Termos de compliance,
explicados em poucas palavras.

Dispositivo do Código Social alemão, livro V (SGB V), sobre segurança da informação no atendimento médico e odontológico prestado no âmbito do seguro de saúde público alemão, antigo § 75b. Uma diretriz define os requisitos que os consultórios precisam cumprir de acordo com o seu porte.

Medida que elimina a causa de uma não conformidade para que ela não volte a ocorrer. Vai além da simples correção do sintoma.

Medida que impede uma possível não conformidade antes que ela ocorra. Nas normas ISO atuais, essa ideia foi integrada à abordagem baseada em riscos.

Decisão consciente dos responsáveis de assumir um risco residual. Precisa ser documentada e fundamentada.

Confirmação formal de que um organismo de certificação ou de auditoria trabalha com competência técnica e de forma independente. Só a acreditação torna um certificado reconhecido internacionalmente.

Avaliação periódica do sistema de gestão pela alta direção com base em indicadores, resultados de auditorias e riscos. Termina com decisões sobre recursos e melhorias.

Comparação da situação atual com os requisitos de um framework. Mostra onde é preciso melhorar e geralmente é o primeiro passo de um projeto.

Tudo o que tem valor para a organização e precisa ser protegido: informações, sistemas, aplicações, instalações, mas também o conhecimento das pessoas. O inventário de ativos é a base de qualquer avaliação de riscos.

Verificação sistemática e independente do cumprimento de requisitos. Há auditorias internas, auditorias de fornecedores e auditorias de certificação realizadas por um organismo externo.

Primeira parte da auditoria de certificação. O auditor verifica a documentação, o escopo e a preparação antes de verificar a implementação propriamente dita.

Segunda parte da auditoria de certificação. O auditor verifica, presencialmente ou remotamente, se o sistema de gestão está implementado de forma eficaz no dia a dia.

Auditoria anual entre a certificação inicial e a recertificação. Verifica partes do sistema de gestão e se ele continua eficaz.

Auditoria ao fim dos três anos de validade de um certificado. Verifica novamente todo o sistema de gestão e inicia um novo ciclo.

Verificação do sistema de gestão pela própria organização, realizada por pessoas independentes da empresa ou por externos contratados. Para as certificações ISO, é obrigatória pelo menos uma auditoria interna por ciclo.

Login com pelo menos dois fatores independentes, por exemplo senha e código de uso único. A NIS2 cita a autenticação multifator expressamente como medida, e muitos catálogos de controles a exigem para administradores.

Levantamento estruturado do status de implementação dos requisitos, controle por controle. O resultado é uma visão clara do que está cumprido e do que falta.

Avaliação prévia de um tratamento que provavelmente implica um risco alto para os titulares dos dados. Descreve a finalidade, a necessidade, os riscos e as medidas para mitigá-los.

Identificação, análise e avaliação dos riscos de acordo com a probabilidade de ocorrência e o impacto. Determina quais medidas são necessárias.

Cópia regular de dados e sistemas para poder restaurá-los em caso de perda. Os auditores prestam atenção principalmente à restauração testada, e não apenas à realização das cópias.

Lei alemã sobre o Serviço Federal Alemão de Segurança da Informação (BSI). Com a transposição da NIS2, ela define quais entidades têm quais obrigações de segurança, de notificação e de registro.

Etapa do processo no sistema HACCP em que um perigo para a segurança dos alimentos precisa ser controlado de forma eficaz, por exemplo no aquecimento ou na refrigeração. Para cada CCP existem limites críticos, monitoramento e ações corretivas.

Declaração de um organismo de certificação acreditado de que um sistema de gestão cumpre os requisitos de uma norma. Geralmente é válido por três anos, com auditorias de manutenção anuais.

O EU AI Act distingue práticas proibidas, sistemas de alto risco, sistemas com obrigações de transparência e sistemas de risco mínimo. Quanto mais alta a classe, mais rigorosas as obrigações.

Regras documentadas sobre quem pode acessar quais sistemas e dados e em que medida, incluindo a concessão, a revisão e a revogação de direitos. Os auditores quase sempre exigem evidência da recertificação periódica.

