factorial IT, o invent\u00e1rio re\u00fane hardware, software instalado e vers\u00f5es a partir de uma \u00fanica consola<\/strong>, com uma frota mista de macOS, Windows, Linux, iOS e Android, e cada dispositivo fica associado a uma pessoa, uma equipa e um departamento atrav\u00e9s da liga\u00e7\u00e3o ao sistema de RH. Integra ainda as aplica\u00e7\u00f5es SaaS efetivamente em uso, incluindo as contratadas fora do IT.<\/p>\nA evid\u00eancia que o Factorial IT gera:<\/strong> invent\u00e1rio descarreg\u00e1vel, datado, com um respons\u00e1vel por ativo e a percentagem de cobertura do relat\u00f3rio.<\/p>\ni) Controlo de acessos<\/h3>\nO princ\u00edpio do privil\u00e9gio m\u00ednimo \u00e9 f\u00e1cil de enunciar e dif\u00edcil de comprovar. O que uma auditoria pede n\u00e3o \u00e9 a pol\u00edtica de permiss\u00f5es, mas sim a lista de quem tem acesso a qu\u00ea hoje e desde quando<\/strong>. Na maioria das organiza\u00e7\u00f5es essa lista n\u00e3o existe enquanto tal e tem de ser reconstru\u00edda entrando aplica\u00e7\u00e3o a aplica\u00e7\u00e3o.<\/p>\nO Factorial IT mant\u00e9m esse invent\u00e1rio de acessos por pessoa e automatiza o aprovisionamento consoante a fun\u00e7\u00e3o<\/strong>, com regras que atribuem grupos, permiss\u00f5es e licen\u00e7as a partir dos dados do software de RH. As aplica\u00e7\u00f5es em que a automatiza\u00e7\u00e3o n\u00e3o \u00e9 poss\u00edvel s\u00e3o cobertas por um fluxo de tickets que deixa o mesmo rasto audit\u00e1vel.<\/p>\nA evid\u00eancia que o Factorial IT gera:<\/strong> um registo datado de cria\u00e7\u00f5es, altera\u00e7\u00f5es e revoga\u00e7\u00f5es, e o mapa de acessos por pessoa a qualquer momento.<\/p>\ni) Seguran\u00e7a nos RH<\/h3>\nO procedimento de offboarding est\u00e1 escrito em quase todas as empresas. O que n\u00e3o existe \u00e9 a prova da sua execu\u00e7\u00e3o.<\/p>\n Quase nenhuma organiza\u00e7\u00e3o sabe dizer quantas horas passaram, nas \u00faltimas doze sa\u00eddas, entre o \u00faltimo dia do colaborador e o corte do \u00faltimo acesso. \u00c9 exatamente isso que se audita.<\/p>\n A entrada e a sa\u00edda s\u00e3o despoletadas a partir do pr\u00f3prio software de RH da Factorial, n\u00e3o de um ticket. Quando algu\u00e9m novo entra na equipa, s\u00e3o aprovisionadas contas e acessos consoante a sua fun\u00e7\u00e3o<\/strong>. Quando esse colaborador sai da empresa, s\u00e3o revogados os acessos, \u00e9 bloqueado o dispositivo e s\u00e3o libertadas as licen\u00e7as<\/strong>. Os AI Agents identificam todos os acessos, dispositivos e aplica\u00e7\u00f5es atribu\u00eddos a uma pessoa e executam a sa\u00edda completa, pelo que a revoga\u00e7\u00e3o e o seu registo acontecem no mesmo momento.<\/p>\nA evid\u00eancia que o Factorial IT gera:<\/strong> o rasto completo de cada sa\u00edda, com a hora de revoga\u00e7\u00e3o de cada acesso e o tempo decorrido desde o \u00faltimo dia do colaborador.<\/p>\nh) Criptografia e encripta\u00e7\u00e3o<\/h3>\nA pergunta do auditor nunca \u00e9 se tens encripta\u00e7\u00e3o de disco. \u00c9 em que percentagem da frota de dispositivos est\u00e1 ativa e em que data foi verificada<\/strong>. A pol\u00edtica que imp\u00f5e a encripta\u00e7\u00e3o existe em quase todas as empresas, mas o dado sobre que dispositivos a cumprem hoje n\u00e3o.