Governação da transferência segura de ficheiros para auditorias ISO 27001

Eram 16:47 de uma terça-feira quando Anya, CISO de uma FinTech em rápido crescimento, recebeu o tipo de chamada que muda um programa de segurança.

Não era ransomware. Não era uma indisponibilidade de produção. Era o diretor jurídico, a falar com urgência controlada. Um analista júnior tinha anexado o ficheiro errado a uma mensagem de correio eletrónico durante uma fase intensiva de diligência prévia de M&A. O ficheiro não era uma apresentação inofensiva. Continha projeções financeiras, dados pessoais de clientes e propriedade intelectual estratégica. O destinatário previsto era um advogado externo, mas o analista introduziu um endereço de correio eletrónico pessoal em vez da caixa de correio aprovada da sociedade de advogados.

A única razão pela qual a empresa evitou um incidente grave foi uma regra de Prevenção contra Perda de Dados (DLP) recentemente implementada. A mensagem foi bloqueada, foi gerado um alerta e a equipa de segurança da informação conteve o evento antes de o ficheiro sair do ambiente.

Na manhã seguinte, a pressão aumentou. Um potencial cliente de serviços financeiros enviou um questionário de diligência prévia DORA a solicitar evidência de trocas seguras de dados de TIC. Um cliente pediu à equipa jurídica que demonstrasse que todas as exportações de dados pessoais para fornecedores de suporte eram cifradas, aprovadas e registadas. A equipa de suporte comunicou então que um gestor de projeto tinha usado uma ligação pública de partilha de ficheiros porque o portal de transferência gerida de ficheiros era “demasiado lento”.

Esta sequência é a realidade da governação da transferência segura de ficheiros em 2026. A questão já não é saber se uma organização dispõe de SFTP, de uma plataforma de transferência gerida de ficheiros, de ferramentas de colaboração na nuvem ou de cifragem de correio eletrónico. A questão mais difícil é saber se a organização consegue demonstrar que a informação sensível circulou por canais aprovados, com a classificação, autorização, cifragem, compromissos de fornecedores, registo, monitorização, retenção e critérios de ativação da resposta a incidentes adequados.

Para CISOs, gestores de conformidade, auditores e líderes de negócio, a transferência de informação é agora um problema de evidência ao nível do conselho de administração. O RGPD da UE exige responsabilização e medidas técnicas e organizativas adequadas para dados pessoais. A NIS2 exige controlos de cibersegurança baseados no risco, supervisão pela gestão, comunicações seguras, criptografia, controlo de acesso, tratamento de incidentes e segurança da cadeia de fornecimento. O DORA exige que entidades financeiras e prestadores de serviços de TIC demonstrem resiliência operacional, governação de terceiros de TIC, gestão de incidentes e controlo contratual sobre serviços críticos de TIC.

A ISO/IEC 27001:2022 fornece a espinha dorsal do sistema de gestão. A ISO/IEC 27002:2022 fornece a linguagem dos controlos. A Clarysec transforma essa linguagem em evidência operacional através do Zenith Blueprint: roteiro de 30 passos de um auditor Zenith Blueprint, da biblioteca de políticas da Clarysec e do Zenith Controls: guia de conformidade cruzada Zenith Controls.

Porque é que a governação da transferência de ficheiros falha antes do início da auditoria

A maioria das organizações não falha por não ter uma ferramenta de transferência segura. Falha porque tem demasiados percursos de transferência e nenhum modelo de governação unificado.

Um ambiente típico inclui portais de transferência gerida de ficheiros, servidores SFTP, anexos de correio eletrónico, ligações partilhadas do Microsoft 365 ou Google Workspace, exportações por APIs, portais de clientes, sites de carregamento de fornecedores, suportes amovíveis e aplicações de mensagens usadas quando alguém está sob pressão. Do ponto de vista de auditoria, cada canal levanta as mesmas questões:

• Que informação foi transferida?
• Que classificação se aplicava?
• Quem aprovou a transferência?
• O destinatário estava autorizado?
• A cifragem foi imposta?
• O acesso foi registado e monitorizado?
• Os contratos com fornecedores exigiam proteção equivalente?
• As regras de retenção e eliminação foram aplicadas?
• Um incidente seria detetado e escalado?

