DSPM em 2026: do risco dos dados na nuvem à evidência de auditoria

Às 08:17 de uma segunda-feira, o CISO de uma fintech em rápido crescimento recebe três mensagens que transformam uma semana normal num teste de governação.

A Engenharia escreve primeiro: “Encontrámos um bucket antigo de analytics com registos de clientes exportados. Não está público, mas várias contas de serviço conseguem lê-lo.”

O EPD prossegue: “Conseguimos demonstrar onde estão armazenados os dados de categorias especiais e os identificadores financeiros, quem lhes pode aceder e se continuamos dentro da finalidade e dos prazos de conservação aplicáveis?”

Depois, o COO acrescenta a pressão que todos os líderes de segurança reconhecem atualmente: “Um cliente bancário está a perguntar como é que os nossos controlos de dados na nuvem se mapeiam para ISO/IEC 27001:2022, NIS2, DORA e GDPR da UE. Querem evidência até sexta-feira.”

As políticas existem. A revisão de acessos foi concluída no trimestre anterior. O registo de ativos diz “data lake AWS”. O painel de segurança tem alertas. Mas nenhum desses artefactos responde à verdadeira pergunta de negócio: que dados sensíveis existem, onde residem, quem ou o quê lhes pode aceder, que exposições são mais relevantes, quem é responsável pela remediação e que evidência pode ser apresentada a auditores, reguladores, clientes e gestão?

Esse é o problema de Data Security Posture Management em 2026.

Para CISO, responsáveis pela conformidade e EPD, o DSPM deixou de ser uma categoria de ferramenta de segurança na nuvem de nicho. Tornou-se um modelo operacional orientado por evidência para governar dados sensíveis em plataformas de nuvem, aplicações SaaS, armazéns de dados, ambientes de desenvolvimento, cópias de segurança, contas de serviço e prestadores terceiros. Quando bem executado, o DSPM liga a descoberta de dados sensíveis, a exposição de acessos, o risco dos dados na nuvem e a evidência regulamentar num sistema de controlo repetível.

O que o DSPM significa realmente em 2026

O Data Security Posture Management deve responder continuamente a seis perguntas:

1. Que dados sensíveis e regulados temos?
2. Onde são armazenados, copiados, tratados, exportados e sujeitos a cópia de segurança?
3. Quem, ou o quê, lhes pode aceder?
4. Que exposições aumentam o risco de negócio, regulamentar ou operacional?
5. Quem é responsável pela remediação e até quando?
6. Que evidência podemos apresentar quando formos questionados?

Uma ferramenta de DSPM pode fazer varrimentos de armazenamentos de objetos, bases de dados, repositórios SaaS, armazéns de dados, repositórios de código e ambientes de programadores. Mas é o programa de DSPM que determina o significado dessas constatações. Define como os dados são classificados, como o risco é pontuado, que proprietários são responsabilizados, como a remediação é acompanhada e como a evidência é retida.

A Clarysec estrutura o DSPM em torno de três domínios de evidência interligados:

Estes domínios de evidência não devem viver em folhas de cálculo separadas. A descoberta de dados sensíveis sem redução de acessos é apenas consciencialização. A redução de acessos sem sensibilidade dos dados é uma poda às cegas. A postura da nuvem sem contexto dos dados não identifica as interseções de maior risco. O DSPM ganha valor quando alimenta um único inventário de ativos, um único Registo de Riscos, um único fluxo de remediação e uma única cadência de evidência de conformidade.

É por isso que o Zenith Blueprint: roteiro de 30 passos para auditores começa por uma gestão disciplinada de ativos e riscos. Na fase de Gestão de Riscos, o passo 9 instrui as organizações a inventariar ativos de informação registando proprietário, localização e classificação, e a assinalar ativos com dados pessoais e ativos de serviços críticos pela sua relevância para o GDPR da UE e a NIS2. O Blueprint dá um exemplo prático: uma “Base de Dados de Clientes” pertencente à TI, alojada na AWS, contendo dados pessoais e financeiros com elevada sensibilidade. Esse é o ponto de partida do DSPM: não uma lista genérica de ativos na nuvem, mas um inventário enriquecido com sensibilidade, localização e responsabilização.

Mais à frente, na fase de Controlos em Ação, passo 19, o Zenith Blueprint estabelece o princípio de acesso que deve orientar todos os programas de DSPM:

O acesso à informação deve ser tão aberto quanto necessário, mas tão restrito quanto possível.

