Employee Readiness: quando a maturidade organizacional exige equipas preparadas para executar
Em ambientes mais regulados, mais auditáveis e mais expostos a risco, já não basta que os temas críticos estejam definidos. É necessário que sejam compreendidos e aplicados por quem tem responsabilidades de execução.
⏱️ Leitura estimada: 6 minutos
Conformidade digital, privacidade e cibersegurança: competências críticas para responder com critério a prioridades reais
Entre RGPD, ISO 27701, NIS 2, cibersegurança e ISO/IEC 27001, as organizações precisam cada vez menos de sensibilização genérica e cada vez mais de competências aplicáveis, estruturadas e relevantes para a decisão.
⏱️ Leitura estimada: 6 minutos
A Behaviour entra em 2026 com novos cursos desenhados para responder a exigências cada vez mais concretas nas organizações. Entre pressão regulatória, maior maturidade operacional, reforço da resiliência e crescimento das exigências de auditoria e evidência, deixou de ser suficiente conhecer conceitos: é necessário compreender prioridades, interpretar requisitos e transformá-los em capacidade real.
⏱️ Leitura estimada: 4 minutos
Incidentes de cibersegurança com impacto em dados pessoais tornaram-se um risco estrutural nas organizações com elevada exposição digital. Mais do que a ocorrência em si, o que verdadeiramente diferencia as organizações maduras é a forma como respondem.
⏱️ Leitura estimada: 2 minutos
O final do ano não é apenas um ponto de chegada. É um espaço intermédio,
muitas vezes invisível, onde se constroem as bases das decisões futuras.
⏱️ Leitura estimada: 6 minutos
Segurança da Informação • Artigo
⏱️ Leitura estimada: 7 minutos
A Segurança da Informação deixou de ser apenas técnica.
Hoje, exige visão estratégica, capacidade de decisão e liderança informada.
Continuidade & Resiliência • Artigo
⏱️ Leitura estimada: 9 minutos
Dependências de hyperscalers, falhas sistémicas e concentração de terceiros estão a mudar a exigência: provar capacidade de continuidade e recuperação, com evidência e testes.
Segurança da Informação • Artigo
⏱️ Leitura estimada: 8 minutos
Num cenário de exigência crescente, maturidade é sinónimo de confiança.
Segurança da Informação & Conformidade • Artigo
⏱️ Leitura estimada: 7 minutos
Controlos implementados, riscos tratados, incidentes reportados e logs auditáveis deixaram de ser opcionais.
Auditoria & Governação • Artigo
⏱️ Leitura estimada: 7 minutos
É perceber se há controlo real, práticas aplicadas e maturidade consistente em toda a organização.
As auditorias são momentos críticos: avaliam se a organização está apenas a “cumprir o mínimo” ou se possuí práticas consistentes e maduras.
Resiliência & Testes • Artigo
⏱️ Leitura estimada: 6 minutos
Cyber Stress Tests só criam valor quando testam decisões reais, incerteza e capacidade de resposta – não quando criam falsas certezas.
Os Cyber Stress Tests (testes de stress cibernético) tornaram-se uma exigência crescente em setores como o financeiro,
a saúde, os serviços digitais e as infraestruturas críticas.
Cultura & Cibersegurança • Artigo
⏱️ Leitura estimada: 7 minutos
A verdadeira resiliência começa nas pessoas — e na cultura que sustenta decisões seguras no dia a dia.
Privacidade & Conformidade • Artigo
⏱️ Leitura estimada: 10 minutos
A edição 2025 torna a 27701 independente, alinhada com o Anexo SL 2024 e focada num PIMS autónomo e certificável.
A nova edição da ISO/IEC 27701:2025 marca uma viragem histórica na forma como as organizações gerem a privacidade.
Deixa de ser uma extensão da ISO/IEC 27001 e passa a ser uma norma independente, com estrutura própria e alinhada à última versão do Anexo SL, edição de 2024.
NIS 2 & Conformidade • Artigo
⏱️ Leitura estimada: 7 minutos
Um divisor de águas na gestão do risco, cibersegurança e reporte de incidentes para setores essenciais, importantes e críticos.