O Zenith Blueprint, na fase Controlos em Ação, Etapa 22, Controlos organizacionais, Controlo 5.14, capta a realidade operacional:

Numa organização conectada, a informação não fica parada. Circula entre pessoas, departamentos, sistemas, dispositivos, parceiros e entidades externas. Por vezes circula através de túneis seguros com rastreabilidade integral. Noutras situações, circula via WhatsApp, correio eletrónico pessoal ou uma cópia rápida para um Google Doc partilhado. O Controlo 5.14 existe para governar esse fluxo, assegurando que a transferência de informação é segura, intencional e coerente com a sua classificação e finalidade de negócio.

Este é o núcleo da governação da troca segura de informação. Os auditores não perguntam apenas: “Usam cifragem?” Perguntam se a movimentação da informação é intencional, controlada, coerente com a classificação e suportada por evidência.

Comece pelo âmbito do SGSI, risco e responsabilização

Um programa de transferência segura de ficheiros não deve começar por um exercício de seleção de ferramentas. Deve começar pelo âmbito ISO/IEC 27001:2022, pelos requisitos das partes interessadas, pela avaliação de riscos e pela responsabilização da gestão.

Para um fornecedor SaaS, uma FinTech ou um fornecedor regulado, o âmbito do SGSI deve incluir os sistemas, fornecedores, localizações e processos através dos quais a informação sensível circula. Isso inclui normalmente exportações de dados de clientes, anexos de casos de suporte, extrações analíticas, pacotes de resolução de problemas de fornecedores, cópias de segurança transferidas para armazenamento na nuvem, trocas de recursos humanos e finanças, salas de dados de M&A, portais de evidência de clientes e transferências entre APIs com subcontratantes ou subcontratantes subsequentes.

A ISO/IEC 27001:2022 exige um processo repetível de avaliação de riscos de segurança da informação, tratamento de riscos, uma Declaração de Aplicabilidade e aceitação do risco residual pelo proprietário do risco. Na prática, isto torna-se um registo de riscos de transferência, não uma folha de cálculo teórica.

É também aqui que a responsabilização executiva se torna prática. A ISO/IEC 27001:2022 exige que a alta direção alinhe a segurança da informação com a orientação estratégica, atribua papéis, disponibilize recursos e reveja o desempenho. A NIS2 reforça a responsabilização do órgão de gestão pelas medidas de gestão do risco de cibersegurança. O DORA faz o mesmo para entidades financeiras, tornando a gestão do risco das TIC e a proteção da confidencialidade, integridade, autenticidade e disponibilidade uma responsabilidade de gestão.

A transferência segura de ficheiros não é apenas uma tarefa de administração de sistemas. É movimentação controlada de dados em todo o ecossistema de negócio.

Mapeamento de controlos ISO/IEC 27002:2022 para transferência segura

O controlo ISO/IEC 27002:2022 5.14, Transferência de informação, é a âncora, mas não funciona isoladamente. Através do Zenith Controls, a Clarysec mapeia a transferência segura de informação principalmente para o controlo 5.14, fortemente suportado pelo controlo 8.12, Prevenção de fuga de dados, e pelo controlo 8.24, Utilização de criptografia.

O controlo 5.14 responde à questão de governação: como pode a informação ser transferida interna e externamente? O controlo 8.12 responde à questão da fuga: como impedimos que dados sensíveis saiam por canais não autorizados? O controlo 8.24 responde à questão da proteção: como é selecionada, aplicada e gerida a criptografia para dados em trânsito, em repouso e, quando relevante, em utilização?

Os controlos envolventes criam o ambiente preparado para auditoria:

O Zenith Blueprint, fase Controlos em Ação, Etapa 22, explica claramente a expectativa de aplicação:

Na prática, isto significa não apenas definir “o que é permitido”, mas também construir mecanismos técnicos e comportamentais para impor essas expectativas. Por exemplo:

✓ Se a informação “Confidencial” não puder sair da empresa sem cifragem, então os sistemas de correio eletrónico devem impor políticas de cifragem ou bloquear a transmissão externa. ✓ Se as transferências de ficheiros para fornecedores externos forem permitidas apenas através de portais seguros, então as ligações para unidades na nuvem abertas (como pastas públicas do Dropbox) devem ser ativamente impedidas. ✓ Se dados pessoais forem transferidos através de fronteiras, o método deve cumprir obrigações de privacidade e legais, não apenas preferências internas.

É por isso que declarações de política como “usar métodos seguros” não bastam. Os auditores testam se os métodos aprovados estão definidos, implementados, monitorizados e suportados por evidência.

