Termos de compliance,
explicados em poucas palavras.

Disposição do Código Social alemão, livro V (SGB V), sobre segurança informática nos cuidados médicos e dentários prestados no âmbito do seguro de saúde público alemão, anteriormente § 75b. Uma diretiva define os requisitos que os consultórios têm de cumprir consoante a sua dimensão.

Medida que elimina a causa de uma não conformidade para que não volte a ocorrer. Vai além da simples correção do sintoma.

Medida que impede uma possível não conformidade antes de esta ocorrer. Nas normas ISO atuais, esta ideia foi integrada na abordagem baseada no risco.

Decisão consciente dos responsáveis de assumir um risco residual. Tem de ser documentada e fundamentada.

Confirmação formal de que um organismo de certificação ou de auditoria trabalha com competência técnica e de forma independente. Só a acreditação torna um certificado reconhecido internacionalmente.

Definição dos locais, processos, sistemas e unidades organizacionais abrangidos por um sistema de gestão. Um âmbito demasiado restrito reduz o valor informativo do certificado.

Comparação da situação atual com os requisitos de um framework. Mostra onde é preciso melhorar e é geralmente o primeiro passo de um projeto.

Identificação, análise e avaliação dos riscos segundo a probabilidade de ocorrência e o impacto. Determina que medidas são necessárias.

Tudo o que tem valor para a organização e tem de ser protegido: informação, sistemas, aplicações, instalações, mas também o conhecimento das pessoas. O inventário de ativos é a base de qualquer apreciação do risco.

Verificação sistemática e independente do cumprimento de requisitos. Distinguem-se auditorias internas, auditorias a fornecedores e auditorias de certificação realizadas por um organismo externo.

Auditoria anual entre a certificação inicial e a recertificação. Verifica partes do sistema de gestão e se este continua a ser eficaz.

Primeira parte da auditoria de certificação. O auditor verifica a documentação, o âmbito e a preparação antes de ser verificada a implementação propriamente dita.

Segunda parte da auditoria de certificação. O auditor verifica, no local ou remotamente, se o sistema de gestão está eficazmente implementado no dia a dia.

Auditoria no fim dos três anos de validade de um certificado. Volta a verificar todo o sistema de gestão e inicia um novo ciclo.

Verificação do sistema de gestão pela própria organização, realizada por pessoas independentes da empresa ou por externos contratados. Para as certificações ISO é obrigatória pelo menos uma auditoria interna por ciclo.

Início de sessão com pelo menos dois fatores independentes, por exemplo palavra-passe e código de utilização única. A NIS2 refere-a expressamente como medida, e muitos catálogos de controlos exigem-na para administradores.

Levantamento estruturado do estado de implementação dos requisitos, controlo a controlo. O resultado é uma imagem clara do que está cumprido e do que falta.

Avaliação prévia de um tratamento suscetível de implicar um elevado risco para os titulares dos dados. Descreve a finalidade, a necessidade, os riscos e as medidas para os atenuar.

Lei alemã relativa ao Serviço Federal Alemão de Segurança da Informação (BSI). Com a transposição da NIS2, define que entidades têm que obrigações de segurança, de notificação e de registo.

Etapa do processo no sistema HACCP em que um perigo para a segurança dos alimentos tem de ser eficazmente controlado, por exemplo no aquecimento ou na refrigeração. Para cada CCP existem limites críticos, monitorização e ações corretivas.

Declaração de um organismo de certificação acreditado de que um sistema de gestão cumpre os requisitos de uma norma. É geralmente válido por três anos, com auditorias de acompanhamento anuais.

O EU AI Act distingue práticas proibidas, sistemas de risco elevado, sistemas com obrigações de transparência e sistemas de risco mínimo. Quanto mais alta a classe, mais rigorosas as obrigações.

Regras documentadas sobre quem pode aceder a que sistemas e dados e em que medida, incluindo a atribuição, a verificação e a retirada de direitos. Os auditores exigem quase sempre evidência da recertificação periódica.

