Maturidade em Gestão de crises cibernéticas · Resiliência após um ataque
Sua capacidade de resistir e retomar operações após um ataque, medida e traduzida em plano de ação.
12 temas, undefined perguntas, uma escala de 5 níveis. E a ação que faz cada nível avançar para o seguinte.
Os 12 temas do referencial, já redigidos de N1 a N5. Uma empresa, uma unidade de negócio, ou 300 ao mesmo tempo.
Maturidade em Gestão de crises cibernéticas · Resiliência após um ataque
12 temas, undefined perguntas, escala de 5 níveis.
Nordhavn Industries
53 / 100
Eles medem sua maturidade com a Datamensio
Um exemplo
Essa situação poderia ser a sua.
Vamos pegar o exemplo de uma empresa: três unidades, três planilhas, nenhuma resposta em comum.
Ninguém sabe consolidar.
A Nordhavn Industries, 2.400 pessoas em Hamburgo, Lyon e Porto. Um cliente pergunta como está o grupo. Cada unidade responde na sua própria planilha, com suas próprias escalas.
Três semanas, uma única base.
Um diagnóstico Referencial de gestão de crises cibernéticas, alinhado à ISO 22301, à ISO/IEC 27035 e ao guia da ANSSI de gestão de crises cibernéticas iniciado nas três unidades ao mesmo tempo, a partir das anotações de entrevista dos responsáveis. O referencial já estava escrito, os 12 temas e os níveis N1 a N5 também.
Dois gastos evitados antes de serem assumidos.
Um score de 53 em 100, um desvio concentrado em três temas. O assistente de IA identificou que duas ações do plano se repetiam com as de outra auditoria. A apresentação dos resultados ao comitê foi solicitada em uma frase.
O que isso evitou para eles
- 3unidades medidas na mesma base, em vez de três questionários para retrabalhar
- 2ações duplicadas detectadas antes do gasto
- 1apresentação dos resultados ao comitê, sem retrabalho manual
Esses números são de um exemplo. Eles poderiam ser os seus.
A norma impõe processos. A Datamensio mostra onde você está.
01
O referencial já está escrito
Temas, perguntas e níveis N1 a N5 redigidos. Você não começa de uma planilha vazia.
02
O score sai no mesmo dia
On-line, por link de autoavaliação ou em entrevista. Tema por tema, comparável ao longo do tempo.
03
O desvio vira um plano com custos definidos
Cada passagem de nível traz sua ação. A IA prioriza pelo efeito esperado, não pela ordem da norma.
04
A evolução se comprova
Campanha após campanha, contra sua meta e contra seu histórico. É o que sua diretoria pede.
A escala de maturidade
Um nível, o seguinte, e a ação que liga os dois.
É esse mecanismo (um nível, um nível seguinte e a ação que liga os dois) que transforma uma constatação em trajetória.
A capacidade de restaurar os sistemas essenciais a partir dos backups é verificada?
- N1
Nenhum teste de restauração. A existência dos backups é constatada pelos registros, sem verificação da sua utilidade real.
- N2
Restaurações são realizadas pontualmente, a pedido de um usuário ou em razão de um incidente, sem escopo definido nem relatório.
- N3
Um plano de testes cobre os sistemas essenciais identificados, com restaurações periódicas e relatório documentado dos resultados.
- N4
Os testes são realizados em um ambiente isolado, incluem a reconstrução do diretório de usuários e medem os tempos obtidos, comparados às metas validadas pelas áreas de negócio.
- N5
Os testes incorporam um cenário de comprometimento dos backups on-line, as diferenças de tempo alimentam o plano de investimento, e o dispositivo é revisado após cada exercício e cada mudança de arquitetura.
Ação para passar do N2 ao N3
Estabelecer a lista dos sistemas essenciais junto às áreas de negócio, incluir uma restauração de teste por trimestre no calendário de operação já existente e produzir um relatório curto, apresentado no comitê de segurança.