<\/p>\nO Factorial IT aplica e verifica FileVault e BitLocker em toda a frota<\/strong>, e permite definir pol\u00edticas de configura\u00e7\u00e3o por fun\u00e7\u00e3o, sistema operativo ou estado de seguran\u00e7a. Entram aqui a firewall, o bloqueio de sess\u00e3o, a pol\u00edtica de palavras-passe e as restri\u00e7\u00f5es a perif\u00e9ricos. Os desvios s\u00e3o detetados e corrigidos de forma autom\u00e1tica.<\/p>\nA evid\u00eancia que o Factorial IT gera:<\/strong> a percentagem de conformidade por regra numa data concreta, a lista nominal de dispositivos n\u00e3o conformes e o rasto das remedia\u00e7\u00f5es. \u00c9 essa lista nominal que importa, porque \u00e9 o que transforma um n\u00famero numa evid\u00eancia utiliz\u00e1vel.<\/p>\ne) Aquisi\u00e7\u00e3o e manuten\u00e7\u00e3o de sistemas<\/h3>\nEsta categoria cobre a seguran\u00e7a ao longo da vida de um sistema, desde que \u00e9 comprado at\u00e9 que \u00e9 retirado, e inclui a gest\u00e3o de vulnerabilidades. No posto de trabalho, isso traduz-se em duas coisas, manter o software atualizado<\/strong> e n\u00e3o ter em produ\u00e7\u00e3o sistemas que j\u00e1 n\u00e3o recebem patches<\/strong>.<\/p>\nA primeira coisa faz-se em quase todas as empresas, mas comprova-se em muito poucas. Aplicam-se patches e, ainda assim, n\u00e3o h\u00e1 forma de responder ao tempo m\u00e9dio que decorre entre a publica\u00e7\u00e3o de uma atualiza\u00e7\u00e3o cr\u00edtica e a sua aplica\u00e7\u00e3o em toda a frota, que \u00e9 justamente a m\u00e9trica pedida. A segunda pesa ainda mais, porque um dispositivo com um sistema operativo fora de suporte \u00e9 um incumprimento expl\u00edcito, e n\u00e3o uma recomenda\u00e7\u00e3o, e esses dispositivos costumam aparecer precisamente durante a auditoria.<\/p>\n O que o Factorial IT mant\u00e9m em dia.<\/p>\n \n- O acompanhamento das vers\u00f5es de sistema operativo e aplica\u00e7\u00f5es em toda a frota.<\/li>\n
- As pol\u00edticas de atualiza\u00e7\u00e3o, com o respetivo n\u00edvel de aplica\u00e7\u00e3o por dispositivo.<\/li>\n
- As vulnerabilidades conhecidas detetadas em cada dispositivo, com o respetivo estado de remedia\u00e7\u00e3o.<\/li>\n
- O software fora de suporte, assinalado no pr\u00f3prio invent\u00e1rio.<\/li>\n<\/ul>\n
A evid\u00eancia que o Factorial IT gera:<\/strong> o n\u00edvel de patch por dispositivo, o tempo m\u00e9dio de aplica\u00e7\u00e3o e a lista de sistemas sem suporte.<\/p>\ng) Ciber-higiene<\/h3>\nA ciber-higiene agrupa as pr\u00e1ticas b\u00e1sicas de seguran\u00e7a que se d\u00e3o como garantidas mas que \u00e9 preciso poder demonstrar, e uma delas \u00e9 a prote\u00e7\u00e3o contra c\u00f3digo malicioso<\/strong> em todos os dispositivos. O que se audita n\u00e3o \u00e9 teres um antiv\u00edrus contratado, mas que esteja instalado e ativo em cada dispositivo.<\/p>\nE aqui conv\u00e9m ser preciso. O Factorial IT n\u00e3o \u00e9 o antiv\u00edrus, \u00e9 a camada que demonstra que est\u00e1 l\u00e1 e que funciona.