Frameworks & Regulamentos • Artigo
⏱️ Leitura estimada: 8 minutos
Num mundo saturado de normas e regras, a vantagem está em saber integrar o que é exigido com o que cria maturidade real.
Continuidade & Resiliência • Artigo
⏱️ Leitura estimada: 8 minutos
Incidentes tecnológicos e falhas de terceiros continuam a provar que a continuidade se constrói na prática, todos os dias.
Pessoas & Cibersegurança • Artigo
⏱️ Leitura estimada: 6 minutos
A tecnologia é essencial, mas são as pessoas, as decisões e o comportamento que determinam a eficácia real da segurança.
Sensibilização & Phishing • Artigo
⏱️ Leitura estimada: 9 minutos
Um plano pronto-a-usar para envolver colaboradores, medir impacto e criar capacidades que ficam para lá de outubro.
Abaixo, apresenta-se um plano pronto-a-usar para envolver colaboradores, medir impacto e deixar resultados que ficam para lá de outubro.
IA & Auditoria • Artigo
⏱️ Leitura estimada: 7 minutos
Mas vai substituir quem a ignora.
A Inteligência Artificial deixou de ser futuro é presente. Transforma a forma como lidamos com dados, controlo, decisão e risco. E a auditoria não escapa a essa revolução.
Resiliência & Testes • Artigo
⏱️ Leitura estimada: 7 minutos
Simular, testar e demonstrar resiliência operacional e cibernética sob pressão realista.
Continuidade & Resiliência • Artigo
⏱️ Leitura estimada: 6 minutos
A continuidade real mede-se quando as pessoas certas não estão presentes e a organização continua a responder.
Na maioria dos planos de continuidade ou recuperação, há um erro silencioso, mas crítico: assume-se que as pessoas certas estarão disponíveis no momento certo.
Inteligência Artificial & Regulação • Artigo
⏱️ Leitura estimada: 6 minutos
E os profissionais qualificados tornam-se peça central na nova economia digital.
Num contexto de crescimento acelerado do investimento global em cibersegurança, que deverá atingir os 213 mil milhões de dólares em 2025, segundo previsões da IDC, a União Europeia está a consolidar o seu enquadramento regulatório para garantir que a Inteligência Artificial evolui com segurança, responsabilidade e transparência.
O novo AI Act (Regulamento 2024/1689) coloca a Europa na vanguarda da governação ética da IA e estabelece obrigações concretas para organizações públicas e privadas em toda a cadeia de valor.
Este cenário traz uma nova urgência: a necessidade de profissionais qualificados que compreendam não apenas o potencial da IA, mas também as suas implicações legais, operacionais e éticas.
O AI Act é o primeiro regulamento horizontal da União Europeia sobre Inteligência Artificial.
Os seus principais objetivos incluem:
O AI Act entra em vigor de forma faseada, mas as empresas precisam de começar a preparar-se já.
Com o mundo a investir cada vez mais em cibersegurança, cloud e automação inteligente, a Europa dá um passo decisivo ao exigir que as soluções de IA sejam passíveis de auditoria, explicáveis e alinhadas com valores democráticos.
As organizações vão precisar de:
A Behaviour é pioneira em Portugal na criação de um programa de formação estruturado em Inteligência Artificial com base em normas internacionais e legislação europeia.
Todos os cursos são práticos, orientados à aplicação profissional e atualizados com o AI Act, ISO/IEC 42001 e os princípios da governação responsável da IA.
A Inteligência Artificial já está nas organizações.
Agora, tem de estar também nas mãos de quem a sabe governar, implementar e auditar com responsabilidade.
Com a Behaviour, os profissionais preparam-se com conhecimento técnico, visão estratégica e ligação direta às exigências da União Europeia. Porque o futuro da IA não é apenas uma questão de inovação, é uma questão de confiança.
Autor: Behaviour
Publicado em: 20 agosto de 2025
Não é autorizada a cópia ou reprodução deste artigo.
Segurança da Informação • Artigo
⏱️ Leitura estimada: 7 minutos
Muito mais do que uma formação é preparação real para quem quer liderar na segurança da informação.
