Maturidade · Regulamento dos Emirados sobre a garantia da informação
O seu dispositivo de garantia da informação nos Emirados, medido por controlo e traduzido num plano de ação quantificado.
10 domínios, uma escala de 5 níveis. E a ação que faz passar de um nível para o seguinte.
Os 10 domínios do referencial, já redigidos de N1 a N5. Uma empresa, uma unidade de negócio, ou 300 de uma vez.
Maturidade · Regulamento dos Emirados sobre a garantia da informação
10 domínios, escala de 5 níveis.
Nordhavn Industries
53 / 100
Medem a sua maturidade com a Datamensio
Um exemplo
Esta situação podia ser a sua.
Vejamos o exemplo de uma empresa: três instalações, três folhas de cálculo, nenhuma resposta comum.
Ninguém sabe consolidar.
Nordhavn Industries, 2 400 pessoas em Hamburgo, Lyon e Porto. Um cliente pergunta em que ponto está o grupo. Cada instalação responde na sua folha de cálculo, com as suas próprias escalas.
Três semanas, uma única base.
Um diagnóstico UAE Information Assurance Regulation (TDRA / Signature Trust Standard), version 1.1 lançado nas três instalações ao mesmo tempo, a partir das notas de entrevista dos responsáveis. O referencial já estava escrito, os 10 domínios e os níveis N1 a N5 também.
Duas despesas evitadas antes de serem assumidas.
Uma pontuação de 53 em 100, um desvio concentrado em três domínios. O assistente de IA detetou que duas ações do plano duplicavam as de outro diagnóstico. O relatório de resultados para a comissão foi pedido numa frase.
O que isto lhes evitou
- 3instalações medidas na mesma base, em vez de três questionários a retrabalhar
- 2ações duplicadas detetadas antes da despesa
- 1relatório de resultados para a comissão, sem retrabalho manual
Estes números são os de um exemplo. Podiam ser os seus.
A norma impõe processos. A Datamensio diz onde está.
01
O referencial já está escrito
Domínios, perguntas e níveis N1 a N5 redigidos. Não parte de uma folha de cálculo em branco.
02
A pontuação sai no próprio dia
Online, por link de autoavaliação ou em entrevista. Domínio a domínio, comparável ao longo do tempo.
03
O desvio transforma-se num plano com custos
Cada passagem de nível tem a sua ação. A IA prioriza pelo efeito esperado, não pela ordem da norma.
04
A progressão demonstra-se
Campanha após campanha, face ao seu objetivo e ao seu histórico. É isso que a sua comissão executiva pede.
A escala de maturidade
Um nível, o seguinte, e a ação que liga os dois.
É este mecanismo (um nível, um nível superior, e a ação que liga os dois) que transforma um diagnóstico numa trajetória.
Os ativos de informação são classificados e manuseados de acordo com um esquema definido?
- N1
Não existe qualquer esquema de classificação em vigor. Os documentos e os dados circulam sem nível atribuído.
- N2
Existe um esquema numa política, mas a classificação só é aplicada a alguns repositórios documentais e as regras de manuseamento permanecem desconhecidas das áreas de negócio.
- N3
Os ativos do perímetro estão classificados, as regras de manuseamento são divulgadas e aplicadas de forma geral. Os desvios são pontuais.
- N4
A classificação é assegurada pelos proprietários dos ativos, revista a cada alteração, e integrada nos espaços de armazenamento e de correio eletrónico. As falhas são registadas e tratadas.
- N5
O esquema é revisto periodicamente de acordo com a evolução regulamentar e os incidentes verificados, com um acompanhamento documentado das revisões e um controlo por amostragem.
Ação para passar de N2 a N3
Atribuir um proprietário a cada ativo do perímetro, classificar os ativos restantes na revisão trimestral de riscos, e integrar as regras de manuseamento no percurso de sensibilização dos novos colaboradores.
« Graças à Datamensio, cumprimos os nossos objetivos com muito mais eficácia. Os serviços de inspeção do FEDER e do nosso ministério de tutela apreciaram particularmente esta abordagem, que lhes fornece dados fiáveis. »
Diretora da CCI 94CCI Île-de-France
« Consideramos que é a solução mais adequada para levar o nosso projeto de transformação à escala e medir o impacto de acordo com as nossas necessidades. »
Maja SucekChief Operating Officer, Interreg Danube
Raramente sozinho
Um referencial combina-se. Associe vários para cobrir a sua atividade, ou peça à IA para escrever o seu.
Faça a sua primeira medição
Sobre o que trata este referencial
O regulamento dos Emirados sobre a garantia da informação (Information Assurance Regulation) é o quadro nacional de segurança da informação dos Emirados Árabes Unidos, conduzido pela autoridade reguladora das telecomunicações e do digital. Organiza um conjunto de controlos distribuídos entre controlos de gestão e controlos técnicos, cada um associado a um nível de prioridade. As entidades dos setores identificados como críticos devem aplicá-lo e demonstrar a sua implementação, apoiando-se numa abordagem baseada no risco e num perímetro definido de sistemas e ativos.
Na prática, a gestão é mais delicada do que a leitura do texto sugere. Os controlos são numerosos e sobrepõem-se aos já implementados ao abrigo da ISO 27001 ou das políticas do grupo. Três questões surgem com frequência: qual é o perímetro exato dos sistemas abrangidos na entidade dos Emirados, quem é responsável por cada controlo entre a filial local e a casa-mãe, e em que provas assentam as declarações de implementação quando o regulador ou a entidade setorial solicita uma revisão. Sem resposta documentada, o estado de avanço permanece meramente declarativo.