<\/p>\n O que se mostra numa auditoria \u00e9, em geral, a fatura do antiv\u00edrus. O que se verifica \u00e9 a cobertura efetiva, e h\u00e1 quase sempre entre 3% e 8% de dispositivos sem agente ou com o agente parado, normalmente por causa de uma reinstala\u00e7\u00e3o, de um dispositivo novo que ningu\u00e9m inscreveu ou de um utilizador com permiss\u00f5es de administrador local. O Factorial IT verifica o estado do agente de prote\u00e7\u00e3o em cada dispositivo<\/strong> e assinala os que n\u00e3o o t\u00eam.<\/p>\nA evid\u00eancia que o Factorial IT gera:<\/strong> a cobertura efetiva do antimalware, dispositivo a dispositivo, com data.<\/p>\nb) Gest\u00e3o de incidentes<\/h3>\nA NIS2 obriga a notificar os incidentes significativos num prazo muito curto, com um alerta inicial em 24 horas e uma avalia\u00e7\u00e3o de impacto em 72<\/strong>. Cumprir esse calend\u00e1rio depende de conseguir responder depressa a uma pergunta concreta, que \u00e9 at\u00e9 onde chegou o incidente.<\/p>\nO problema n\u00e3o est\u00e1 em detetar, mas em delimitar. O que bloqueia a notifica\u00e7\u00e3o \u00e9 saber que dados, que acessos e que sistemas estavam ao alcance do dispositivo comprometido<\/strong>, e responder a isso \u00e0 m\u00e3o leva dias.<\/p>\nQuando um incidente afeta um dispositivo, a consola devolve de imediato o utilizador, os seus acessos, as suas aplica\u00e7\u00f5es e o hist\u00f3rico de a\u00e7\u00f5es sobre o dispositivo. Inclui bloqueio e elimina\u00e7\u00e3o remota, com o rasto de cada a\u00e7\u00e3o.<\/p>\n A evid\u00eancia que o Factorial IT gera:<\/strong> o \u00e2mbito do incidente e o rasto da resposta, com horas.<\/p>\nOnde o Factorial IT faz o grosso do trabalho<\/h2>\nAl\u00e9m das seis medidas anteriores, h\u00e1 mais quatro em que o Factorial IT resolve a parte que depende dos dados<\/strong>, a mais dispendiosa de reunir, como j\u00e1 vimos. O resto destas medidas completa-se com outras ferramentas ou com um processo interno. N\u00e3o \u00e9 o mesmo que as medidas que o Factorial IT n\u00e3o cobre de todo, que veremos mais \u00e0 frente. Nestes quatro pontos, a ferramenta traz algo concreto, o invent\u00e1rio, a rastreabilidade ou a visibilidade que normalmente demora semanas a reconstruir \u00e0 m\u00e3o.<\/p>\n\n\n\n| Medida (art. 21.2)<\/th>\n | O que exige<\/th>\n | A parte que o Factorial cobre<\/th>\n | A parte que n\u00e3o cobre<\/th>\n<\/tr>\n<\/thead>\n | \n\nb) Gest\u00e3o de incidentes<\/a><\/strong><\/td>\n| Detetar o incidente e delimitar o seu \u00e2mbito para notificar dentro do prazo<\/td>\n | O \u00e2mbito e a rastreabilidade do que aconteceu no dispositivo<\/td>\n | A dete\u00e7\u00e3o. O Factorial IT n\u00e3o \u00e9 um SIEM nem um SOC<\/td>\n<\/tr>\n | \nj) Autentica\u00e7\u00e3o multifator<\/a><\/strong><\/td>\n| Ter a MFA ativa onde se aplique e conseguir demonstrar em que contas o est\u00e1<\/td>\n | A visibilidade sobre que contas a t\u00eam ativa<\/td>\n | A MFA em si, disponibilizada pelo teu fornecedor de identidade<\/td>\n<\/tr>\n | \ni) Revis\u00e3o de acessos<\/a><\/strong><\/td>\n| Verificar periodicamente que cada pessoa tem apenas as permiss\u00f5es de que precisa<\/td>\n | O invent\u00e1rio de acessos