A norma ISO/IEC 27001:2022 é hoje a referência global para quem quer proteger ativos, gerir riscos e construir confiança nos sistemas de informação. Mas aprender a norma não basta. É preciso saber aplicá-la, auditá-la, atualizá-la e fazê-lo com método, confiança e resultados.
Na Behaviour, acreditamos que a formação só faz sentido se transformar conhecimento em prática.
É por isso que cada curso ISO/IEC 27001 que disponibilizamos vai além da teoria e prepara para agir no mundo real.
Ideal para quem quer compreender os princípios da norma mesmo sem experiência prévia.
Recomendado para equipas técnicas, operacionais ou decisores que precisam de dominar a base de forma clara e aplicada.
Formação orientada para quem já conhece as versões anteriores e/ou é certificado Behaviour na edição 2013
e precisa de adaptar o SGSI às exigências da nova edição ou realizar a transição da sua certificação Lead Implementer ou Lead Auditor para a nova edição.
Ideal para consultores, auditores, gestores de segurança ou compliance officers com sistemas ativos.
Formação avançada e certificada para quem quer auditar com excelência, liderar equipas e contribuir para a melhoria contínua do SGSI.
Recomendado para profissionais com ou sem experiência que querem preparar-se para/ou atuar como auditores líderes com domínio técnico e visão estratégica.
Curso completo para quem quer implementar e manter um Sistema de Gestão de Segurança da Informação (SGSI)
em conformidade com a ISO/IEC 27001:2022.
Indicado para quem assume ou pretende assumir a liderança da implementação do SGSI técnicos, gestores, consultores, CISO ou responsáveis de compliance.
Todos os cursos ISO da Behaviour têm uma abordagem 100% prática e aplicada:
Os formandos saem com documentos e templates prontos a adaptar úteis para auditorias internas ou para projetos reais de consultoria.
A norma está aí. Os riscos também. O que muda é a qualidade da sua preparação. Na Behaviour, os cursos não servem apenas para aprender servem para saber fazer.
Os profissionais certificados Behaviour são submetidos a um processo de avaliação exigente, incluindo um exame de avaliação desafiante e um rigoroso processo de escrutínio da sua experiência e capacidades profissionais (para as certificações aplicáveis conforme os requisitos da ISO/IEC 17024).
Com a Behaviour, não leva só um certificado. Leva capacidade real, documentos prontos a aplicar, a confiança de quem sabe o que está a fazer, e uma certificação que valida competências não só conhecimento.
Autor: Behaviour
Publicado em: 18 agosto de 2025
Não é autorizada a cópia ou reprodução deste artigo.
Gestão do Risco • Artigo
⏱️ Leitura estimada: 6 minutos
Formação intensiva e imersiva para quem quer liderar decisões de risco em sistemas de informação.
A certificação CRISC é hoje uma referência internacional para profissionais que gerem risco em sistemas de informação
e que têm um papel ativo nas decisões estratégicas de governação e controlo.
Na Behaviour, a preparação para o exame CRISC vai além do conteúdo.
Com a Behaviour, vai dominar os quatro domínios do CRISC com segurança, estrutura e aplicação real.
Ao longo do curso CRISC da Behaviour, vai aprofundar os quatro grandes domínios do programa de certificação:
1. Governança de Riscos Empresariais
– Integração do risco na estratégia, cultura organizacional e tomada de decisão.
2. Avaliação de Risco de TI
– Identificação, análise e avaliação de riscos relacionados com sistemas de informação.
3. Resposta ao Risco e Mitigação
– Planeamento e implementação de respostas eficazes, alinhadas com os objetivos do negócio.
4. Monitorização, Relato e Controlo
– Supervisão contínua, métricas de eficácia e comunicação com as partes interessadas.
Todos os tópicos são abordados com exemplos reais, exercícios de simulação para preparação para o exame, mapas de apoio visual e simulações de exame.
O curso é intensivo, com carga horária otimizada para acelerar a preparação sem perder profundidade.
Inclui momentos de avaliação individual, sessões de esclarecimento de dúvidas
e acesso a apoio após o curso, caso precise de reforçar a sua preparação até ao exame.