Esta frase é o centro de governação do DSPM.

Porque a ISO/IEC 27001:2022 é a âncora da governação de DSPM

A ISO/IEC 27001:2022 dá ao DSPM a sua espinha dorsal de sistema de gestão. As cláusulas 4.1 a 4.4 exigem que a organização compreenda o contexto, as partes interessadas, as obrigações legais e regulamentares, o âmbito, as interfaces e as dependências. Para o DSPM, isto significa que o âmbito do SGSI não deve dizer apenas “plataforma de nuvem”. Deve identificar o ambiente de tratamento de dados, os serviços de nuvem, os serviços TIC externalizados, os repositórios críticos, os processos de negócio e as expectativas regulamentares.

As cláusulas 6.1.1 a 6.1.3 e 6.2 são o ponto em que o DSPM se transforma em risco governado. A ISO/IEC 27001:2022 exige um processo consistente de avaliação de riscos de segurança da informação, critérios de aceitação do risco, proprietários do risco, tratamento de riscos, seleção de controlos, uma Declaração de Aplicabilidade e objetivos mensuráveis. Um resultado de varrimento que diz “10 000 registos de clientes num bucket de não produção” ainda não é governação. Num modelo de DSPM alinhado com a ISO/IEC 27001:2022, essa constatação torna-se:

• Uma atualização do inventário de ativos
• Uma confirmação de classificação
• Uma entrada de risco com probabilidade, impacto, pontuação, proprietário e plano de tratamento
• Um mapeamento de controlos na Declaração de Aplicabilidade
• Uma tarefa de remediação com data limite e decisão de aceitação
• Evidência para revisão de acessos, governação da nuvem, monitorização e auditoria

A Política de Gestão de Riscos - PME capta a estrutura mínima necessária para impedir que o DSPM se transforme num painel ruidoso. A cláusula 5.1.2 estabelece:

Cada entrada de risco deve incluir: descrição, probabilidade, impacto, pontuação, proprietário e plano de tratamento.

Este requisito é pequeno, mas poderoso. Cada exposição material de dados deve ser atribuída a um proprietário identificado e a um caminho de tratamento.

Os controlos ISO/IEC 27002:2022 que tornam o DSPM auditável

No Zenith Controls: guia de conformidade cruzada, a Clarysec mapeia os requisitos da ISO/IEC 27001:2022 e da ISO/IEC 27002:2022 para uma visão prática de auditoria e conformidade cruzada. Para o DSPM, três controlos ISO/IEC 27002:2022 são especialmente centrais:

Estes controlos definem o que o DSPM deve provar.

Para o controlo 5.9, um programa de DSPM deve demonstrar que a informação e os ativos associados são conhecidos, têm proprietário e são mantidos. Para o controlo 5.18, deve demonstrar que os direitos de acesso correspondem a requisitos de negócio e segurança, e não à conveniência histórica. Para o controlo 5.23, deve demonstrar que os serviços de nuvem são governados, e não meramente consumidos.

O Zenith Blueprint torna explícita a questão da governação da nuvem no passo 23:

A nuvem já não é um destino, é o modelo por defeito.

A mesma secção alerta que armazenamento mal configurado, painéis expostos e permissões IAM na nuvem excessivas não são falhas do prestador. São falhas de governação. O DSPM pertence dentro do SGSI porque converte a exposição dos dados na nuvem em tratamento de riscos com responsabilização.

Mapeamento do DSPM para NIS2, DORA e GDPR da UE

A razão pela qual o DSPM se tornou um tema ao nível do conselho de administração não é apenas técnica. É regulamentar.

NIS2: supervisão da gestão e evidência de higiene de cibersegurança

A NIS2 muda a conversa porque a gestão de riscos de cibersegurança é responsabilidade do órgão de gestão. O Artigo 20 exige que os órgãos de gestão das entidades essenciais e importantes aprovem medidas de gestão de riscos de cibersegurança, supervisionem a sua implementação e recebam formação. Para o DSPM, isto significa que a liderança não pode simplesmente perguntar se a equipa de segurança tem uma ferramenta. Precisa de evidência de que a exposição de dados sensíveis, o risco dos dados na nuvem e a remediação estão a ser governados.