« Graças à Datamensio, cumprimos nossas metas com muito mais eficiência. Os serviços de inspeção do FEDER e do nosso ministério supervisor apreciaram especialmente essa abordagem, que lhes traz dados confiáveis. »
Diretora da CCI 94CCI Île-de-France
« Acreditamos que essa é a solução mais adequada para levar nosso projeto de transformação em escala e medir o impacto de acordo com nossas necessidades. »
Maja SucekChief Operating Officer, Interreg Danube
Raramente sozinho
Um referencial se combina. Associe vários para cobrir sua atividade, ou peça para a IA escrever o seu.
Faça sua primeira mediçãoem null.
Do que trata esse referencial
Gestão de crise cibernética não é gestão de incidente. O incidente é tratado nos processos existentes, com as equipes já estabelecidas. A crise começa quando o evento ultrapassa as capacidades de tratamento cotidianas: várias áreas de negócio afetadas, sistemas indisponíveis, decisões a tomar sem informação completa, comunicação a sustentar diante de clientes, autoridades e colaboradores. O referencial avalia o dispositivo que assume o controle nesse momento exato: critérios de acionamento, comitê de crise decisório e comitê operacional, meios de comunicação de contingência, procedimentos degradados, estratégia de recuperação e capacidade de extrair aprendizados.
É uma área difícil de gerenciar porque a prova falta enquanto nada acontece. Algumas perguntas concretas resolvem rapidamente a questão: quem decide isolar um sistema de produção, e essa decisão pode ser tomada em um domingo às três da manhã sem esperar o comitê executivo? Por quanto tempo a operação consegue funcionar sem o sistema de informação, e esse período foi verificado junto às áreas de negócio ou apenas estimado pela TI? Os backups foram restaurados de verdade, em um ambiente separado, e em quanto tempo?
Uma confusão é recorrente: misturar o plano de continuidade de negócios com o dispositivo de crise cibernética. O PCN clássico pressupõe que o sistema de informação permaneça disponível em um site de contingência. Um ataque de ransomware invalida essa premissa, pois atinge o diretório de usuários, os backups on-line e, por vezes, as próprias ferramentas de comunicação interna. As exigências regulatórias europeias recentes, NIS 2 e DORA, por sua vez, deslocaram o tema do campo técnico para o da governança, com prazos curtos de notificação e responsabilidade explícita dos órgãos de direção.
Uma auditoria de conformidade conclui com sim ou não: o plano existe, o exercício foi realizado. O diagnóstico de maturidade coloca outra pergunta: em que nível de domínio a prática se encontra e qual ação específica leva ao próximo nível. Entre um plano de crise escrito e nunca testado, um plano testado uma vez por ano em mesa e um dispositivo comprovado por exercícios de simulação com troca técnica real, a diferença é enorme, embora os três casos respondam sim à mesma pergunta de auditoria.
No Datamensio, o referencial já vem pronto para uso. Você também pode adaptá-lo ao seu contexto: a IA ajusta os temas, as perguntas e os níveis, ou constrói uma versão própria a partir dos seus documentos, plano de crise, cartões de ação ou relatórios de exercícios.
Norma de referência: Referencial de gestão de crises cibernéticas, alinhado à ISO 22301, à ISO/IEC 27035 e ao guia da ANSSI de gestão de crises cibernéticas
Os temas avaliados
Governança do dispositivo de crise
Política de gestão de crise, vínculo hierárquico, papéis e substitutos, comprometimento dos órgãos de direção, orçamento e recursos dedicados.
Detecção e qualificação
Fontes de detecção, cadeia de alerta, critérios de qualificação de um incidente como crise, limites de acionamento, cobertura fora do horário comercial.
Comitês de crise e mobilização
Composição do comitê decisório e do comitê operacional, delegações de decisão, lista de mobilização, sala de crise física e de contingência.
Procedimentos e cartões de ação
Cenários cobertos, cartões de ação por papel, procedimentos de isolamento e contenção, disponibilidade dos documentos em versão off-line.
Comunicação de crise
Porta-vozes designados, mensagens preparadas por público, canais de contingência independentes do sistema de informação, coordenação com clientes e parceiros.