Com a Behaviour, ganha mais do que preparação para o exame ganha a confiança para agir com segurança.
Ganha estrutura, clareza e capacidade para tomar decisões que realmente protegem o negócio.
Garante já o seu lugar e prepara-se com quem leva a certificação a sério.
Autor: Behaviour
Publicado em: 13 agosto de 2025
Não é autorizada a cópia ou reprodução deste artigo.
Segurança & Continuidade • Artigo
⏱️ Leitura estimada: 7 minutos
Preparação prática para proteger a segurança da informação, a continuidade do negócio e a resiliência organizacional durante o período de férias.
Acesso mínimo. Tempo limitado. Tudo rastreável.
Continuidade não é só presença é preparação e resposta.
Redobre a atenção. Aplique ciber-higiene. Reporte sempre.
Um plano que não funciona em férias… não é plano.
A conveniência de hoje pode ser o incidente de amanhã.
Automação inteligente protege mesmo quando desliga.
Maior pegada digital = mais oportunidade para ataques de engenharia social.
Pós-férias = check-up obrigatório.
Comece com confiança. Sem dúvidas técnicas.
A Behaviour ajuda equipas a antecipar riscos, responder a incidentes e reforçar a continuidade, antes, durante e depois das férias.
Cursos recomendados:
Preparar é proteger. Mesmo quando todos estão a desligar. A segurança não tira férias. Mas com o planeamento certo, você pode.
Autor: Behaviour
Publicado em: 4 agostode 2025
Não é autorizada a cópia ou reprodução deste artigo.
Segurança da Informação • Artigo
⏱️ Leitura estimada: 7 minutos
Implementar, adaptar e demonstrar valor ao negócio através da norma ISO/IEC 27001.
É para isso que existe o curso ISO 27001 Lead Implementer da Behaviour: uma formação imersiva, exigente e orientada a resultados reais.
Muito mais do que cumprir a norma, vai aprender a implementar e a adaptar um modelo holístico para a gestão da segurança da informação capaz de responder, de forma proporcional, às necessidades de uma organização, balanceando a exposição ao risco e a seleção dos controlos a um custo óptimo.
Desde a necessidade de agilidade das estratégias do negócio num mercado global cada vez mais competitivo, dos novos desafios do contexto geopolítico atual, dos novos e exigentes requisitos legais e regulatórios, até ao novo normal das tecnologias emergentes e à incerteza dos novos riscos relacionados.
Investir em segurança da informação é investir no próprio negócio, é investir na capacitação das equipas. É saber defender, justificar e demonstrar ao negócio o valor do seu investimento, de cada decisão.
Saber demonstrar ao negócio os benefícios do seu investimento, optimizando o risco e o uso dos recursos, é saber entregar valor através da implementação e operação da norma ISO/IEC 27001.
Neste curso da Behaviour não vai apenas aprender a implementar, vai preparar-se para responder ao maior desafio da segurança da informação aprender a entregar valor ao negócio utilizando a ISO/IEC 27001.
Com a Behaviour, vai muito além da teoria.
Vai compreender porque é que cada cláusula existe,
como se articula com os riscos reais,
e de que forma pode (ou deve) ser aplicada à realidade específica de cada organização.
Tudo isto num ambiente de aprendizagem orientado por formadores com experiência prática e com foco na transferência real de conhecimento, e prática adquirida, para a liderança em projetos de implementação.
Liderar a implementação da ISO/IEC 27001 é uma responsabilidade séria e uma vantagem competitiva clara.
Se quer preparar-se com rigor, apoio e uma metodologia que o leva mais longe, esta é a formação certa para si.
Na Behaviour, criamos cursos que não formam apenas técnicos. Formam profissionais, com visão, ética, pensamento crítico e liderança. Esta formação é ministrada em Português ou Inglês.
Autor: Behaviour
Publicado em: 29 Julho de 2025
Não é autorizada a cópia ou reprodução deste artigo.
Cibersegurança & Liderança • Artigo
⏱️ Leitura estimada: 6 minutos
Uma formação de referência para quem quer ir além do exame e transformar a forma como trabalha a segurança da informação.