O Artigo 21 exige medidas técnicas, operacionais e organizacionais adequadas e proporcionadas. As suas áreas mínimas incluem análise de riscos, políticas de segurança, tratamento de incidentes, continuidade de negócio, segurança da cadeia de fornecimento, aquisição e desenvolvimento seguros, avaliação da eficácia, higiene de cibersegurança, criptografia, segurança de recursos humanos, controlo de acesso, gestão de ativos e autenticação.

O DSPM apoia estas expectativas ao demonstrar que:

• Os ativos de dados e os repositórios estão identificados
• Os dados sensíveis estão classificados e protegidos
• Os acessos excessivos são detetados e remediados
• Os armazenamentos de dados na nuvem são governados e monitorizados
• Os fornecedores e os serviços de nuvem são visíveis
• O impacto de incidentes pode ser avaliado por tipo de dados, localização e serviço afetado
• A cifragem, a MFA e os controlos de acesso são aplicados quando adequado

O Artigo 23 da NIS2 também torna o tempo crítico. Incidentes significativos exigem um alerta precoce no prazo de 24 horas, uma notificação de incidente no prazo de 72 horas e um relatório final no prazo de um mês. Sem DSPM, as primeiras 24 horas são frequentemente gastas a responder a perguntas básicas: que dados foram afetados, quem tinha acesso, estavam envolvidos dados pessoais, existiu impacto transfronteiriço? Com a evidência de DSPM integrada na resposta a incidentes, essas respostas são mais rápidas e mais defensáveis.

DORA: a resiliência operacional das TIC depende do controlo dos dados

Para entidades financeiras, o DORA aplica-se desde 17 de janeiro de 2025 e funciona como um regime setorial de resiliência operacional. Abrange gestão do risco das TIC, reporte de incidentes graves relacionados com TIC, testes de resiliência operacional digital, partilha de informações sobre ciberameaças e vulnerabilidades, risco de terceiros de TIC e disposições contratuais com prestadores de serviços terceiros de TIC.

O Artigo 5 exige que os órgãos de gestão definam, aprovem, supervisionem e permaneçam responsáveis pelos mecanismos de gestão do risco das TIC, incluindo políticas para Disponibilidade, Autenticidade, Integridade e Confidencialidade dos dados. O Artigo 6 exige um quadro de gestão de riscos das TIC documentado que cubra políticas, procedimentos, protocolos TIC e ferramentas para proteger ativos de informação, ativos TIC e infraestrutura física. Deve ser revisto, melhorado com lições aprendidas, auditado e ligado a uma estratégia de resiliência operacional digital.

O DSPM dá aos programas DORA a visão ao nível dos dados que muitos quadros de risco TIC não têm. Um sistema pode estar marcado como “crítico”, mas o planeamento de resiliência também precisa de saber que dados sensíveis existem dentro dele, que dependências de nuvem o rodeiam e que vias de acesso podem afetar a Confidencialidade, Integridade, Disponibilidade e Autenticidade.

Para PME fintech, o DORA pode aplicar-se diretamente se forem entidades financeiras, como instituições de pagamento, instituições de moeda eletrónica, empresas de investimento, prestadores de serviços de criptoativos ou prestadores de serviços de informação sobre contas. Os prestadores SaaS também podem tornar-se relevantes como prestadores de serviços terceiros de TIC quando suportam serviços financeiros, especialmente funções críticas ou importantes.

GDPR da UE: a responsabilização começa por conhecer os dados

O GDPR da UE torna o DSPM inevitável porque o Artigo 5 exige que o tratamento de dados pessoais siga os princípios da licitude, lealdade e transparência, limitação da finalidade, minimização de dados, exatidão, limitação da conservação, Integridade e Confidencialidade. O Artigo 5(2) acrescenta a responsabilização: o responsável pelo tratamento deve ser capaz de demonstrar conformidade.

A palavra “demonstrar” é onde o DSPM justifica o seu lugar.

Se uma organização não conseguir descobrir dados pessoais em armazenamento na nuvem, exportações SaaS, ambientes de teste, armazéns de analytics e repositórios sombra, não consegue demonstrar de forma credível a minimização ou a limitação da conservação. Se não conseguir mostrar quem tem acesso, não consegue demonstrar de forma credível Integridade e Confidencialidade. Se não conseguir mapear repositórios para finalidades e proprietários, não consegue suportar registos de atividades de tratamento precisos, fluxos de trabalho de eliminação ou avaliações de riscos de privacidade.

A Política de Classificação e Rotulagem da Informação - PME transforma este princípio numa atividade de controlo recorrente. A cláusula 8.1.1 estabelece:

O Diretor-Geral ou o Responsável de TI deve realizar auditorias regulares a partilhas de ficheiros, sistemas e repositórios para verificar a classificação e rotulagem corretas.

