Maturidade · Regulamento emiradense de garantia da informação
Seu dispositivo de garantia da informação nos Emirados, medido por controle e traduzido em plano de ação com custos.
10 temas, undefined perguntas, uma escala de 5 níveis. E a ação que faz cada nível avançar para o seguinte.
Os 10 temas do referencial, já redigidos de N1 a N5. Uma empresa, uma unidade de negócio, ou 300 ao mesmo tempo.
Maturidade · Regulamento emiradense de garantia da informação
10 temas, undefined perguntas, escala de 5 níveis.
Nordhavn Industries
53 / 100
Eles medem sua maturidade com a Datamensio
Um exemplo
Essa situação poderia ser a sua.
Vamos pegar o exemplo de uma empresa: três unidades, três planilhas, nenhuma resposta em comum.
Ninguém sabe consolidar.
A Nordhavn Industries, 2.400 pessoas em Hamburgo, Lyon e Porto. Um cliente pergunta como está o grupo. Cada unidade responde na sua própria planilha, com suas próprias escalas.
Três semanas, uma única base.
Um diagnóstico UAE Information Assurance Regulation (TDRA / Signature Trust Standard), versão 1.1 iniciado nas três unidades ao mesmo tempo, a partir das anotações de entrevista dos responsáveis. O referencial já estava escrito, os 10 temas e os níveis N1 a N5 também.
Dois gastos evitados antes de serem assumidos.
Um score de 53 em 100, um desvio concentrado em três temas. O assistente de IA identificou que duas ações do plano se repetiam com as de outra auditoria. A apresentação dos resultados ao comitê foi solicitada em uma frase.
O que isso evitou para eles
- 3unidades medidas na mesma base, em vez de três questionários para retrabalhar
- 2ações duplicadas detectadas antes do gasto
- 1apresentação dos resultados ao comitê, sem retrabalho manual
Esses números são de um exemplo. Eles poderiam ser os seus.
A norma impõe processos. A Datamensio mostra onde você está.
01
O referencial já está escrito
Temas, perguntas e níveis N1 a N5 redigidos. Você não começa de uma planilha vazia.
02
O score sai no mesmo dia
On-line, por link de autoavaliação ou em entrevista. Tema por tema, comparável ao longo do tempo.
03
O desvio vira um plano com custos definidos
Cada passagem de nível traz sua ação. A IA prioriza pelo efeito esperado, não pela ordem da norma.
04
A evolução se comprova
Campanha após campanha, contra sua meta e contra seu histórico. É o que sua diretoria pede.
A escala de maturidade
Um nível, o seguinte, e a ação que liga os dois.
É esse mecanismo (um nível, um nível superior e a ação que liga os dois) que transforma uma constatação em trajetória.
Os ativos informacionais são classificados e manuseados segundo um esquema definido?
- N1
Nenhum esquema de classificação em vigor. Documentos e dados circulam sem nível atribuído.
- N2
Existe um esquema previsto em uma política, mas a classificação é aplicada apenas a alguns repositórios documentais e as regras de manuseio ainda são desconhecidas pelas áreas de negócio.
- N3
Os ativos do escopo estão classificados, as regras de manuseio são divulgadas e aplicadas de forma geral. As lacunas são pontuais.
- N4
A classificação é conduzida pelos responsáveis pelos ativos, revisada a cada mudança, e viabilizada por ferramentas nos espaços de armazenamento e mensageria. As falhas são registradas e tratadas.
- N5
O esquema é revisado periodicamente conforme a evolução regulatória e os incidentes observados, com acompanhamento documentado das revisões e controle por amostragem.
Ação para passar de N2 a N3
Atribuir um responsável a cada ativo do escopo, classificar os ativos restantes na revisão trimestral de riscos, e incluir as regras de manuseio no programa de conscientização dos novos colaboradores.
« Graças à Datamensio, cumprimos nossas metas com muito mais eficiência. Os serviços de inspeção do FEDER e do nosso ministério supervisor apreciaram especialmente essa abordagem, que lhes traz dados confiáveis. »
Diretora da CCI 94CCI Île-de-France
« Acreditamos que essa é a solução mais adequada para levar nosso projeto de transformação em escala e medir o impacto de acordo com nossas necessidades. »
Maja SucekChief Operating Officer, Interreg Danube
Raramente sozinho
Um referencial se combina. Associe vários para cobrir sua atividade, ou peça para a IA escrever o seu.
Faça sua primeira mediçãoem null.
Do que trata esse referencial
O regulamento emiradense de garantia da informação (Information Assurance Regulation) é o referencial nacional de segurança da informação dos Emirados Árabes Unidos, conduzido pela autoridade reguladora de telecomunicações e do digital. Ele organiza um conjunto de controles divididos entre controles de gestão e controles técnicos, cada um com um nível de prioridade associado. As entidades de setores identificados como críticos devem aplicá-lo e demonstrar sua implementação, apoiando-se em uma abordagem baseada em riscos e em um escopo definido de sistemas e ativos.
Na prática, o acompanhamento é mais delicado do que a leitura do texto sugere. Os controles são numerosos e se sobrepõem aos já implementados pela ISO 27001 ou pelas políticas do grupo. Três perguntas aparecem com frequência: qual é o escopo exato dos sistemas envolvidos na entidade emiradense, quem é responsável por cada controle entre a filial local e a matriz, e em que evidências se baseiam as declarações de implementação quando o regulador ou a entidade setorial solicita uma revisão. Sem resposta documentada, o estágio de avanço permanece apenas declarativo.