Vale a pena desfazer uma confusão frequente: o regulamento de garantia da informação não é uma transposição local da ISO 27001, ainda que partilhe a sua lógica e parte do vocabulário. Acrescenta exigências próprias do contexto nacional, nomeadamente sobre a classificação da informação, a comunicação de incidentes às autoridades e a segurança das cadeias de subcontratação. Além disso, vários reguladores setoriais e autoridades de emirado construíram os seus próprios quadros sobre esta base: uma entidade pode, assim, estar sujeita simultaneamente ao regulamento nacional e a um quadro local, com expectativas de prova diferentes.
Uma auditoria de conformidade conclui por um desvio ou uma conformidade, controlo a controlo. O diagnóstico de maturidade responde a outra questão: em que nível de domínio se situa cada prática, e qual a ação precisa que permite passar ao nível seguinte. É esta diferença que permite sequenciar um programa ao longo de vários exercícios, comparar as entidades entre si e quantificar o esforço remanescente, em vez de constatar um incumprimento.
No Datamensio, o referencial está pronto a usar e a equipa mantém o seu controlo total. A IA ajusta os domínios, as perguntas e os níveis ao perímetro da sua entidade nos Emirados, ou constrói uma versão adaptada a partir das suas políticas internas e das exigências do seu regulador setorial. Os desvios identificados alimentam um roteiro priorizado, que pode ser consolidado com os seus outros diagnósticos de cibersegurança.
Norma de referência: UAE Information Assurance Regulation (TDRA / Signature Trust Standard), version 1.1
Os domínios avaliados
Governação da garantia da informação
Política formalizada e validada pela direção, papéis e responsabilidades, comité de pilotagem, articulação entre a filial e a governação do grupo, afetação de recursos.
Perímetro e gestão de riscos
Definição do perímetro dos sistemas abrangidos, método de avaliação de riscos, critérios de aceitação, priorização dos controlos consoante o nível de risco considerado.
Gestão de ativos e classificação da informação
Inventário dos ativos de informação e técnicos, esquema de classificação, regras de marcação, manuseamento e conservação, tratamento de dados sensíveis.
Segurança de recursos humanos e sensibilização
Verificações antes da contratação, cláusulas contratuais, programa de sensibilização, obrigações na mobilidade e na saída, gestão dos acessos privilegiados do pessoal.
Segurança física e ambiental
Zonas seguras, controlo de acesso às instalações técnicas, proteção dos equipamentos, alimentação elétrica e climatização, eliminação de suportes.
Controlos técnicos e operação
Gestão de acessos e autenticação, reforço das configurações, gestão de correções, registo e monitorização, proteção contra código malicioso, cifragem.
Segurança das comunicações e da cloud
Segmentação de rede, filtragem e gateways, trocas com terceiros, exigências aplicáveis aos serviços alojados e à localização dos dados.
Aquisição, desenvolvimento e manutenção
Exigências de segurança nos projetos, revisões de código e testes, separação de ambientes, gestão de mudanças e de colocações em produção.
Terceiros e cadeia de subcontratação
Qualificação de fornecedores, exigências contratuais, acompanhamento dos níveis de serviço de segurança, controlo de acessos remotos, reversibilidade.
Incidentes, continuidade e melhoria
Deteção e qualificação de incidentes, comunicação às autoridades competentes, planos de continuidade e recuperação, exercícios, lições aprendidas e revisão periódica dos controlos.
Está disponível uma versão curta do referencial para a auto-avaliação online.
Perguntas frequentes
Este diagnóstico emite um certificado de conformidade com o regulamento?
Não. O Datamensio mede a maturidade das suas práticas e prepara a revisão de conformidade. A avaliação da conformidade cabe ao regulador ou à entidade de auditoria designada para o seu setor.
Qual a diferença entre um diagnóstico de maturidade e uma auditoria de conformidade?
A auditoria conclui, controlo a controlo, por um desvio ou uma conformidade. O diagnóstico situa cada prática numa escala progressiva e indica a ação que permite subir um nível. O diagnóstico prepara a auditoria e permite sequenciar o programa, a auditoria valida.
Já estamos certificados ISO 27001. O diagnóstico tem interesse?
Sim. O regulamento partilha parte da lógica da ISO 27001, mas acrescenta exigências próprias, nomeadamente sobre a classificação da informação, a comunicação de incidentes às autoridades e a cadeia de subcontratação. O diagnóstico evidencia essa diferença em vez de repetir o trabalho já realizado.
Quanto tempo demora a avaliação?
A versão curta é preenchida em 20 a 30 minutos. A versão completa, em modo colaborativo com vários contribuidores, estende-se geralmente por uma a duas semanas, sendo a maior parte do tempo dedicada à recolha de informação junto das equipas técnicas e de negócio.
É possível adaptar o referencial ao nosso regulador setorial?
Sim. As perguntas, os níveis e os domínios são modificáveis, e pode acrescentar as exigências próprias da sua autoridade de tutela. A IA também constrói uma versão adaptada a partir das suas políticas internas. O controlo do referencial é seu.
Como comparar várias entidades do grupo?
As auditorias realizadas com o mesmo referencial são comparáveis entre unidades de negócio e ao longo do tempo. Um roteiro transversal consolida os desvios de várias entidades e agrupa as ações redundantes, evitando financiar duas vezes o mesmo projeto.
É necessária formação técnica para responder?
As perguntas incidem sobre as práticas de gestão e o estado de implementação dos controlos, não sobre as configurações. Algumas exigem o contributo de um interlocutor técnico ou do responsável local: o modo colaborativo permite atribuir essas perguntas à pessoa certa.
Onde são alojados os dados do diagnóstico?
Em França, na OVH, com salvaguarda na Scaleway. Nenhuma transferência fora da União Europeia. Os modelos de IA utilizados podem ser selecionados, inclusive entre soluções europeias.