Para organizações maiores, a Política de Classificação e Rotulagem da Informação acrescenta automatização. A cláusula 8.3.2 exige:

Validação automatizada da classificação usando Prevenção de Perda de Dados (DLP) e ferramentas de descoberta

A classificação manual, por si só, não acompanha a dispersão dos dados. O DSPM fornece a camada de validação.

O modelo operacional de DSPM da Clarysec

Um programa de DSPM maduro não é um varrimento único. É um modelo operacional repetível: descobrir, classificar, expor, tratar e evidenciar.

1. Descobrir repositórios e fluxos de dados

Comece por contas de nuvem, armazenamentos de objetos, bases de dados, partilhas de ficheiros, plataformas SaaS, armazéns de dados, cópias de segurança, repositórios de código e ambientes de não produção. A Política de gestão de ativos exige, na cláusula 6.1.1:

O Gestor de Ativos de TI deve manter um inventário de ativos abrangente e centralizado que cubra todos os ativos de informação usados pela organização ou a ela conectados.

A descoberta por DSPM deve atualizar diretamente o inventário de ativos. Se a ferramenta encontrar um novo armazém de dados, um bucket de analytics não gerido ou uma exportação SaaS, isso não deve permanecer apenas como artefacto de segurança. Deve tornar-se um registo de ativo com proprietário, localização, sensibilidade e finalidade de negócio.

2. Classificar dados sensíveis e regulados

O DSPM deve identificar dados pessoais, dados financeiros, credenciais, segredos, propriedade intelectual, dados pessoais dos trabalhadores e registos de negócio regulados. A classificação deve mapear proprietários, finalidades do tratamento, ambientes e expectativas de retenção.

É aqui que a priorização começa. Um ficheiro público de marketing e um snapshot de base de dados com dados de cartões de pagamento não representam o mesmo risco. A classificação permite que as equipas de segurança se concentrem primeiro nas exposições que afetam clientes, serviços críticos, processos regulados e resiliência do negócio.

3. Analisar a exposição de acessos

A exposição de acessos é frequentemente a constatação que chama a atenção da liderança executiva. Inclui exposição pública, grupos internos amplos, contas inativas, funções administrativas partilhadas, contas de serviço com privilégios excessivos, acesso entre tenants, permissões obsoletas de terceiros e acesso de programadores a dados de produção.

A Política de Controlo de Acesso - PME é direta. A cláusula 5.5.2 estabelece:

As revisões devem identificar e corrigir privilégios excessivos ou desatualizados.

A Política de controlo de acesso acrescenta um requisito empresarial essencial:

O acesso a dados classificados ou regulados deve basear-se em:

Os critérios detalhados continuam na política, mas o gatilho de governação já é claro. Dados classificados ou regulados não podem ser acedidos por conveniência, herança ou acumulação histórica de funções. O DSPM fornece a evidência para questionar essas vias de acesso.

4. Governar o risco dos dados na nuvem

O DSPM deve estar ligado à governação da nuvem. A Política de Utilização da Cloud - PME estabelece:

Deve ser mantido um Registo de Serviços de Nuvem pelo prestador de TI ou pelo Diretor-Geral. Deve registar:

Na perspetiva do DSPM, o Registo de Serviços de Nuvem é a ponte entre a descoberta de dados e a responsabilização pelo serviço. Identifica onde os dados podem ser armazenados, que prestadores estão aprovados, quem é proprietário do serviço e que controlos se aplicam.

A Política de Utilização da Cloud acrescenta o lado da configuração:

Os desvios de configuração devem ser detetados e remediados usando ferramentas de Cloud Security Posture Management (CSPM).

DSPM e CSPM são complementares. O CSPM indica se um bucket, base de dados ou serviço de armazenamento está mal configurado. O DSPM indica se os dados no seu interior são sensíveis e quem lhes pode aceder. Em conjunto, permitem uma priorização baseada no risco.

5. Registar em logs e monitorizar o acesso a dados sensíveis

O DSPM não pode depender apenas de permissões estáticas. Deve ser suportado por logs que mostrem atividade de acesso, alterações de permissões e utilização de recursos partilhados. A Política de Registo em Logs e Monitorização - PME identifica categorias relevantes de logs de acesso na cláusula 5.4.3:

Logs de acesso: acesso a ficheiros (especialmente para dados sensíveis ou pessoais), alterações de permissões, utilização de recursos partilhados

Isto transforma o DSPM de um snapshot numa capacidade de monitorização. Também reforça a resposta a incidentes, a investigação de privacidade e a evidência de auditoria.