Vale desfazer uma confusão comum: o regulamento de garantia da informação não é uma versão local da ISO 27001, mesmo compartilhando parte da lógica e do vocabulário. Ele acrescenta exigências próprias do contexto nacional, especialmente sobre classificação da informação, notificação de incidentes às autoridades e segurança da cadeia de fornecedores. Além disso, diversos reguladores setoriais e autoridades de emirado construíram seus próprios referenciais sobre essa base: uma entidade pode, portanto, estar sujeita ao regulamento nacional e a um referencial local, com exigências de evidência diferentes.
Uma auditoria de conformidade conclui, controle por controle, por uma lacuna ou uma conformidade. O diagnóstico de maturidade responde a outra pergunta: em que nível de domínio está cada prática, e qual ação específica leva ao nível seguinte. É essa diferença que permite sequenciar um programa ao longo de vários exercícios, comparar entidades entre si e quantificar o esforço restante, em vez de apenas constatar uma falha.
No Datamensio, o referencial já vem pronto para uso e você mantém o controle sobre ele. A IA ajusta os temas, as perguntas e os níveis ao escopo de sua entidade emiradense, ou constrói uma versão própria a partir de suas políticas internas e das exigências do seu regulador setorial. As lacunas identificadas alimentam um roteiro priorizado, que pode ser consolidado com seus outros diagnósticos de cibersegurança.
Norma de referência: UAE Information Assurance Regulation (TDRA / Signature Trust Standard), versão 1.1
Os temas avaliados
Governança da garantia da informação
Política formalizada e validada pela diretoria, papéis e responsabilidades, comitê de acompanhamento, articulação entre a filial e a governança do grupo, alocação de recursos.
Escopo e gestão de riscos
Definição do escopo dos sistemas envolvidos, metodologia de avaliação de riscos, critérios de aceitação, priorização dos controles de acordo com o nível de risco adotado.
Gestão de ativos e classificação da informação
Inventário de ativos informacionais e técnicos, esquema de classificação, regras de rotulagem, manuseio e retenção, tratamento de dados sensíveis.
Segurança de recursos humanos e conscientização
Verificações antes da contratação, cláusulas contratuais, programa de conscientização, obrigações na mobilidade e no desligamento, gestão de acessos privilegiados dos colaboradores.
Segurança física e ambiental
Áreas seguras, controle de acesso aos ambientes técnicos, proteção de equipamentos, alimentação elétrica e climatização, descarte de mídias.
Controles técnicos e operação
Gestão de acessos e autenticação, hardening de configurações, gestão de correções, registro de logs e monitoramento, proteção contra códigos maliciosos, criptografia.
Segurança das comunicações e da nuvem
Segmentação de rede, filtragem e gateways, trocas com terceiros, exigências aplicáveis a serviços hospedados e à localização dos dados.
Aquisição, desenvolvimento e manutenção
Exigências de segurança em projetos, revisões de código e testes, separação de ambientes, gestão de mudanças e de implantações em produção.
Terceiros e cadeia de fornecedores
Qualificação de fornecedores, exigências contratuais, acompanhamento dos níveis de serviço de segurança, controle de acessos remotos, reversibilidade.
Incidentes, continuidade e melhoria
Detecção e classificação de incidentes, notificação às autoridades competentes, planos de continuidade e recuperação, exercícios simulados, lições aprendidas e revisão periódica dos controles.
Uma versão curta do referencial, com undefined perguntas, está disponível para autoavaliação on-line. A versão completa tem 10 temas e undefined perguntas.
Perguntas frequentes
Esse diagnóstico emite um atestado de conformidade com o regulamento?
Não. O Datamensio mede a maturidade de suas práticas e prepara a revisão de conformidade. A avaliação da conformidade cabe ao regulador ou à entidade de auditoria designada para seu setor.
Qual a diferença entre um diagnóstico de maturidade e uma auditoria de conformidade?
A auditoria conclui, controle por controle, por uma lacuna ou uma conformidade. O diagnóstico situa cada prática em uma escala progressiva e indica a ação que eleva o nível. O diagnóstico prepara a auditoria e permite sequenciar o programa, a auditoria valida.
Já somos certificados na ISO 27001. O diagnóstico tem alguma utilidade?
Sim. O regulamento compartilha parte da lógica da ISO 27001, mas acrescenta exigências próprias, especialmente sobre classificação da informação, notificação de incidentes às autoridades e cadeia de fornecedores. O diagnóstico evidencia essa diferença em vez de refazer o trabalho já realizado.
Quanto tempo leva a avaliação?
A versão curta é preenchida em 20 a 30 minutos. A versão completa, no modo colaborativo com vários contribuidores, geralmente leva de uma a duas semanas, sendo a maior parte do tempo dedicada à coleta de informações junto às equipes técnicas e de negócio.
É possível adaptar o referencial ao nosso regulador setorial?
Sim. As perguntas, os níveis e os temas podem ser modificados, e você pode incluir as exigências próprias da sua autoridade reguladora. A IA também constrói uma versão própria a partir de suas políticas internas. O controle do referencial é seu.
Como comparar várias entidades do grupo?
Avaliações feitas com o mesmo referencial podem ser comparadas entre unidades de negócio e ao longo do tempo. Um roteiro transversal consolida as lacunas de várias entidades e agrupa ações redundantes, evitando financiar duas vezes o mesmo projeto.
É preciso ter conhecimento técnico para responder?
As perguntas tratam de práticas de gestão e do estágio de implementação dos controles, não de configurações. Algumas exigem a contribuição de um responsável técnico ou do gestor local: o modo colaborativo permite atribuir essas perguntas à pessoa certa.
Onde os dados do diagnóstico são armazenados?
Na França, na OVH, com backup na Scaleway. Nenhuma transferência para fora da União Europeia. Os modelos de IA utilizados podem ser selecionados, inclusive entre soluções europeias.