A camada de políticas: transformar regras em controlos aplicáveis

As políticas são onde os auditores procuram compromisso. A evidência forte surge quando as cláusulas de política são rastreáveis a definições técnicas, aprovações de fluxos de trabalho e registos operacionais.

A Política de Segurança de Terceiros e Fornecedores da Clarysec para PME Política de Segurança de Terceiros e Fornecedores - PME estabelece na cláusula 6.2.3:

Todos os dados partilhados com fornecedores devem ser protegidos através de cifragem e transmitidos utilizando protocolos seguros (por exemplo, HTTPS, SFTP).

Essa cláusula pode originar um trilho de auditoria completo. Se um fornecedor recebe dados de clientes, a equipa deve conseguir apresentar a aprovação do fornecedor, as categorias de dados permitidas, a configuração do protocolo seguro, as limitações de acesso, os registos e as obrigações contratuais equivalentes.

A Política de Classificação e Rotulagem da Informação para PME Política de Classificação e Rotulagem da Informação - PME, secção Requisitos de governação, 5.2.3, acrescenta:

A partilha externa deve ser explicitamente autorizada e registada.

Para ambientes empresariais, a Política de Classificação e Rotulagem da Informação Política de Classificação e Rotulagem da Informação, cláusula 6.3.1, amplia a regra:

Todo o tratamento, transmissão, acesso, armazenamento e eliminação de dados deve estar alinhado com o respetivo nível de classificação. No mínimo:

Para classificações mais sensíveis, a cláusula 6.3.1.3.2 estabelece:

Deve ser cifrado em trânsito e em repouso

A Política de Trabalho Remoto empresarial Política de Trabalho Remoto liga esta exigência ao comportamento diário, exigindo que os colaboradores:

Utilizem apenas soluções de partilha de ficheiros aprovadas (por exemplo, M365, Google Workspace com controlos de Prevenção contra Perda de Dados (DLP))

Isto é relevante porque muitos incidentes de transferência ocorrem durante trabalho remoto, negociações jurídicas, diligência prévia comercial, suporte urgente e execução de projetos.

A Política de Controlos Criptográficos da Clarysec para PME Política de Controlos Criptográficos - PME, secção Âmbito, cláusula 2.2, confirma que a governação da cifragem abrange mais do que bases de dados:

Esta política abrange dados em repouso, dados em trânsito e dados em utilização. Governa também a cifragem utilizada para cópias de segurança, correio eletrónico, transferências externas de dados e websites públicos.

A Política de Registos e Monitorização para PME Política de Registos e Monitorização - PME, Requisitos de governação, cláusula 5.4.3, identifica:

Registos de acesso: acesso a ficheiros (especialmente para dados sensíveis ou pessoais), alterações de permissões, utilização de recursos partilhados

Para ambientes empresariais, a Política de Segurança de Terceiros e Fornecedores Política de Segurança de Terceiros e Fornecedores, cláusula 6.3.2, exige:

Todo o acesso de terceiros deve ser registado e monitorizado e, quando viável, segmentado através de servidores bastião, VPNs ou gateways de confiança zero.

A Política de Registos e Monitorização empresarial Política de Registos e Monitorização inclui também a monitorização de:

Comunicações externas e acionamentos de regras de firewall

Por fim, a Política de Conformidade Legal e Regulamentar - PME Política de Conformidade Legal e Regulamentar - PME fornece uma salvaguarda específica de privacidade:

Os dados pessoais não devem ser enviados por correio eletrónico nem transferidos de outra forma sem cifragem ou salvaguardas adequadas.

Em conjunto, estas cláusulas criam uma narrativa de controlo defensável: classificar os dados, autorizar a transferência, usar um canal aprovado, cifrar a movimentação, monitorizar o acesso, registar a atividade, rever anomalias e preservar evidência.

Um modelo de controlo único para RGPD da UE, NIS2 e DORA

A governação da transferência segura de ficheiros é um bom exemplo de porque a conformidade deve ser integrada, e não duplicada.

O RGPD da UE define tratamento de forma ampla, incluindo divulgação, transmissão, armazenamento, apagamento e destruição. Define também violação de dados pessoais como uma violação de segurança que conduz à destruição, perda, alteração, divulgação não autorizada ou acesso não autorizado a dados pessoais, de forma acidental ou ilícita. O Article 5 introduz a responsabilização. O Article 32 exige medidas técnicas e organizativas adequadas, incluindo confidencialidade, integridade, disponibilidade, resiliência, capacidade de restauro e testes.