O curso CISSP da Behaviour foi desenhado para preparar profissionais exigentes para os desafios mais complexos da cibersegurança. Com a Behaviour, vai muito além da memorização mecânica.
Vai construir uma compreensão sólida dos conceitos críticos de cada domínio, percebendo porque é que cada princípio é importante, como se aplica, e porque tem de ser daquela forma, e não de outra. É uma aprendizagem consciente, orientada à clareza, à lógica e à aplicação prática, e não apenas focada na necessidade de sucesso no exame.
Aqui, cada domínio é abordado com profundidade e sentido prático. Vai entender os conceitos críticos, saber aplicá-los a contextos reais e desenvolver a visão necessária para liderar projetos de segurança com autoridade.
Esta não é uma formação para cumprir calendário. É uma experiência de aprendizagem completa, rigorosa, envolvente e orientada a resultados concretos.
Se está pronto para elevar a segurança da informação a um novo patamar, esta é a formação certa.
Autor: Behaviour
Publicado em 23 julho de 2025
Não é autorizada a cópia ou reprodução deste artigo.
Continuidade do Negócio • Artigo
⏱️ Leitura estimada: 9 minutos
Como estruturar um BCP robusto para responder a eventos disruptivos, proteger ativos e garantir a resiliência organizacional.
O primeiro passo no desenvolvimento de um BCP é realizar uma Análise de Impacto no Negócio (BIA). Isso envolve identificar os processos críticos do negócio, avaliar o impacto potencial de uma disrupção nesses processos e priorizar a sua recuperação.
Uma BIA ajuda as organizações a compreender as potenciais consequências de uma disrupção, incluindo perdas financeiras, danos à reputação e perdas de confiança dos clientes.
Como parte do processo BIA, a organização identificará os objetivos de continuidade do negócio, que suportam a definição das metas e objetivos do BCP, incluindo os objetivos de tempo de recuperação (RTOs) e objetivos de ponto de recuperação (RPOs).
Os RTOs definem o tempo máximo necessário para recuperar processos ou funções do negócio críticas, enquanto os RPOs definem a quantidade máxima de dados que se podem perder durante uma disrupção.
Estes objetivos serão importantes para que, mais adiante, seja possível selecionar e estabelecer as estratégias de continuidade do negócio e de recuperação de desastres que serão incluídas no BCP.
A avaliação do risco é um componente crítico para estabelecer um BCP, uma vez que auxilia as organizações a identificar potenciais riscos que perturbem as atividades do negócio, impactando os processos críticos, os recursos e outras interdependências, como, por exemplo, um fornecedor de tecnologias de informação que faça parte da cadeia de abastecimento.
Inclui-se a identificação de potenciais desastres naturais, ciberataques, falhas ou avarias em infraestruturas críticas e outros tipos de eventos disruptivos que afetem a organização. Uma avaliação do risco irá também auxiliar as organizações a priorizar o desenvolvimento de estratégias de mitigação e planos de contingência, permitindo reduzir a probabilidade de eventos disruptivos e preparando as capacidades necessárias para uma rápida resposta e consequente redução de impactos.
3.1 Estratégia de Continuidade do Negócio
A estratégia de continuidade do negócio descreve a abordagem da organização para manter as operações do negócio em caso de disrupções. Inclui-se a identificação de processos, procedimentos e recursos alternativos que podem ser utilizados para manter a continuidade do negócio. A(s) estratégia(s) de continuidade do negócio ajudam as organizações no desenvolvimento de um plano para responder a eventos disruptivos, minimizando o tempo de indisponibilidade e garantindo a continuidade de processos críticos do negócio.
3.2 Estratégia de Recuperação
Pese embora seja fundamental garantir a continuidade do negócio, é também necessário e relevante pensar em como recuperar as funções críticas do mesmo. A organização deve definir uma estratégia de recuperação de modo a delinear as etapas necessárias para restaurar as funções críticas do negócio para o novo “business-as-usual”.
Essa(s) estratégia(s) pode(m) envolver a ativação de equipas de recuperação, a articulação com partes externas previamente identificadas, o contacto com seguradoras, a recuperação de sistemas e dados de backups e outras ações necessárias para assegurar o regresso ao “novo normal”.