Treinamentos e ações que tornam os funcionários conscientes dos riscos de segurança. Quase todos os frameworks exigem a conscientização de forma regular e comprovável.

Resultado de uma auditoria em relação a um requisito: conformidade, não conformidade, observação ou oportunidade de melhoria. As constatações são documentadas no relatório de auditoria.

Requisito individual ou medida de proteção de um framework, por exemplo controle de acesso ou backup. Os controles são avaliados, implementados e comprovados com evidências.

Regras e meios técnicos que garantem que apenas pessoas autorizadas acessem sistemas e dados. Um dos controles verificados com mais frequência.

Uso de encriptação e assinaturas para proteger os dados em trânsito e em repouso. Os frameworks exigem uma política para os algoritmos e a gestão de chaves.

Parte opcional do catálogo BSI C5 para clientes com necessidades de proteção maiores. São verificados como complemento aos critérios básicos.

Parte obrigatória do catálogo BSI C5 que todos os provedores de nuvem com relatório de asseguração C5 precisam cumprir. Eles são complementados por critérios adicionais para necessidades de proteção mais altas.

Catálogo de critérios do BSI para serviços em nuvem seguros. Um auditor independente (empresa de auditoria) verifica a implementação e emite um relatório de asseguração do tipo 1 (adequação) ou do tipo 2 (eficácia ao longo de um período).

Atitudes e comportamentos compartilhados na empresa que sustentam a segurança dos alimentos no dia a dia. A legislação da UE sobre higiene dos alimentos exige que as empresas a promovam e a demonstrem.

Organismo nacional de acreditação da Alemanha. Acredita, entre outros, organismos de certificação para a ISO 27001 e a ISO 9001.

Documento central de um SGSI segundo a ISO 27001. Relaciona todos os controles do Anexo A, justifica a sua seleção ou exclusão e indica o status de implementação.

Os três objetivos clássicos de proteção da segurança da informação. Cada medida atende a pelo menos um deles.

Regulamento da UE sobre a resiliência operacional digital do setor financeiro, aplicável desde janeiro de 2025. Regula a gestão de riscos de TIC, a notificação de incidentes, os testes de resiliência e a relação com prestadores terceirizados de serviços de TIC.

Pessoa que orienta uma empresa em questões de proteção de dados e monitora o cumprimento do GDPR. Pode ser designada internamente ou contratada externamente.

Definição dos locais, processos, sistemas e unidades organizacionais abrangidos por um sistema de gestão. Um escopo restrito demais reduz a relevância do certificado.

Regulamento da UE sobre inteligência artificial. Classifica os sistemas de IA de acordo com o risco e associa a eles obrigações escalonadas para provedores e responsáveis pela implantação.

Prova de que um controle está implementado, por exemplo um documento, um print de tela, uma ata ou uma exportação. Boas evidências têm uma versão e uma data de validade.

Termo genérico para normas, leis e catálogos de critérios que orientam uma empresa, por exemplo ISO 27001, NIS2 ou SOC 2.

Catálogo de requisitos definido pela própria organização, por exemplo normas internas do grupo ou requisitos de clientes, gerenciado como uma norma, com controles, evidências e avaliações.

Acesso para auditores externos que mostra tudo o que é relevante para a auditoria, mas não permite alterações. Assim, a auditoria continua independente e rastreável.

Regulamento da UE sobre a proteção de dados pessoais. Exige, entre outros pontos, bases legais, transparência, direitos dos titulares, medidas técnicas e organizacionais e prestação de contas.

Planejamento de como os processos de negócio críticos continuam funcionando ou são rapidamente restabelecidos em caso de falha. Inclui planos de emergência, tempos de recuperação e exercícios regulares.

Preparação e resposta a interrupções graves, com alerta, comitê de crise e planos de recuperação. Faz parte da gestão de continuidade de negócios.

Estrutura de estratégias, políticas e ferramentas com a qual uma entidade financeira identifica, protege, monitora e corrige riscos decorrentes das tecnologias da informação e comunicação. Capítulo central do DORA.