A NIS2 exige medidas de gestão de riscos, como tratamento de incidentes, continuidade de negócio, segurança da cadeia de fornecimento, aquisição e manutenção seguras, avaliação da eficácia, higiene de cibersegurança, formação, criptografia, controlo de acesso, gestão de ativos, MFA quando adequado e comunicações seguras. Também estabelece expectativas de reporte de incidentes significativos, incluindo alerta precoce no prazo de 24 horas, notificação no prazo de 72 horas e relatório final no prazo de um mês.

O DORA é aplicável desde 17 de janeiro de 2025 a entidades financeiras e prestadores terceiros de serviços de TIC relevantes. Formaliza a gestão do risco das TIC, a classificação de incidentes, os testes de resiliência operacional digital e o risco de terceiros de TIC. Plataformas de transferência de ficheiros, salas de dados na nuvem, alojamento SFTP, portais de troca de documentos e plataformas de suporte podem tornar-se relevantes quando suportam funções críticas ou importantes.

O valor do Zenith Controls é que a mesma evidência pode ser indexada uma vez e mapeada para ISO/IEC 27001:2022, RGPD da UE, NIS2, DORA, NIST CSF 2.0 e COBIT 2019. O guia não cria “controlos Zenith” separados. Ajuda a mapear controlos reconhecidos e evidência entre referenciais.

Construir um pacote de evidência de transferência segura em cinco dias

Quando se aproxima uma auditoria de cliente, auditoria de certificação ou revisão perante regulador, o caminho mais rápido é construir um pacote de evidência focado na atividade real de transferência.

Dia 1: Criar o registo de transferências

Liste transferências recorrentes e de alto risco, incluindo exportações de sistemas, feeds de fornecedores, portais de clientes, fluxos de correio eletrónico, padrões de partilha na nuvem, APIs e suportes amovíveis. Os campos mínimos devem incluir nome da transferência, proprietário de negócio, classificação dos dados, indicador de dados pessoais, sistema de origem, parte destinatária, método de transferência, método de cifragem, frequência, requisito de aprovação, fonte de registos, regra de retenção, referência contratual do fornecedor e proprietário do incidente.

Dia 2: Mapear métodos aprovados para a classificação

Use as políticas de classificação da Clarysec como fonte de regras. Defina os métodos permitidos por nível de classificação.

Dia 3: Capturar a aplicação técnica

Para cada canal, recolha capturas de ecrã ou exportações que demonstrem restrições de partilha externa, regras DLP, expiração de ligações, restrições de download, configuração de cifragem, definições de MFA ou acesso condicional, configuração de cifras e protocolos SFTP, permissões de contas, configuração de registos e regras de alerta para downloads invulgares, alterações de permissões ou ligações públicas.

Dia 4: Testar uma transferência de ponta a ponta

Selecione uma amostra real, como uma exportação mensal de dados de clientes para um fornecedor de processamento salarial, um carregamento para uma sala de dados de diligência prévia ou um pacote de suporte enviado a um fornecedor. A evidência deve mostrar a aprovação de negócio, classificação, verificação do contrato do fornecedor, origem da exportação, canal seguro, verificação do destinatário, registo de transferência, revisão de acesso ou download, ação de eliminação ou retenção e atualização do registo.

Dia 5: Adicionar critérios de ativação de incidentes e ligações de reporte

Defina quando uma anomalia de transferência se torna um evento de segurança ou incidente. Os critérios de ativação podem incluir transferência para um domínio não autorizado, criação de ligação pública para dados confidenciais, rajadas de tentativas de autenticação falhadas contra um portal SFTP, downloads volumosos por fornecedores, correio eletrónico para destinatário errado, downgrade de algoritmos, acesso a partir de geografia inesperada ou comprometimento de fornecedor de uma plataforma de transferência de ficheiros.

Depois, mapeie cada critério para os critérios de decisão do RGPD da UE, NIS2 e DORA. Ao abrigo do RGPD da UE, avalie se dados pessoais foram divulgados, acedidos, alterados, perdidos ou destruídos ilicitamente. Ao abrigo da NIS2, avalie interrupção operacional, perda financeira e danos causados a terceiros. Ao abrigo do DORA, considere clientes afetados, transações, duração, dispersão geográfica, perda de dados, criticidade do serviço e impacto económico.