Notificação regulatória e relação com as autoridades
Identificação das obrigações aplicáveis, prazos de notificação, contatos estabelecidos com as autoridades competentes, registro de ocorrência e seguro cibernético.
Continuidade de negócios em modo degradado
Análise de impacto nas atividades, tempos máximos de interrupção validados pelas áreas de negócio, procedimentos manuais, priorização das atividades essenciais.
Backups e capacidade de reconstrução
Isolamento e imutabilidade dos backups, escopo coberto, testes reais de restauração, plano de reconstrução do diretório de usuários e das bases técnicas.
Recuperação e retorno à normalidade
Critérios de encerramento da crise, sequência de religação dos sistemas, medidas de reforço antes da reconexão, monitoramento reforçado pós-incidente.
Exercícios e treinamento
Frequência e formato dos exercícios, realismo dos cenários, envolvimento dos dirigentes e das áreas de negócio, troca técnica efetiva, acompanhamento das ações decorrentes dos exercícios.
Ecossistema e dependências
Fornecedores críticos e terceirização de TI, cláusulas contratuais de mobilização, fornecedores de resposta a incidentes homologados, coordenação com a cadeia de suprimentos.
Lições aprendidas e melhoria contínua
Registro dos fatos durante a crise, diário de bordo, debriefing estruturado, ações corretivas acompanhadas ao longo do tempo, atualização do dispositivo.
Uma versão curta do referencial, com undefined perguntas, está disponível para autoavaliação on-line. A versão completa tem 12 temas e undefined perguntas.
Perguntas frequentes
Esse diagnóstico resulta em uma certificação?
Não. O Datamensio mede a maturidade do dispositivo de crise e prepara você para os prazos regulatórios, mas não certifica. O diagnóstico serve de base documentada caso você inicie depois um processo de ISO 22301 ou uma revisão por terceiros.
Qual a diferença em relação a uma auditoria de conformidade do plano de crise?
A auditoria verifica a existência dos documentos e conclui com uma lacuna ou uma conformidade. O diagnóstico posiciona cada prática em uma escala progressiva e indica a ação que faz subir um nível. Um plano escrito e nunca testado e um dispositivo comprovado por exercícios obtêm o mesmo resultado em auditoria, mas nunca a mesma pontuação de maturidade.
Quanto tempo leva a avaliação?
A versão curta é preenchida em 20 a 30 minutos. A versão completa, em modo colaborativo, envolve a segurança, a operação de TI, a continuidade de negócios e a comunicação. A maior parte do tempo é dedicada à coleta junto a esses participantes.
É preciso já ter vivido uma crise para responder?
Não. As perguntas tratam dos dispositivos existentes e das evidências disponíveis, relatórios de exercícios, cartões de ação, testes de restauração. Uma organização que viveu uma crise recente simplesmente tem mais material para embasar suas respostas.
É possível adaptar o referencial?
Sim. Você pode modificar as perguntas, os níveis, acrescentar temas próprios ao seu setor ou à sua organização com várias unidades. A IA também constrói uma versão própria a partir do seu plano de crise e dos seus relatórios de exercícios. O controle do referencial é seu.
Como comparar várias entidades do grupo?
O mesmo referencial é aplicado a cada unidade de negócio, o que torna as pontuações comparáveis por tema. Um roteiro transversal consolida as avaliações e agrupa as ações comuns, com a IA priorizando-as conforme seu impacto na pontuação.
Como esse diagnóstico se relaciona com NIS 2 e DORA?
Essas normas europeias impõem obrigações de notificação, continuidade e teste que se sobrepõem diretamente aos temas do referencial. Para o exportador brasileiro que atende clientes ou opera no mercado europeu, o diagnóstico constitui uma base reutilizável para comprovar conformidade com essas duas exigências, sem duplicar a coleta de dados.
Onde os dados são armazenados?
Na França, na OVH, com backup na Scaleway. Nenhuma transferência para fora da União Europeia. Os modelos de IA utilizados podem ser selecionados, inclusive entre soluções europeias.