Maturidade em segurança dos sistemas de informação · Regulamento COBAC segurança de SI
Sua segurança de SI avaliada segundo as exigências da COBAC, traduzida em plano de ação com valores definidos.
10 temas, undefined perguntas, uma escala de 5 níveis. E a ação que faz cada nível avançar para o seguinte.
Os 10 temas do referencial, já redigidos de N1 a N5. Uma empresa, uma unidade de negócio, ou 300 ao mesmo tempo.
Maturidade em segurança dos sistemas de informação · Regulamento COBAC segurança de SI
10 temas, undefined perguntas, escala de 5 níveis.
Nordhavn Industries
53 / 100
Eles medem sua maturidade com a Datamensio
Um exemplo
Essa situação poderia ser a sua.
Vamos pegar o exemplo de uma empresa: três unidades, três planilhas, nenhuma resposta em comum.
Ninguém sabe consolidar.
A Nordhavn Industries, 2.400 pessoas em Hamburgo, Lyon e Porto. Um cliente pergunta como está o grupo. Cada unidade responde na sua própria planilha, com suas próprias escalas.
Três semanas, uma única base.
Um diagnóstico Regulamento COBAC relativo à segurança dos sistemas de informação das instituições sujeitas (Comissão Bancária da África Central, CEMAC) iniciado nas três unidades ao mesmo tempo, a partir das anotações de entrevista dos responsáveis. O referencial já estava escrito, os 10 temas e os níveis N1 a N5 também.
Dois gastos evitados antes de serem assumidos.
Um score de 53 em 100, um desvio concentrado em três temas. O assistente de IA identificou que duas ações do plano se repetiam com as de outra auditoria. A apresentação dos resultados ao comitê foi solicitada em uma frase.
O que isso evitou para eles
- 3unidades medidas na mesma base, em vez de três questionários para retrabalhar
- 2ações duplicadas detectadas antes do gasto
- 1apresentação dos resultados ao comitê, sem retrabalho manual
Esses números são de um exemplo. Eles poderiam ser os seus.
A norma impõe processos. A Datamensio mostra onde você está.
01
O referencial já está escrito
Temas, perguntas e níveis N1 a N5 redigidos. Você não começa de uma planilha vazia.
02
O score sai no mesmo dia
On-line, por link de autoavaliação ou em entrevista. Tema por tema, comparável ao longo do tempo.
03
O desvio vira um plano com custos definidos
Cada passagem de nível traz sua ação. A IA prioriza pelo efeito esperado, não pela ordem da norma.
04
A evolução se comprova
Campanha após campanha, contra sua meta e contra seu histórico. É o que sua diretoria pede.
A escala de maturidade
Um nível, o seguinte, e a ação que liga os dois.
É esse mecanismo (um nível, um nível seguinte, e a ação que liga os dois) que transforma uma constatação em trajetória.
As permissões de acesso às aplicações sensíveis são revisadas periodicamente?
- N1
Nenhuma revisão organizada. Os direitos são concedidos na entrada em função e raramente revogados em movimentações internas ou desligamentos.
- N2
Revisões acontecem pontualmente, por ocasião de uma missão de controle ou de um incidente. O escopo e o método variam.
- N3
Uma revisão é planejada em data fixa para as aplicações sensíveis. Os responsáveis de negócio validam os direitos de suas equipes e as lacunas são corrigidas.
- N4
A revisão cobre todas as aplicações, incluindo contas privilegiadas e contas de fornecedores. Os resultados são registrados e comunicados ao controle permanente.
- N5
As lacunas recorrentes alimentam a revisão dos perfis e dos procedimentos de permissão, com acompanhamento documentado das revisões e indicadores apresentados ao órgão deliberativo.
Ação para passar de N2 a N3
Definir um calendário de revisão semestral para a lista de aplicações sensíveis, designar para cada uma um validador de negócio, e incluir a apresentação dos resultados das lacunas na pauta do próximo comitê de controle interno.
