Quando uma organização começa a trabalhar na adaptação à NIS2, uma das primeiras perguntas é frequentemente:
“Que software preciso de implementar?
A pergunta parece lógica.
Mas, na verdade, esta é a pergunta errada. A NIS2 não requer ferramentas concretas. Exige capacidades organizacionais e técnicas:
Gestão de riscos
✔ Gestão de incidentes
✔ Segurança da cadeia de abastecimento
✔ Continuidade das actividades
✔ Gestão de acessos
✔ Políticas e procedimentos
✔ Evidência e rastreabilidade
✔ Revisão e melhoria contínua
Este é um dos erros mais comuns: procurar uma única ferramenta que cubra tudo.
Não existe.
Muitas vezes, a realidade assemelha-se mais a um ecossistema de soluções que trabalham em conjunto.
Gestão de dispositivos (MDM)
Não podes proteger o que não conheces. Antes de falarmos de cibersegurança, há uma questão muito mais básica:
Que dispositivos existem realmente na tua organização?
Um sistema MDM permite-te:
- Inventário do equipamento
- Aplicação das políticas
- Encriptação de dispositivos
- Gestão remota
- Controlo de versões e actualizações
Exemplos comuns:
- Microsoft Intune
- Jamf
- VMware Workspace ONE
- Kandji
- Fatorial IT
Sem visibilidade, o resto começa a ser construído na areia.
Monitorização e deteção (SIEM)
Detetar um incidente tardiamente é muitas vezes muito mais dispendioso do que evitá-lo.
As organizações geram milhares ou milhões de eventos:
- acesso
- alterações
- erros
- atividade suspeita
- eventos de segurança
Exemplos comuns:
Proteção de pontos finais (EDR/XDR)
O antivírus tradicional já não é suficiente.
Atualmente, o problema já não se limita a bloquear o malware.
A verdadeira diferença está em:
- deteção de comportamentos anómalos
- contém ataques
- isola o equipamento
- responde rapidamente
Exemplos:
Gestão de identidades e privilégios (IAM / PAM)
As credenciais continuam a ser um dos principais pontos de entrada para incidentes.
Isto implica:
- MFA
- privilégios mínimos
- revisões regulares
- gestão de utilizadores privilegiados
- controlo dos registos e cancelamentos de registos
Exemplos:
Gestão de vulnerabilidades
A pesquisa de vulnerabilidades não é suficiente.
Também precisas de:
- definição de prioridades
- atribuição
- rastreio
- rastreabilidade
Exemplos:
Cópia de segurança e recuperação
A NIS2 fala explicitamente de resiliência.
Não basta ter cópias de segurança.
As perguntas a responder incluem:
- Quanto tempo demora a recuperar?
- O que é que temos a perder?
- Queres testar as cópias?
- Existe um procedimento documentado?
Exemplos:
Gestão de terceiros e da cadeia de abastecimento
Uma das maiores alterações no NIS2 é que a segurança já não termina na tua empresa.
Também alcança:
- fornecedores
- parceiros
- subcontratantes
- serviços em nuvem
Exemplos:
Formação e sensibilização
A tecnologia, por si só, não elimina os riscos.
Muitos incidentes continuam a ser de origem humana:
- phishing
- palavras-passe fracas
- erros operacionais
- negligência
Exemplos:
O problema menos visível
Muitas organizações dispõem de ferramentas:
SIEM
✔ EDR
✔ MDM
✔ Cópias de segurança
✔ Diretório empresarial
Mas depois:
- Os riscos estão no Excel
- As políticas estão em pastas partilhadas
- Os fornecedores são geridos por correio eletrónico
- Os incidentes são distribuídos por bilhetes e documentos
- As provas estão dispersas
E quando chega uma auditoria, coloca-se sempre a mesma questão: “Onde estão as provas?
Porque, normalmente, o problema não é a falta de ferramentas.
O problema é muitas vezes a falta de governação.
A camada que normalmente falta
É aqui que uma plataforma de governação e conformidade traz um valor real.
Na Ithikios, trabalhamos precisamente nesta camada:
✔ Gestão de riscos
✔ Gestão de incidentes
✔ Gestão de terceiros
✔ Políticas e procedimentos
✔ Centro de confiança
✔ Canal de denúncias
✔ Provas e rastreabilidade
O Ithikios não se destina a substituir ferramentas especializadas, como um SIEM, um EDR ou um MDM.
A sua função é ligar peças dispersas e transformar informações isoladas em processos executáveis e auditáveis. Porque o verdadeiro desafio geralmente não é ter poucas ferramentas. É conseguir que todas elas trabalhem em conjunto.