Os acordos com fornecedores são metade do controlo

Um servidor SFTP seguro não o protege se o fornecedor destinatário armazenar o ficheiro sem cifragem, o reencaminhar para um subcontratante ou o mantiver indefinidamente.

O Zenith Blueprint, fase Controlos em Ação, Etapa 23, Controlos organizacionais, Controlo 5.20, descreve os temas relevantes dos acordos com fornecedores:

As áreas-chave normalmente tratadas em acordos com fornecedores incluem:

✓ Obrigações de confidencialidade, incluindo âmbito, duração e restrições de divulgação a terceiros; ✓ Responsabilidades de controlo de acesso, como quem pode aceder aos seus dados, como as credenciais são geridas e que monitorização está implementada; ✓ Medidas técnicas e organizativas para proteção de dados, cifragem, transmissão segura, cópia de segurança e compromissos de disponibilidade; ✓ Prazos e protocolos de notificação de incidentes, frequentemente com prazos definidos (por exemplo, “notificar no prazo de 24 horas”); ✓ Direito de auditoria, incluindo frequência, âmbito e acesso a evidência relevante (por exemplo, relatórios de testes de intrusão, SoA, certificações); ✓ Controlos de subcontratantes, exigindo que o fornecedor transmita obrigações de segurança equivalentes aos seus parceiros a jusante; ✓ Disposições de fim de contrato, como devolução ou destruição de dados, recuperação de ativos e desativação de contas.

Isto está alinhado com os controlos de fornecedores da ISO/IEC 27002:2022, incluindo 5.19 Segurança da informação nas relações com fornecedores, 5.20 Tratamento da segurança da informação nos acordos com fornecedores, 5.21 Gestão da segurança da informação na cadeia de fornecimento de TIC, 5.22 Monitorização, revisão e gestão de alterações dos serviços de fornecedores e 5.23 Segurança da informação para utilização de serviços na nuvem.

Para o DORA, as trocas com fornecedores também se ligam à gestão do risco de terceiros de TIC, aos registos de acordos de serviços de TIC, cláusulas contratuais, direitos de auditoria e inspeção, assistência em incidentes e estratégias de saída. Para a NIS2, ligam-se à segurança da cadeia de fornecimento e a vulnerabilidades específicas de fornecedores.

Um anexo prático de troca de dados com fornecedores deve especificar categorias de dados trocados, canal de transferência, requisitos de cifragem, requisitos de autenticação, papéis nominativos do fornecedor, restrições a subcontratantes subsequentes, obrigações de registo, prazo de notificação de incidentes, requisitos de devolução e destruição de dados e evidência disponível mediante pedido.

Não ignore suportes físicos e transferências offline

A maioria das discussões sobre governação da transferência de ficheiros centra-se em ligações na nuvem e plataformas MFT, mas os auditores continuam a perguntar por unidades USB, discos amovíveis, bandas de cópia de segurança e suportes enviados por estafeta. Estes meios são frequentemente usados durante migrações, litígios, análise forense, manutenção de OT ou cópias de segurança fora das instalações.

O Zenith Blueprint, fase Controlos em Ação, Etapa 18, Controlos físicos II, Gestão de suportes, Controlo 7.10, estabelece:

Para qualquer transporte de suportes, especialmente entre localizações de escritório ou para terceiros (como uma migração de dados para um fornecedor na nuvem), implemente passos específicos. Os suportes devem ser cifrados antes da transferência, embalados em contentores com evidência de adulteração e enviados por transportadoras reputadas com rastreio. Mantenha um registo de transporte indicando o que foi enviado, quando, para quem e a confirmação de receção.

Para preparação para auditoria, trate os suportes físicos como qualquer outro canal de transferência. O pacote de evidência deve incluir inventário de suportes, registo de cifragem, registo de cadeia de custódia, rastreio da transportadora, confirmação do destinatário, registo de devolução ou certificado de destruição.

Como os auditores testam a governação da transferência segura de ficheiros

Um programa maduro de transferência segura deve resistir a múltiplas perspetivas de auditoria. A mesma evidência pode ser interpretada de forma diferente por um auditor ISO/IEC 27001:2022, um avaliador NIST CSF, um revisor COBIT 2019, um revisor DORA ou um auditor de privacidade focado no RGPD da UE.

A lição é simples: não crie pastas de evidência duplicadas para cada regulamento. Crie um único modelo de evidência de transferência segura e mapeie-o para as obrigações relevantes.