6. Converter constatações em tratamento de riscos e evidência de auditoria

Por fim, as constatações de DSPM devem ser revistas, classificadas por risco, atribuídas, tratadas e retidas como evidência. A Política de Auditoria e Monitorização da Conformidade explica a finalidade da monitorização como:

Apoiar a melhoria contínua e a preparação para certificações, avaliações e revisões regulamentares

Este é o estado-alvo: evidência de DSPM útil durante um incidente, pronta para auditorias ISO/IEC 27001:2022, credível para supervisão NIS2, relevante para revisões de risco TIC DORA e prática para a responsabilização no GDPR da UE.

Um sprint de cinco dias para evidência de DSPM

Imagine novamente o cenário da fintech na segunda-feira. Um cliente bancário quer evidência até sexta-feira. A Clarysec estruturaria um sprint focado de evidência de DSPM da seguinte forma:

O passo prático que muda tudo é o Dia 5. Demasiadas organizações param no Dia 3 com uma folha de cálculo de exposições. A Clarysec encaminha os resultados para o Registo de Riscos e a Declaração de Aplicabilidade.

O Zenith Blueprint explica no passo 13 que a Declaração de Aplicabilidade é um documento de ligação entre a avaliação de riscos e o tratamento de riscos e os controlos efetivamente aplicados. Também recomenda referenciar cruzadamente, no Registo de Riscos ou nas notas da SoA, os controlos implementados para o GDPR da UE, NIS2 ou DORA.

Para o DSPM, uma constatação como “registos de clientes em bucket de analytics não gerido com acesso amplo de leitura” torna-se uma narrativa de conformidade estruturada:

• Risco: acesso não autorizado a dados pessoais e financeiros em armazenamento de analytics não gerido
• Proprietário: Responsável da Plataforma de Dados
• Impacto: risco de Confidencialidade no GDPR da UE, risco TIC DORA se suportar serviços financeiros, relevância NIS2 para controlo de acesso e gestão de ativos
• Tratamento: remover acesso amplo, mover dados para armazenamento aprovado, aplicar retenção, ativar registo de acessos, atualizar o Registo de Serviços de Nuvem
• Controlos: controlos ISO/IEC 27002:2022 5.9, 5.18 e 5.23, além de políticas relacionadas de acesso, registo em logs e classificação
• Evidência: varrimento DSPM, diferença IAM, ticket de remediação, configuração de logs, inventário atualizado e aprovação formal da gestão

Isto é DSPM preparado para auditoria.

Um conjunto de evidência de DSPM, muitas perguntas de referenciais

O valor do DSPM aumenta quando a evidência é reutilizável. Um único conjunto de evidência bem concebido pode responder a várias perguntas regulamentares e de referenciais.

O NIST CSF 2.0 é especialmente útil como camada de comunicação. Ajuda as organizações a compreender, avaliar, priorizar e comunicar risco de cibersegurança. As constatações de DSPM mapeiam-se naturalmente para conversas de Governar, Identificar, Proteger e Detetar, especialmente quando os executivos precisam de uma narrativa de risco não técnica.

Como os auditores irão olhar para a evidência de DSPM

Os auditores não irão certificar a sua ferramenta de DSPM. Irão avaliar se o modelo operacional produz evidência fiável e impulsiona a melhoria dos controlos.

Um painel, por si só, não satisfaz estas perspetivas. Os auditores querem conseguir seguir o percurso desde contexto e âmbito até avaliação de riscos, tratamento de riscos, implementação de controlos, monitorização e melhoria.

Padrões comuns de falha em DSPM

A Clarysec vê frequentemente os mesmos problemas quando as organizações implementam DSPM depressa demais.

Primeiro, a organização compra uma ferramenta, mas nunca atualiza o inventário de ativos. O resultado é descoberta sem propriedade.

Segundo, a classificação é tecnicamente precisa, mas não está mapeada para finalidade de negócio, retenção ou registos do GDPR da UE. O resultado é evidência de privacidade que ainda exige interpretação manual.

Terceiro, as constatações de exposição de acessos são enviadas para a engenharia sem classificação de risco. O resultado é fadiga de backlog.