por pessoa e a execu\u00e7\u00e3o da revoga\u00e7\u00e3o<\/td>\n | O processo formal de recertifica\u00e7\u00e3o peri\u00f3dica com aprovadores<\/td>\n<\/tr>\n | \nd) Cadeia de abastecimento<\/a><\/strong><\/td>\n| Conhecer e avaliar o risco dos fornecedores e servi\u00e7os em uso<\/td>\n | O invent\u00e1rio real dos servi\u00e7os em uso, incluindo o shadow IT<\/td>\n | A avalia\u00e7\u00e3o e a contrata\u00e7\u00e3o de fornecedores, que \u00e9 um processo<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\nb) Gest\u00e3o de incidentes<\/h3>\nUm incidente de seguran\u00e7a tem dois momentos. Detet\u00e1-lo<\/strong> e, uma vez detetado, perceber at\u00e9 onde chegou<\/strong>. S\u00e3o dois trabalhos distintos, feitos por ferramentas distintas.<\/p>\nA dete\u00e7\u00e3o, ou seja, aperceberes-te de que algo de mau est\u00e1 a acontecer, \u00e9 tarefa de um SIEM ou de um SOC. Um SIEM<\/strong> \u00e9 um sistema que recolhe e correlaciona os registos de toda a infraestrutura para gerar um alarme quando deteta algo an\u00f3malo. Um SOC<\/strong> \u00e9 a equipa de pessoas que vigia esses alarmes. O Factorial IT n\u00e3o \u00e9 nenhuma das duas coisas e n\u00e3o pretende s\u00ea-lo.<\/p>\nO que faz, isso sim, depois de o incidente ser detetado, \u00e9 delimit\u00e1-lo. Quando o dispositivo afetado \u00e9 gerido pelo Factorial IT, a consola devolve de imediato quem o utilizava, a que \u00e9 que essa pessoa tinha acesso e que a\u00e7\u00f5es tinham sido executadas sobre o dispositivo<\/strong>. \u00c9 exatamente o que \u00e9 preciso para notificar dentro do prazo, mas o alarme que despoleta todo o processo vem de outro s\u00edtio.<\/p>\nj) Autentica\u00e7\u00e3o multifator<\/h3>\nA autentica\u00e7\u00e3o multifator (MFA) \u00e9 disponibilizada pelo teu fornecedor de identidade (Google Workspace, Microsoft Entra ID ou outro), que \u00e9 onde os teus colaboradores iniciam sess\u00e3o. O Factorial IT n\u00e3o substitui esse fornecedor nem ativa a MFA por conta pr\u00f3pria<\/strong>.<\/p>\nOnde o Factorial IT ajuda \u00e9 na parte do controlo. A norma n\u00e3o exige apenas ter a MFA, exige poder demonstrar em que contas est\u00e1 realmente ativa<\/strong>, e essa fotografia costuma estar dispersa por v\u00e1rias ferramentas. A integra\u00e7\u00e3o com o fornecedor de identidade permite reunir essa informa\u00e7\u00e3o num \u00fanico s\u00edtio.<\/p>\ni) Revis\u00e3o de acessos<\/h3>\nRever os acessos significa verificar de tempos a tempos que cada pessoa continua a ter apenas as permiss\u00f5es de que precisa<\/strong>, nem mais nem menos. Isto tem duas faces. Uma \u00e9 ter a lista de quem acede a qu\u00ea. A outra \u00e9 o processo formal de sentar um respons\u00e1vel a rever essa lista e a assinar que a aprova, aquilo a que se chama recertifica\u00e7\u00e3o.<\/p>\nO Factorial IT resolve a primeira face. Mant\u00e9m o invent\u00e1rio de acessos por pessoa sempre atualizado<\/strong> e executa a revoga\u00e7\u00e3o quando \u00e9 altura disso. O que n\u00e3o traz \u00e9 o circuito de aprova\u00e7\u00e3o, ou seja, o fluxo em que cada respons\u00e1vel de \u00e1rea rev\u00ea periodicamente os acessos da sua equipa e deixa registo de que os validou.