Constatações comuns em auditorias de transferência segura

Em SaaS, FinTech, serviços profissionais e fornecedores regulados, a Clarysec observa repetidamente as mesmas fragilidades:

• Contas SFTP são partilhadas entre colaboradores de fornecedores
• Contas de serviço nunca expiram
• A partilha externa está ativada globalmente em ferramentas de colaboração na nuvem
• Ligações públicas são permitidas para ficheiros confidenciais
• Existe DLP, mas não está ajustado às classificações de dados
• A cifragem de correio eletrónico é opcional e acionada pelo utilizador
• Os contratos com fornecedores mencionam confidencialidade, mas não evidência de transferência segura
• Os registos são recolhidos, mas não revistos
• As aprovações de transferência ficam em mensagens de chat, em vez de sistemas de tickets
• A retenção de carregamentos em portais de clientes é pouco clara
• Os suportes físicos são tratados como uma exceção fora do SGSI
• Os playbooks de incidentes não incluem cenários de transferência de ficheiros para destinatário incorreto ou de plataforma MFT comprometida

Cada fragilidade cria fricção regulatória. Ao abrigo do RGPD da UE, enfraquece a responsabilização e a defensabilidade em caso de violação de dados pessoais. Ao abrigo da NIS2, compromete a gestão de riscos e o tratamento de incidentes. Ao abrigo do DORA, ameaça a governação do risco de terceiros de TIC e a evidência de resiliência operacional.

Lista de verificação de governação da transferência segura de ficheiros para 2026

Use esta lista de verificação antes da próxima auditoria ISO/IEC 27001:2022, revisão de segurança de cliente, avaliação de preparação DORA, briefing de governação NIS2 ao conselho de administração ou pedido de evidência RGPD da UE.

• Temos um registo completo de transferências recorrentes de informação sensível?
• Os métodos de transferência estão mapeados para os níveis de classificação?
• As transferências externas são explicitamente autorizadas e registadas?
• MFT, SFTP, portais seguros, APIs, correio eletrónico e ligações na nuvem são governados de forma consistente?
• A cifragem é imposta para transferências de dados confidenciais, restritos e pessoais?
• Os anexos de correio eletrónico são controlados através de cifragem, DLP ou alternativas aprovadas?
• As obrigações de transferência dos fornecedores estão escritas nos contratos?
• Os acessos de terceiros são registados, monitorizados e revistos periodicamente?
• O acesso a ficheiros, as alterações de permissões e a utilização de recursos partilhados são registados?
• Os registos de transferência são retidos durante tempo suficiente para investigações e auditorias?
• As transferências anómalas estão integradas na resposta a incidentes?
• Conseguimos classificar se um incidente de transferência desencadeia reporte ao abrigo do RGPD da UE, NIS2 ou DORA?
• Testamos os controlos de transferência através de auditoria interna ou autoavaliação de controlos?
• Temos evidência de revisão pela gestão e aceitação pelo proprietário do risco?

Se a resposta a qualquer uma destas perguntas for pouco clara, o problema provavelmente não é tecnológico. É de governação.

Da reação à resiliência preparada para auditoria

O quase-incidente de Anya não foi apenas uma mensagem bloqueada. Foi a demonstração de que um fluxo de informação sem controlo pode tornar-se, em segundos, um problema regulatório, contratual e de resiliência operacional.

A governação da transferência segura de ficheiros em 2026 é mais do que cifrar uma ligação. Consiste em demonstrar que a informação sensível circula apenas por percursos aprovados, monitorizados e juridicamente defensáveis.

A Clarysec ajuda as organizações a construir este modelo de evidência com o Zenith Blueprint Zenith Blueprint, o Zenith Controls Zenith Controls e modelos de políticas alinhados com ISO/IEC 27001:2022, como a Política de Classificação e Rotulagem da Informação, a Política de Segurança de Terceiros e Fornecedores, a Política de Controlos Criptográficos - PME, a Política de Registos e Monitorização - PME e a Política de Trabalho Remoto.

Se está a preparar-se para a certificação ISO/IEC 27001:2022, preparação DORA, reporte de governação NIS2 ou um pedido de evidência RGPD da UE, comece por uma pergunta: consegue demonstrar para onde foi a sua informação sensível no mês passado?

A Clarysec pode ajudar a criar o registo de transferências, mapear controlos, reforçar canais de partilha de ficheiros, alinhar cláusulas de fornecedores e construir a evidência de auditoria necessária para responder com confiança.