QNRCS: Consultoria e Avaliação de Cibersegurança em Portugal

O Quadro Nacional de Referência para a Cibersegurança é uma referência do Centro Nacional de Cibersegurança para organizar medidas de proteção e resposta. A estrutura aborda os objetivos identificar, proteger, detetar, responder e recuperar.

Pode ser utilizado como base para compreender práticas existentes e orientar melhorias. Quando o objetivo inclui certificação, é necessário considerar também os critérios e as regras do esquema de certificação aplicável.

• Precisa de uma visão estruturada das práticas de cibersegurança.
• Quer ligar medidas técnicas a responsabilidades e procedimentos.
• Procura definir prioridades de investimento e de implementação.
• Pretende organizar evidências para uma avaliação externa.

O âmbito pode abranger uma organização, um conjunto de serviços ou processos definidos. A delimitação é feita antes do trabalho para que as conclusões sejam interpretadas no contexto correto.

Os critérios são explicitados na proposta. O trabalho combina entrevistas e análise documental com a revisão, por amostragem, de evidências da execução das medidas abrangidas.

• Ativos, responsabilidades, riscos e dependências relevantes.
• Medidas de proteção e procedimentos associados.
• Capacidade de deteção e organização da resposta a incidentes.
• Recuperação de serviços e articulação com a continuidade de negócio.
• Registos, acompanhamento e ações de melhoria.

Testes de intrusão ou outras verificações técnicas especializadas não estão automaticamente incluídos numa avaliação organizacional. A sua necessidade e âmbito são definidos separadamente.

1. Enquadrar: identificar o objetivo, os serviços e os critérios aplicáveis.
2. Recolher: entrevistar responsáveis e analisar práticas e evidências.
3. Avaliar: apresentar lacunas e oportunidades face ao âmbito acordado.
4. Priorizar: definir propostas de ações com a organização e acompanhar as que forem contratadas.

Os entregáveis podem incluir relatório de diagnóstico ou avaliação interna, matriz de medidas e evidências e um plano de melhoria. Os responsáveis e prazos de implementação são definidos pela organização.

O diagnóstico e a avaliação interna aqui descritos não emitem um certificado QNRCS. Uma candidatura à certificação segue o processo e os critérios próprios do esquema, através de um organismo de certificação competente.

Uma certificação noutro referencial, como a ISO/IEC 27001, não deve ser apresentada como equivalência automática ao QNRCS. A utilização deste quadro também não dispensa a análise dos requisitos legais aplicáveis à entidade.

QNRCS e ISO 27001 são equivalentes?

Têm enquadramentos e critérios próprios. Um sistema de segurança da informação pode disponibilizar práticas e evidências úteis, mas as correspondências precisam de ser verificadas e não representam uma equivalência automática.

O diagnóstico atribui um certificado QNRCS?

A avaliação interna fornece conclusões e prioridades para melhoria. A decisão de certificação pertence ao organismo responsável pelo processo oficial.

Posso começar apenas por alguns serviços?

Pode ser definido um âmbito de diagnóstico limitado a serviços ou processos identificados. As conclusões aplicam-se a esse âmbito; uma eventual certificação exige cumprir as regras de âmbito do esquema.

Que informação é necessária no contacto inicial?

Indique o setor, serviços principais, dimensão aproximada, referenciais já utilizados e objetivo pretendido. A documentação e os acessos são acordados posteriormente.