Resultado de uma auditoria relativamente a um requisito: conformidade, não conformidade, observação ou oportunidade de melhoria. As constatações são documentadas no relatório de auditoria.

Requisito individual ou medida de proteção de um framework, por exemplo controlo de acessos ou cópias de segurança. Os controlos são avaliados, implementados e comprovados com evidências.

Regras e meios técnicos que garantem que apenas pessoas autorizadas acedem a sistemas e dados. Um dos controlos mais frequentemente verificados.

Cópia regular de dados e sistemas para os poder restaurar em caso de perda. Os auditores prestam atenção sobretudo à recuperação testada, não apenas à realização das cópias.

Utilização de cifragem e assinaturas para proteger os dados em trânsito e em repouso. Os frameworks exigem uma política para os algoritmos e a gestão de chaves.

Parte opcional do catálogo BSI C5 para clientes com necessidades de proteção acrescidas. São verificados em complemento dos critérios básicos.

Parte obrigatória do catálogo BSI C5 que todos os fornecedores de cloud com relatório de atestação C5 têm de cumprir. São complementados por critérios adicionais para necessidades de proteção mais elevadas.

Catálogo de critérios do BSI para serviços de cloud seguros. Um auditor independente (revisor oficial de contas) verifica a implementação e emite um relatório de atestação do tipo 1 (adequação) ou do tipo 2 (eficácia ao longo de um período).

Atitude e comportamentos partilhados na empresa que sustentam a segurança dos alimentos no dia a dia. A legislação da UE em matéria de higiene dos géneros alimentícios exige que as empresas a promovam e a demonstrem.

Organismo nacional de acreditação da Alemanha. Acredita, entre outros, organismos de certificação para a ISO 27001 e a ISO 9001.

Documento central de um SGSI segundo a ISO 27001. Enumera todos os controlos do Anexo A, justifica a sua seleção ou exclusão e indica o estado de implementação.

Os três objetivos clássicos de proteção da segurança da informação. Cada medida serve pelo menos um deles.

Regulamento da UE relativo à resiliência operacional digital do setor financeiro, aplicável desde janeiro de 2025. Regula a gestão do risco de TIC, a notificação de incidentes, os testes de resiliência e a relação com prestadores terceiros de serviços de TIC.

Pessoa que aconselha uma empresa em matéria de proteção de dados e controla o cumprimento do RGPD. Pode ser designada internamente ou contratada externamente.

Regulamento da UE relativo à inteligência artificial. Classifica os sistemas de IA em função do risco e associa-lhes obrigações graduadas para prestadores e responsáveis pela implantação.

Prova de que um controlo está implementado, por exemplo um documento, uma captura de ecrã, uma ata ou uma exportação. As boas evidências têm uma versão e uma data de validade.

Termo genérico para normas, leis e catálogos de critérios pelos quais uma empresa se orienta, por exemplo ISO 27001, NIS2 ou SOC 2.

Catálogo de requisitos definido pela própria organização, por exemplo normas internas do grupo ou requisitos de clientes, gerido como uma norma, com controlos, evidências e avaliações.

Acesso para auditores externos que mostra tudo o que é relevante para a auditoria, mas não permite alterações. Assim, a auditoria mantém-se independente e rastreável.

Planeamento da forma como os processos de negócio críticos continuam a funcionar ou são rapidamente restabelecidos em caso de falha. Inclui planos de emergência, tempos de recuperação e exercícios regulares.

Preparação e resposta a perturbações graves, com alerta, gabinete de crise e planos de recuperação. Faz parte da gestão da continuidade do negócio.

Processo contínuo de identificar, avaliar e corrigir atempadamente vulnerabilidades em sistemas. Um tema central da NIS2, do DORA e da ISO 27001.

Quadro de estratégias, políticas e ferramentas com o qual uma entidade financeira identifica, protege, monitoriza e corrige riscos decorrentes das tecnologias de informação e comunicação. Capítulo central do DORA.

Articulação entre governo da empresa, gestão de riscos e cumprimento de leis, normas e regras internas. O software de GRC, muitas vezes chamado ferramenta de GRC, reúne estas tarefas num só lugar: requisitos, riscos, medidas, evidências e auditorias. O Sightadel é uma plataforma de GRC para ISO 27001, ISO 9001, NIS2, DORA e outros frameworks.