O Plano Operacional de Continuidade de Negócio (BCOP) garante a continuidade das operações de cada área de negócio em caso de perturbação ou crise, minimizando o impacto nos clientes, colaboradores e outras partes interessadas. Este plano descreve os procedimentos e protocolos a seguir em caso de incidente disruptivo, garantindo a rápida recuperação das operações e a manutenção da reputação da organização.
Um plano de gestão de emergências descreve os procedimentos para responder a cenários que representam uma ameaça imediata à vida, à propriedade ou ao meio ambiente. O foco principal é garantir a segurança das pessoas e minimizar os danos à propriedade e ao meio ambiente.
O plano de recuperação descreve as etapas necessárias para restaurar a normalidade das operações da organização após um evento disruptivo, minimizando o tempo de inatividade e garantindo a continuidade dos processos críticos do negócio.
7.1 Plano de Gestão de Crises
O plano de gestão de crises descreve os procedimentos para gerir cenários que possam prejudicar significativamente a reputação, as finanças ou as operações de uma organização.
7.2 Equipa de Gestão de Crises (CMT)
A equipa de gestão de crises coordena, responde e gere eventos disruptivos, envolvendo representantes de várias áreas da organização, com funções e responsabilidades claramente definidas.
A formação e a consciencialização garantem que todos os membros da equipa compreendem o BCP, as suas funções e responsabilidades, reforçando a importância da continuidade do negócio.
Testar e exercitar o BCP permite validar a sua eficácia, identificar lacunas e preparar as equipas para responderem com confiança.
O BCP deve ser revisto e atualizado regularmente, assegurando que permanece eficaz, alinhado com a realidade da organização e com o seu contexto de risco.
11.1 Plano de Recuperação de Desastres de TI (IT DRP)
Define procedimentos para restaurar sistemas e dados de TI em caso de desastre, minimizando tempo de inatividade e perdas de dados.
11.2 Plano de Comunicação
Garante a comunicação clara, atempada e transparente com colaboradores, clientes, fornecedores e outras partes interessadas durante uma disrupção.
11.3 Plano de Continuidade da Cadeia de Abastecimento
Define medidas para assegurar a continuidade da cadeia de abastecimento em cenários de crise.
11.4 Plano de Recursos Humanos
Foca-se na segurança, bem-estar e gestão dos colaboradores durante e após um evento disruptivo.
11.5 Plano Financeiro
Define procedimentos para garantir a continuidade das operações financeiras em cenários de crise.
Para garantir a continuidade das operações do negócio em caso de disrupção, é essencial estabelecer um Plano de Continuidade do Negócio (BCP) abrangente. Um BCP bem elaborado reforça a resiliência, reduz o impacto de eventos inesperados e aumenta a confiança das partes interessadas.
A Behaviour apresenta um catálogo de formação e certificação dedicada à área das Melhores Práticas, Metodologias e Sistemas de Gestão.
Explore o Catálogo de Formação e os cursos na Área de Continuidade do Negócio.
Autor: Behaviour
Publicado em: 6 dezembro de 2024
Não é autorizada a cópia ou reprodução deste artigo.
Continuidade do Negócio • Artigo
⏱️ Leitura estimada: 9 minutos
Melhores práticas e dicas práticas para preparar a organização para eventos disruptivos e recuperar com eficácia.
Quer se trate de um desastre natural, de um ataque ciberataque ou de uma falha na cadeia de abastecimento, o impacto no seu negócio pode ser significativo. Mas, e se pudesse construir um sistema capaz de resistir e de recuperar com facilidade desses eventos disruptivos? Vamos explorar a importância das melhores práticas de continuidade do negócio e fornecer dicas práticas sobre como construir sistemas robustos para poderem resistir a qualquer “tempestade”.
A continuidade do negócio implica garantir que a sua organização possa continuar a operar de forma eficaz, mesmo quando se depara com eventos disruptivos inesperados. Trata-se de ter um plano estabelecido para minimizar o tempo de inatividade, proteger a sua reputação e retornar à operação do negócio normalmente e, o mais rápido possível. Na era digital de hoje, os riscos são maiores do que nunca. Uma única hora de inatividade pode resultar em perdas financeiras significativas, danos à sua marca e perda de confiança do cliente.