<\/p>\nd) Cadeia de abastecimento<\/h3>\nEsta medida procura controlar o risco que entra pelos teus fornecedores, sobretudo os de software e servi\u00e7os digitais. Tamb\u00e9m tem duas partes. Saber que fornecedores e servi\u00e7os est\u00e1s mesmo a usar, e avaliar e contratar esses fornecedores com as devidas garantias.<\/p>\n \u00c9 na primeira que o Factorial IT d\u00e1 o seu contributo. Descobre as aplica\u00e7\u00f5es SaaS realmente em uso na organiza\u00e7\u00e3o<\/strong>, incluindo as que foram contratadas fora do departamento de IT, aquilo a que se chama shadow IT<\/em>. Esse invent\u00e1rio real \u00e9 o ponto de partida da medida, porque n\u00e3o podes controlar o risco de um fornecedor que nem sabias que estavas a usar. O que fica de fora \u00e9 a segunda parte, a avalia\u00e7\u00e3o e a contrata\u00e7\u00e3o de cada fornecedor<\/strong>, que \u00e9 um processo de neg\u00f3cio e n\u00e3o um dado.<\/p>\nO que o Factorial IT n\u00e3o cobre, e como abord\u00e1-lo<\/h2>\nEstas quatro \u00e1reas ficam fora do Factorial IT, porque nenhuma ferramenta desta categoria cobre as dez medidas do artigo 21.2. Ainda assim, saber como abord\u00e1-las e por que ordem \u00e9 o que separa um projeto de seis semanas de um de seis meses.<\/p>\n \n\n\n| Medida (art. 21.2)<\/th>\n | Porque n\u00e3o \u00e9 software<\/th>\n | O que te poupa o Factorial IT<\/th>\n<\/tr>\n<\/thead>\n | \n\na) Governan\u00e7a, pol\u00edtica e an\u00e1lise de riscos<\/a><\/strong><\/td>\n| S\u00e3o decis\u00f5es de dire\u00e7\u00e3o que algu\u00e9m tem de assinar<\/td>\n | O invent\u00e1rio de ativos, por onde arranca a an\u00e1lise de riscos<\/td>\n<\/tr>\n | \ng) Forma\u00e7\u00e3o e sensibiliza\u00e7\u00e3o<\/a><\/strong><\/td>\n| Requer uma plataforma de forma\u00e7\u00e3o com acompanhamento por colaborador<\/td>\n | A lista de colaboradores por departamento que alimenta essa plataforma<\/td>\n<\/tr>\n | \nc) C\u00f3pias de seguran\u00e7a, continuidade e infraestrutura<\/a><\/strong><\/td>\n| \u00c9 outra camada, feita de servidores, rede e instala\u00e7\u00f5es, n\u00e3o o posto de trabalho<\/td>\n | O invent\u00e1rio de sistemas sobre o qual se define o plano de continuidade<\/td>\n<\/tr>\n | \nf) Supervis\u00e3o, auditoria e teste de intrus\u00e3o<\/a><\/strong><\/td>\n| A supervis\u00e3o cont\u00ednua \u00e9 um SOC e a auditoria \u00e9 feita por um terceiro independente<\/td>\n | A evid\u00eancia que o auditor pede logo na primeira reuni\u00e3o, j\u00e1 gerada<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\na) Governan\u00e7a, pol\u00edtica e an\u00e1lise de riscos<\/h3>\nIsto n\u00e3o \u00e9 software porque s\u00e3o decis\u00f5es de dire\u00e7\u00e3o. Um documento que ningu\u00e9m aprova n\u00e3o vale como evid\u00eancia, e nenhuma ferramenta pode assinar por ti a pol\u00edtica de seguran\u00e7a nem a an\u00e1lise de riscos.<\/p>\n A forma de o abordar \u00e9 com uma consultora<\/strong>, mas delimitando o encargo. Para uma empresa com menos de 300 pessoas, este \u00e9 um projeto de quatro a seis semanas<\/strong>, e deveria entregar-te quatro coisas concretas.<\/p>\n | | | | | | | | | | |