Sistema de análise de perigos na produção e transformação de alimentos. As empresas do setor alimentar na UE são obrigadas a aplicá-lo.

Sistemas de IA que o EU AI Act regula de forma especialmente rigorosa devido aos possíveis efeitos na saúde, na segurança ou nos direitos fundamentais, por exemplo no recrutamento, na concessão de crédito ou em infraestruturas críticas. Aplicam-se-lhes gestão de riscos, qualidade dos dados, documentação e supervisão humana.

Associação internacional dos organismos de acreditação. Através do seu reconhecimento mútuo, os certificados de organismos acreditados são válidos também noutros Estados-Membros.

Evento que afeta ou pode afetar a confidencialidade, a integridade ou a disponibilidade da informação. Os incidentes são registados, avaliados, tratados e analisados.

Norma internacional para trabalhos de garantia de fiabilidade que não incidem sobre informação financeira. Nela assentam, por exemplo, os relatórios de atestação C5 e as auditorias aos controlos internos de prestadores de serviços.

Norma internacional para sistemas de gestão da qualidade. Exige processos orientados para o cliente e controlados, bem como melhoria contínua.

Norma com requisitos para os organismos que auditam e certificam sistemas de gestão. Proíbe, entre outras coisas, que um organismo de certificação preste consultoria à mesma organização.

Norma internacional para sistemas de gestão de segurança da informação. É certificável e é considerada na Europa a evidência mais importante de segurança da informação.

Norma internacional para sistemas de gestão de inteligência artificial. Ajuda a desenvolver e utilizar a IA de forma responsável e é certificável.

Termo alemão para as instalações cuja falha teria consequências graves para a coletividade, por exemplo nos setores da energia, da água, da saúde ou financeiro. Na Alemanha, os seus operadores estão sujeitos a obrigações acrescidas de segurança e de prova.

Medidas de proteção previstas no RGPD, por exemplo cifragem, controlo de acessos ou formação. Têm de ser adequadas ao risco e são geralmente documentadas numa síntese.

Princípio básico de todas as normas de sistemas de gestão: planear, executar, verificar, melhorar. Um sistema de gestão nunca está concluído.

Rascunho preparado de políticas, processos ou respostas, que é adaptado à própria empresa. Um modelo só faz sentido se for realmente adaptado e não simplesmente copiado.

Requisito não cumprido. Na auditoria de certificação distinguem-se não conformidades maiores e menores; as maiores têm de estar corrigidas antes da emissão do certificado.

Avaliação do nível de proteção exigido pela confidencialidade, integridade e disponibilidade de uma informação ou de um sistema. Dela decorrem as medidas adequadas.

Diretiva da UE relativa a um elevado nível comum de cibersegurança. Alarga significativamente o universo de empresas abrangidas e exige medidas de gestão de riscos, notificações e responsabilidade da gestão.

Quadro de referência do National Institute of Standards and Technology dos EUA. Na versão 2.0, organiza a cibersegurança em seis funções: Govern, Identify, Protect, Detect, Respond e Recover.

Organização acreditada que audita sistemas de gestão e emite certificados. Tem de se manter independente da consultoria.

Lista de medidas concretas, com responsáveis e prazos, para colmatar uma lacuna, um risco ou uma não conformidade.

Regra interna vinculativa, por exemplo sobre a utilização de palavras-passe ou as cópias de segurança. As políticas são aprovadas pela gestão, divulgadas e revistas regularmente.

Os incidentes de segurança significativos têm de ser notificados por fases: um alerta precoce no prazo de 24 horas, uma notificação com avaliação inicial no prazo de 72 horas e um relatório final, o mais tardar, um mês depois.

No âmbito do DORA, qualquer prestador que forneça serviços digitais ou de dados a uma entidade financeira, por exemplo cloud, software ou centro de dados. Aplicam-se-lhes requisitos específicos em matéria de contratos, monitorização e estratégias de saída.