Processo contínuo de identificar, avaliar e corrigir vulnerabilidades em sistemas dentro do prazo. Um tema central da NIS2, do DORA e da ISO 27001.

Pessoa responsável pela implementação, operação e evolução do SGSI. Reporta à alta direção e coordena riscos, medidas e incidentes.

Integração entre governança corporativa, gestão de riscos e cumprimento de leis, normas e regras internas. O software de GRC, muitas vezes chamado de ferramenta de GRC, reúne essas tarefas em um só lugar: requisitos, riscos, medidas, evidências e auditorias. O Sightadel é uma plataforma de GRC para ISO 27001, ISO 9001, NIS2, DORA e outros frameworks.

Sistema de análise de perigos na produção e no processamento de alimentos. As empresas do setor alimentício na UE são obrigadas a aplicá-lo.

Sistemas de IA que o EU AI Act regula de forma especialmente rigorosa por causa dos possíveis efeitos na saúde, na segurança ou nos direitos fundamentais, por exemplo em recrutamento, concessão de crédito ou infraestruturas críticas. Para eles valem gestão de riscos, qualidade dos dados, documentação e supervisão humana.

Associação internacional dos organismos de acreditação. Graças ao seu reconhecimento mútuo, os certificados de organismos acreditados também valem em outros Estados-membros.

Evento que afeta ou pode afetar a confidencialidade, a integridade ou a disponibilidade da informação. Os incidentes são registrados, avaliados, tratados e analisados.

Norma internacional para trabalhos de asseguração que não tratam de informações financeiras. Nela se baseiam, por exemplo, os relatórios de asseguração C5 e as auditorias dos controles internos de prestadores de serviços.

Norma internacional para sistemas de gestão da qualidade. Exige processos controlados e orientados ao cliente, além de melhoria contínua.

Norma com requisitos para os organismos que auditam e certificam sistemas de gestão. Proíbe, entre outras coisas, que um organismo de certificação preste consultoria à mesma organização.

Norma internacional para sistemas de gestão de segurança da informação. É certificável e é considerada na Europa a evidência mais importante de segurança da informação.

Norma internacional para sistemas de gestão de inteligência artificial. Ajuda a desenvolver e usar a IA de forma responsável e é certificável.

Termo alemão para as instalações cuja falha teria consequências graves para a coletividade, por exemplo nos setores de energia, água, saúde ou financeiro. Na Alemanha, os seus operadores estão sujeitos a obrigações maiores de segurança e de comprovação.

Medidas de proteção previstas no GDPR, por exemplo criptografia, controle de acesso ou treinamento. Precisam ser adequadas ao risco e geralmente são documentadas em um resumo.

Princípio básico de todas as normas de sistemas de gestão: planejar, executar, verificar, melhorar. Um sistema de gestão nunca está concluído.

Rascunho pronto de políticas, processos ou respostas, que é adaptado à própria empresa. Um modelo só faz sentido se for realmente adaptado, e não simplesmente copiado.

Requisito não cumprido. Na auditoria de certificação, distinguem-se não conformidades maiores e menores; as maiores precisam estar corrigidas antes da emissão do certificado.

Avaliação do nível de proteção exigido pela confidencialidade, integridade e disponibilidade de uma informação ou de um sistema. Dela decorrem as medidas adequadas.

Diretiva da UE sobre um alto nível comum de cibersegurança. Amplia significativamente o universo de empresas abrangidas e exige medidas de gestão de riscos, notificações e responsabilidade da diretoria.

Framework de referência do National Institute of Standards and Technology dos EUA. Na versão 2.0, organiza a cibersegurança em seis funções: Govern, Identify, Protect, Detect, Respond e Recover.

Organização acreditada que audita sistemas de gestão e emite certificados. Precisa se manter independente da consultoria.

Lista de medidas concretas, com responsáveis e prazos, para eliminar uma lacuna, um risco ou uma não conformidade.