Quarto, a postura da nuvem e a postura dos dados ficam separadas. O CSPM reporta exposição pública, o DSPM reporta dados sensíveis, mas ninguém cruza ambos para priorizar a sobreposição perigosa.

Quinto, as constatações são remediadas, mas não são retidas como evidência de auditoria. A organização fica mais segura, mas não consegue prová-lo.

Um modelo operacional de DSPM forte evita estas falhas ao ligar cada constatação material à propriedade de ativos, classificação, governação de acessos, gestão de serviços de nuvem, tratamento de riscos e retenção de evidência.

Métricas de DSPM ao nível do conselho que realmente importam

A gestão não precisa de uma lista de todas as tabelas sensíveis. Precisa de indicadores-chave de risco que mostrem direção, responsabilização e exposição residual. Um reporte de DSPM eficaz deve incluir:

• Número de repositórios sensíveis por ambiente e proprietário
• Percentagem de repositórios sensíveis com classificação confirmada
• Número de exposições de acessos de alto risco abertas e vencidas
• Dados sensíveis em serviços de nuvem não aprovados
• Dados sensíveis em ambientes de não produção
• Exposição pública ou externa envolvendo dados regulados
• Armazenamentos de dados críticos sem registo em logs suficiente
• Tempo de remediação por proprietário e severidade
• Riscos residuais aceites envolvendo dados pessoais ou financeiros
• Completude da evidência para auditoria e revisão regulamentar

Estas métricas alinham-se com a supervisão da gestão exigida pela NIS2, as expectativas de governação da DORA, a responsabilização do GDPR da UE e a avaliação de desempenho da ISO/IEC 27001:2022.

Do caos dos dados na nuvem à evidência controlada

O panorama regulamentar de 2026 é implacável. A adoção da nuvem, a proliferação de SaaS, a velocidade de desenvolvimento e a duplicação analítica criaram uma tempestade perfeita de risco oculto nos dados. Esperar por um incidente, uma auditoria de cliente ou um pedido de regulador para revelar a sua postura de segurança dos dados deixou de ser uma estratégia viável.

O DSPM é a ponte entre a realidade dos dados modernos na nuvem e as expectativas de evidência da ISO/IEC 27001:2022, NIS2, DORA e GDPR da UE. Substitui conjeturas por descoberta, incerteza por classificação, acesso não gerido por remediação e artefactos dispersos por evidência de auditoria reutilizável.

A abordagem da Clarysec é prática:

1. Use o Zenith Blueprint: roteiro de 30 passos para auditores para ancorar o DSPM no inventário de ativos, tratamento de riscos, restrição de acessos, governação da nuvem e Declaração de Aplicabilidade.
2. Use o Zenith Controls: guia de conformidade cruzada para mapear atividades de DSPM para os controlos ISO/IEC 27002:2022 5.9, 5.18 e 5.23, e depois reutilizar evidência nas perspetivas de auditoria NIS2, DORA, GDPR da UE, NIST CSF 2.0 e COBIT 2019.
3. Use políticas da Clarysec como a Política de gestão de ativos, Política de Classificação e Rotulagem da Informação - PME, Política de Classificação e Rotulagem da Informação, Política de Controlo de Acesso - PME, Política de controlo de acesso, Política de Utilização da Cloud - PME, Política de Utilização da Cloud, Política de Registo em Logs e Monitorização - PME, Política de Gestão de Riscos - PME e Política de Auditoria e Monitorização da Conformidade para transformar o DSPM de saída de ferramenta num modelo operacional controlado.

Se a sua organização enfrenta dispersão de dados na nuvem, acessos excessivamente permissivos, repositórios sombra, pressão de garantia por parte de clientes ou lacunas de evidência regulamentar, o próximo passo não é outra folha de cálculo. É um sprint de evidência de DSPM que produza uma linha de base de ativos, um mapa de classificação, um registo de exposição, uma visão de risco dos dados na nuvem, um plano de tratamento de riscos e um pacote de evidência preparado para auditoria.

A Clarysec pode ajudá-lo a construir esse modelo operacional, alinhá-lo com a ISO/IEC 27001:2022 e fazer com que a mesma evidência sirva para NIS2, DORA, GDPR da UE e diligência prévia de clientes. Descarregue os toolkits da Clarysec, agende uma avaliação de evidência de DSPM ou comece com um sprint de cinco dias para transformar o risco dos dados na nuvem em evidência de conformidade defensável.