Situação em que todos os requisitos estão implementados, as evidências estão atualizadas e a auditoria interna e a revisão pela gestão estão concluídas. A auditoria externa pode então começar sem surpresas.

Síntese de todos os tratamentos de dados pessoais com finalidade, categorias, destinatários, prazos e medidas de proteção. O RGPD exige-o a quase todas as empresas.

Registo completo de quem alterou o quê e quando no sistema. Os auditores utilizam-no para verificar se os processos são efetivamente aplicados.

Registo de todos os acordos contratuais de uma entidade financeira com prestadores terceiros de serviços de TIC. É mantido num formato predefinido e transmitido à autoridade de supervisão.

Parecer de um auditor independente (revisor oficial de contas) sobre um sistema auditado, por exemplo segundo o BSI C5. Ao contrário de um certificado, não é emitido por um organismo de certificação.

No âmbito da NIS2 e do DORA, a administração responde pela aplicação e supervisão das medidas de gestão de riscos. Para isso, tem de receber formação regularmente.

Pessoa responsável pela implementação, operação e evolução do SGSI. Reporta à gestão de topo e coordena riscos, medidas e incidentes.

Avaliação periódica do sistema de gestão pela gestão de topo com base em indicadores, resultados de auditorias e riscos. Termina com decisões sobre recursos e melhorias.

Regulamento da UE relativo à proteção dos dados pessoais. Exige, entre outros aspetos, fundamentos jurídicos, transparência, direitos dos titulares, medidas técnicas e organizativas e responsabilidade.

Risco decorrente de prestadores de serviços e fornecedores, por exemplo por falha ou fuga de dados. É gerido através de avaliações, questionários e contratos.

Indicador que resume o estado de implementação dos controlos em todos os frameworks. Mostra num relance onde uma empresa está e como está a evoluir.

Formações e ações que tornam os trabalhadores conscientes dos riscos de segurança. Quase todos os frameworks a exigem de forma regular e comprovável.

Conjunto de regras, processos, funções e medidas com que uma empresa planeia, implementa, monitoriza e melhora a segurança da informação. A ISO 27001 define os requisitos.

Sistema de gestão que orienta os processos para uma qualidade constante e para a satisfação dos clientes. A base mais conhecida é a ISO 9001.

Relatório de auditoria segundo normas norte-americanas sobre os controlos de um prestador de serviços, elaborado por uma sociedade de revisores oficiais de contas. O Tipo I considera uma data de referência; o Tipo II, um período.

Quando um prestador de serviços trata dados pessoais por conta de uma empresa, o artigo 28.º do RGPD exige um contrato com obrigações definidas. Esse contrato regula, entre outros aspetos, as instruções, os subcontratantes ulteriores e as medidas técnicas de proteção.

Tentativa de ataque direcionada e autorizada a sistemas para encontrar vulnerabilidades. Muitos frameworks esperam testes regulares e a correção dos resultados.

Procedimento de avaliação e de partilha de resultados em segurança da informação na indústria automóvel. Baseia-se num catálogo de perguntas específico do setor.

Teste de penetração orientado por ameaças no âmbito do DORA, que imita atacantes reais e inclui sistemas em produção. Determinadas entidades financeiras têm de o realizar regularmente.

Decisão sobre a forma de lidar com um risco avaliado: evitar, reduzir, transferir ou aceitar. Daí resulta o plano de tratamento do risco com as respetivas medidas.

Página pública ou protegida em que uma empresa mostra aos clientes as suas evidências de segurança e de conformidade. Responde a muitos questionários antes de serem enviados.

Critérios segundo os quais são elaborados os relatórios SOC 2: segurança, disponibilidade, integridade do processamento, confidencialidade e privacidade. A segurança é sempre obrigatória; os restantes são escolhidos.

Demonstração de que uma medida não só existe como atinge o seu objetivo, por exemplo através de indicadores, amostragens ou testes.

Incidente em que dados pessoais são perdidos, divulgados ou alterados. Na maioria dos casos, tem de ser notificado à autoridade de controlo no prazo de 72 horas.