Regra interna obrigatória, por exemplo sobre o uso de senhas ou sobre backups. As políticas são aprovadas pela direção, divulgadas e revisadas regularmente.

Os incidentes de segurança significativos precisam ser notificados em etapas: um alerta inicial em até 24 horas, uma notificação com avaliação inicial em até 72 horas e um relatório final, no máximo, um mês depois.

No contexto do DORA, qualquer prestador que forneça serviços digitais ou de dados a uma entidade financeira, por exemplo nuvem, software ou data center. Para eles valem requisitos específicos sobre contratos, monitoramento e estratégias de saída.

Situação em que todos os requisitos estão implementados, as evidências estão atualizadas e a auditoria interna e a análise crítica pela direção estão concluídas. A auditoria externa pode então começar sem surpresas.

Visão geral de todos os tratamentos de dados pessoais com finalidade, categorias, destinatários, prazos e medidas de proteção. O GDPR exige esse registro de quase todas as empresas.

Registro completo de quem alterou o quê e quando no sistema. Os auditores usam esse registro para verificar se os processos são de fato aplicados.

Registro de todos os acordos contratuais de uma entidade financeira com prestadores terceirizados de serviços de TIC. É mantido em um formato predefinido e enviado à autoridade supervisora.

Parecer de um auditor independente (empresa de auditoria) sobre um sistema auditado, por exemplo segundo o BSI C5. Ao contrário de um certificado, não é emitido por um organismo de certificação.

No contexto da NIS2 e do DORA, a diretoria responde pela implementação e supervisão das medidas de gestão de riscos. Para isso, ela precisa receber treinamento regularmente.

Risco decorrente de prestadores de serviços e fornecedores, por exemplo por falha ou vazamento de dados. É gerenciado por meio de avaliações, questionários e contratos.

Indicador que resume o status de implementação dos controles em todos os frameworks. Mostra rapidamente onde uma empresa está e como ela está evoluindo.

Conjunto de regras, processos, funções e medidas com que uma empresa planeja, implementa, monitora e melhora a segurança da informação. A ISO 27001 define os requisitos.

Sistema de gestão que orienta os processos para uma qualidade constante e para a satisfação dos clientes. A base mais conhecida é a ISO 9001.

Relatório de auditoria segundo normas norte-americanas sobre os controles de um prestador de serviços, elaborado por uma empresa de auditoria. O Tipo I considera uma data-base; o Tipo II, um período.

Tentativa de ataque direcionada e autorizada contra sistemas para encontrar vulnerabilidades. Muitos frameworks esperam testes regulares e a correção dos resultados.

Procedimento de avaliação e de compartilhamento de resultados em segurança da informação na indústria automotiva. Baseia-se em um catálogo de perguntas específico do setor.

Teste de penetração orientado por ameaças no contexto do DORA, que imita atacantes reais e inclui sistemas em produção. Determinadas entidades financeiras precisam realizá-lo regularmente.

Decisão sobre como lidar com um risco avaliado: evitar, reduzir, transferir ou aceitar. Daí resulta o plano de tratamento de riscos com as respectivas medidas.

Quando um prestador de serviços trata dados pessoais em nome de uma empresa, o art. 28 do Regulamento Geral sobre a Proteção de Dados da UE (GDPR) exige um contrato com obrigações definidas. Esse contrato regula, entre outros pontos, as instruções, os suboperadores e as medidas técnicas de proteção.

Página pública ou protegida em que uma empresa mostra aos clientes as suas evidências de segurança e de conformidade. Responde a muitos questionários antes mesmo de eles serem enviados.

Critérios segundo os quais os relatórios SOC 2 são elaborados: segurança, disponibilidade, integridade do processamento, confidencialidade e privacidade. A segurança é sempre obrigatória; os demais são escolhidos.

Demonstração de que uma medida não só existe, mas também atinge o seu objetivo, por exemplo por meio de indicadores, amostragens ou testes.

Incidente em que dados pessoais são perdidos, divulgados ou alterados. Na maioria dos casos, precisa ser notificado à autoridade supervisora em até 72 horas.