« Graças à Datamensio, cumprimos nossas metas com muito mais eficiência. Os serviços de inspeção do FEDER e do nosso ministério supervisor apreciaram especialmente essa abordagem, que lhes traz dados confiáveis. »
Diretora da CCI 94CCI Île-de-France
« Acreditamos que essa é a solução mais adequada para levar nosso projeto de transformação em escala e medir o impacto de acordo com nossas necessidades. »
Maja SucekChief Operating Officer, Interreg Danube
Raramente sozinho
Um referencial se combina. Associe vários para cobrir sua atividade, ou peça para a IA escrever o seu.
Faça sua primeira mediçãoem COBAC.
Do que trata esse referencial
O regulamento COBAC sobre segurança dos sistemas de informação exige das instituições sujeitas da zona CEMAC um dispositivo formalizado de controle do risco de TI. Ele abrange a governança do SI e a responsabilidade do órgão deliberativo, a política de segurança, a classificação de ativos e dados, a gestão de acessos e permissões, a segurança de infraestruturas e aplicações, a continuidade e recuperação de negócios, a gestão de incidentes e sua notificação à Comissão Bancária, além do controle de fornecedores de TI. O controle periódico e o reporte ao supervisor completam o dispositivo.
Na prática, a exigência é mais fácil de enunciar do que de gerenciar. As instituições da sub-região costumam combinar um núcleo bancário antigo, meios de pagamento terceirizados, canais recentes de banco digital e agências com conexões heterogêneas. Três perguntas aparecem sistematicamente. A política de segurança é realmente aplicada nas filiais e agências, ou apenas aprovada na matriz? As permissões são revisadas em data fixa, incluindo as contas de fornecedores e as contas privilegiadas? O plano de continuidade foi testado em um cenário real, com ata utilizável pelo controle periódico?
Duas confusões merecem ser esclarecidas. A primeira é equiparar a conformidade com o regulamento à existência de um orçamento de TI e de um firewall: o texto trata de um dispositivo de controle, ou seja, de funções, procedimentos, evidências e revisões, não de um inventário de equipamentos. A segunda é tratar a segurança de SI como um assunto puramente técnico, quando o regulamento envolve o órgão deliberativo e se articula com os dispositivos de controle interno, risco operacional e terceirização já exigidos pela COBAC. O mapeamento dos riscos de TI deve constar no mapeamento de riscos da instituição.
Uma auditoria de conformidade conclui com um veredito binário: a exigência é atendida ou não é. O diagnóstico de maturidade responde a outra pergunta. Ele posiciona cada prática em uma escala progressiva, do gesto pontual ao dispositivo gerenciado e revisado, e indica a ação precisa que leva ao nível seguinte. Essa leitura é a que uma diretoria executiva precisa para decidir entre diversas frentes em um mesmo exercício e justificar suas prioridades perante o comitê de auditoria.
O referencial está pronto para uso no Datamensio e continua adaptável. A IA ajusta os temas, as perguntas e os níveis ao seu perfil, banco comercial, instituição de microfinanças ou instituição de pagamento, ou cria uma versão específica a partir de sua política de segurança e de seus relatórios de controle. As lacunas identificadas alimentam diretamente um roteiro priorizado, consolidável em várias entidades do grupo.
Norma de referência: Regulamento COBAC relativo à segurança dos sistemas de informação das instituições sujeitas (Comissão Bancária da África Central, CEMAC)
Os temas avaliados
Governança do sistema de informação
Envolvimento do órgão deliberativo e do órgão executivo, estratégia de SI aprovada, comitê dedicado, funções e responsabilidades, nomeação e posicionamento do responsável pela segurança, recursos alocados.
Política de segurança e conjunto documental
Política de segurança formalizada e validada, procedimentos de aplicação, abrangência, divulgação às entidades e filiais, ciclo de revisão.
Mapeamento dos ativos e riscos de TI
Inventário de ativos e aplicações, classificação de dados, identificação de vulnerabilidades, avaliação de riscos, articulação com o mapeamento de riscos operacionais.
