Modelo · Empresa Exemplo, Lda. (fictícia)
1. Capa
- A empresa e o âmbito verificado: locais, entidades legais, sistemas
- As datas da Fase 1 e da Fase 2
- Quem fez o trabalho — um nome, não uma equipa
- As formas de acesso usadas e onde
2. O estado dos quinze domínios
Um estado por domínio, sempre com a fonte e a data da prova. Um visto não é um estado.
A metodologia Valluris organiza a verificação em 15 domínios, definidos pela Valluris para PME. Não é uma norma nem a lista de tudo o que existe em segurança, e não substitui a ISO/IEC 27001 nem as medidas do RJC.
| Domínio | Estado | Prova (fonte e data) | Acesso |
|---|---|---|---|
| 01Identidade e autenticação | — | — | Só leitura + Acompanhado |
| 02Contas e acessos | — | — | Sem acesso / Só leitura |
| 03Proteção dos equipamentos | — | — | Sem acesso / Só leitura |
| 04Vulnerabilidades e fim de suporte | — | — | Só leitura |
| 05Exposição na Internet | — | — | Sem acesso |
| 06Segurança do correio | — | — | Sem acesso / Só leitura |
| 07Configuração segura e cifra | — | — | Só leitura |
| 08Cópias de segurança | — | — | Sem acesso |
| 09Proteção das cópias | — | — | Acompanhado |
| 10Recuperação testada | — | — | Acompanhado |
| 11Sensibilização e simulação | — | — | Acompanhado |
| 12Registo e visibilidade | — | — | Só leitura |
| 13Controlo de fraude financeira | — | — | Acompanhado |
| 14Resposta e continuidade | — | — | Acompanhado |
| 15Fornecedores críticos | — | — | Acompanhado |
Os seis estados possíveis
- Controlado
- Existe, e há prova datada produzida pelos vossos sistemas — Fonte, data, âmbito
- Implementado, prova insuficiente
- Existe, mas a evidência é declarada ou não é reproduzível — O que falta para passar a controlado
- Parcial
- Existe para parte do âmbito — Que parte fica de fora, com número
- Ausente
- Não está implementado — Risco, dono sugerido, prazo recomendado
- Não verificado
- Não foi possível produzir evidência — A causa, nomeada — uma de cinco: fora do âmbito contratado · acesso não concedido · compete a terceiro · sem fonte de evidência · sem resposta do fornecedor
- Exceção aceite
- Conhecida, documentada e assinada pela gerência — Motivo, data, prazo de revisão
3. Cinco ações prioritárias
Cada uma com quem a executa, até quando, e o critério que a dá por fechada — escrito antes de alguém começar.
- 1 Ação · quem executa · prazo · critério de aceitação
- 2 Ação · quem executa · prazo · critério de aceitação
- 3 Ação · quem executa · prazo · critério de aceitação
- 4 Ação · quem executa · prazo · critério de aceitação
- 5 Ação · quem executa · prazo · critério de aceitação
4. O que não foi possível verificar
Nomeado, com a causa: sem fonte, sem acesso ou sem resposta. Não fica escondido num anexo.
5. Matriz de Fontes
Para cada domínio: de onde vem a evidência, quem a produz, com que frequência e a que nível de acesso. É o que torna um plano mensal executável.
Domínio
De onde vem
Quem a produz
Frequência
Nível
—
—
—
—
—
—
—
—
—
—
6. Entre três e sete próximos passos
Com nome e orçamento. Nenhum é obrigatório, e nenhum é condição de nada.