O que tem de ser evidenciado não é a formação. É a competência.

Três níveis que são muitas vezes misturados

Tratar os três da mesma forma leva a formar demasiada gente de modo superficial e os decisivos de menos.

1. 1
   Sensibilização para todosCurta, concreta, recorrente: utilização de credenciais, deteção de phishing, vias de comunicação em caso de suspeita, uso de equipamentos fora das instalações. Meia hora de que todos precisam.
2. 2
   Formação técnica para responsáveisPara pessoas com funções específicas: metodologia de risco, gestão de evidências, auditoria interna, tratamento de incidentes, avaliação de fornecedores. Ajustada a cada referencial.
3. 3
   Órgãos de gestãoExpressamente exigida pela NIS2 e não delegável. Conteúdo: deveres da gestão, aprovação e supervisão das medidas, responsabilidade pessoal, prazos de notificação e o que se espera da gestão quando acontece.

Unidades por referencial

• ISO/IEC 27001 — responsáveis. Estrutura da norma, âmbito, metodologia de risco, declaração de aplicabilidade, tipos de evidência, desenrolar das fases 1 e 2.
• ISO 9001 — responsáveis. Orientação por processos sem manual obrigatório, indicadores e eficácia, ações corretivas, auditoria combinada com a ISO 27001.
• NIS2 — gestão e responsáveis. Abrangência e classificação, as dez medidas, prazos de notificação de 24 horas a um mês, aprovação pela gestão.
• DORA — responsáveis. As sete áreas, classificação de incidentes graves, registo de informação, programa de testes e quando o TLPT se aplica de facto.
• Todos os referenciais — todos os colaboradores. Sensibilização: credenciais, phishing, vias de comunicação, trabalho móvel.

Como formamos

1. 1
   Nas suas instalações ou por videoconferênciaAjustado ao seu referencial e ao seu âmbito, com os seus exemplos. Meio dia ou dia inteiro, conforme o nível.
2. 2
   Com evidência que conta em auditoriaParticipação, conteúdo, data e formador ficam documentados. Onde o que importa é a competência, acrescentamos uma verificação curta — é essa a diferença entre uma folha de presenças e uma evidência.
3. 3
   Separado da certificaçãoAconselhamos e formamos; não certificamos. Segundo a ISO/IEC 17021 um organismo de certificação não pode fazer ambas as coisas, pelo que escolhe o seu livremente e de forma independente de nós.