Gestão de identidades e permissões
Concessão e revogação de direitos, segregação de funções, contas privilegiadas, contas de fornecedores, autenticação, revisão periódica das permissões e rastreabilidade.
Segurança de infraestruturas e aplicações
Proteção de redes e estações de trabalho, segmentação, criptografia, gestão de correções, segurança dos canais de banco digital e dos meios de pagamento, testes de invasão.
Operação e gestão de mudanças
Procedimentos operacionais, gestão de implantações, ambientes de teste separados, backups e restaurações verificados, registro de logs e monitoramento.
Continuidade e recuperação de negócios
Plano de continuidade de negócios e plano de recuperação de TI, site alternativo, objetivos de recuperação, cenários testados, atas de exercício, atualização após teste.
Gestão de incidentes de segurança
Detecção e classificação, registro de incidentes, prazos de tratamento, notificação à Comissão Bancária, análise de causas, lições aprendidas.
Fornecedores e terceirização de TI
Cláusulas contratuais de segurança e auditoria, reversibilidade, níveis de serviço, controle de fornecedores de gestão de TI e de meios de pagamento, localização e acesso aos dados.
Controle, reporte e melhoria contínua
Cobertura do SI pelo controle permanente e periódico, indicadores acompanhados, reporte ao órgão deliberativo e ao supervisor, acompanhamento de recomendações, conscientização dos colaboradores.
Uma versão curta do referencial, com undefined perguntas, está disponível para autoavaliação on-line. A versão completa tem 10 temas e undefined perguntas.
Perguntas frequentes
O regulamento COBAC segurança de SI gera alguma certificação?
Não. Trata-se de um regulamento prudencial cujo cumprimento é verificado pela Comissão Bancária da África Central, por meio de reporte e missões de inspeção. O Datamensio mede a maturidade do seu dispositivo e prepara você para esses prazos, mas não emite nenhum atestado.
Qual a diferença entre esse diagnóstico e uma auditoria de conformidade?
A auditoria conclui exigência por exigência, atendida ou não. O diagnóstico posiciona cada prática em uma escala de maturidade e indica a ação que leva ao nível seguinte. Os dois se complementam: o diagnóstico prepara a missão e prioriza as frentes de trabalho, a auditoria valida.
Quanto tempo leva a avaliação?
A versão curta é preenchida em uma sessão de trabalho. A versão completa, em modo colaborativo com a TI, o responsável pela segurança da informação e o controle interno, geralmente leva de uma a duas semanas, sendo a maior parte do tempo dedicada a reunir evidências junto às equipes.
O referencial é adaptável a uma instituição de microfinanças ou de pagamento?
Sim. Os temas, as perguntas e os níveis podem ser modificados, e a IA gera uma versão adaptada ao seu porte e perfil de atividade a partir de seus documentos internos. Você continua sendo o proprietário do seu referencial.
Como tratar várias filiais em diferentes países da zona?
Cada entidade realiza sua avaliação com o mesmo referencial. As pontuações são comparáveis por unidade de negócio e ao longo do tempo, e um roteiro transversal consolida as ações comuns sem duplicá-las entidade por entidade.
É preciso conhecimento técnico para responder?
As perguntas tratam do dispositivo de controle, não de configurações técnicas. Um responsável pelo controle interno pode preencher boa parte do referencial. O modo colaborativo permite direcionar as perguntas técnicas ao responsável competente.
Como esse diagnóstico se articula com o controle interno e o risco operacional?
As exigências se sobrepõem em grande medida: mapeamento de riscos, dispositivo de controle, gestão de incidentes, controle de fornecedores. As avaliações realizadas nesses referenciais se cruzam em um único roteiro, evitando tratar a mesma ação duas vezes.
Onde os dados ficam armazenados?
Na França, na OVH, com backup na Scaleway. Nenhuma transferência para fora da União Europeia. Os modelos de IA utilizados podem ser selecionados, inclusive entre soluções europeias.