Questionário de compliance em cibersegurança

Governação

01. Existe um responsável identificado pela segurança da informação e um orçamento associado?

Governação

02. Existe uma política de segurança da informação aprovada e comunicada às equipas?

Governação

03. A Organização verificou se está abrangida pela diretiva NIS2 ou por requisitos setoriais equivalentes?

Ativos e acessos

04. Existe um inventário atualizado de equipamentos, sistemas e aplicações (incluindo serviços cloud)?

Ativos e acessos

05. Os acessos seguem o princípio do menor privilégio, com revisão periódica de permissões?

Ativos e acessos

06. A autenticação multifator (MFA) está ativa no email, VPN e aplicações críticas?

Proteção técnica

07. As atualizações de segurança de sistemas e aplicações são aplicadas de forma controlada e atempada?

Proteção técnica

08. Existem cópias de segurança testadas com regularidade e pelo menos uma cópia isolada da rede?

Proteção técnica

09. Existe proteção de endpoint (antivírus/EDR) e registo centralizado de eventos?

Pessoas

10. São realizadas ações de sensibilização em cibersegurança e simulações de phishing?

Pessoas

11. Os colaboradores sabem como e a quem reportar um incidente de segurança?

Incidentes

12. Existe um plano de resposta a incidentes documentado, com papéis e contactos definidos?

Incidentes

13. Existe um plano de continuidade de negócio e recuperação, testado pelo menos uma vez por ano?

Dados e RGPD

14. Existe registo de atividades de tratamento de dados pessoais e procedimento de resposta a violações (72 horas)?

Fornecedores

15. Os fornecedores tecnológicos críticos são avaliados quanto a requisitos de segurança e contratos incluem cláusulas específicas?