As disrupções podem ocorrer de várias formas, desde desastres naturais, como furacões e terramotos, até ciberataques ou falhas na cadeia de abastecimento. As consequências podem ser devastadoras, incluindo:
Como pode então construir um sistema que consiga resistir e recuperar de eventos disruptivos? Indicamos de seguida algumas dicas práticas:
Na prática, o que são então sistemas robustos? Indicamos de seguida alguns exemplos de casos reais:
Infelizmente, a Delta Airlines, e muitas outras empresas em todo o mundo, não estavam preparadas para um cenário “impensável” e “improvável” e, não foram capazes de se adaptar e responder rapidamente ao mais recente evento disruptivo de TI no início deste ano de 2024, causada pela atualização da CrowdStrike.
Segundo o website avweb.com,
“O CEO da Delta Air Lines, Ed Bastian, criticou a empresa de cibersegurança CrowdStrike e o fornecedor de software Microsoft, reportando que a disrupção de TI custou à companhia aérea US$ 500 milhões.
A enorme disrupção dos computadores da Delta em 19 de julho interrompeu o sistema de rastreamento da tripulação da companhia aérea por quase uma semana, impedindo a empresa de localizar pilotos e comissários de bordo para operar voos. Como resultado, a Delta teve de cancelar cerca de 30% dos seus voos. (…)
Bastian disse que a recuperação da Delta foi prejudicada de forma significativa devido à sua elevada dependência da CrowdStrike e da Microsoft para cibersegurança. A empresa teve que reinstalar manualmente 40.000 servidores para restaurar as operações.”
Conclusão
Construir sistemas robustos que possam resistir e recuperar de disrupções é fundamental para o sucesso de qualquer negócio. Ao desenvolver um plano de continuidade do negócio, identificar sistemas críticos, implementar redundâncias, realizar testes regulares e, ao manter-se informado é possível minimizar o impacto das disrupções e garantir que o seu negócio continua a operar de forma eficaz. Lembre-se de que a continuidade do negócio não se trata apenas de evitar períodos de indisponibilidade, trata-se de proteger a sua reputação, minimizar as perdas financeiras e garantir que os seus clientes continuam a confiar em si.
Ainda, a continuidade do negócio ajuda a criar uma cultura de resiliência para a organização estar preparada para consiguir responder aos cenários mais “impensáveis e imprevisíveis”. Desta forma, a empresa pode adaptar-se e responder rapidamente a esses cenários, minimizando o impacto no negócio.
A Behaviour apresenta um catálogo de formação e certificação dedicada à área das Melhores Práticas, Metodologias e Sistemas de Gestão. Explore o Catálogo de Formação e os cursos na Área de Continuidade do Negócio.
Autor: Behaviour
Publicado em: 6 dezembro 2024
Não é autorizada a cópia ou reprodução deste artigo.
Isenção de responsabilidade: este artigo é baseado em pesquisas externas públicas obtidas de diversas fontes. As informações fornecidas são apenas para fins de referência e os utilizadores assumem total responsabilidade por confiar nelas. A BEHAVIOUR não assume nenhuma responsabilidade pela precisão ou consequências do uso destas informações.
Segurança da Informação • Artigo
⏱️ Leitura estimada: 9 minutos
Ameaças em evolução, regulação, recursos, cloud, terceiros e resiliência operacional num panorama digital exigente.
À medida que as ciberameaças se tornam mais sofisticadas e o ambiente regulatório mais complexo, os líderes de segurança da informação veem-se perante o desafio de se terem de adaptar, atualizar e, saber como gerir a segurança da informação. Desta forma, surge a necessidade de reforçar as medidas de segurança para proteger os ativos críticos das suas organizações, mantendo a resiliência operacional, num cenário cada vez mais exigente.
Ameaças em Evolução
Um dos desafios mais proeminentes para os líderes de segurança é o facto de o cenário de ciberameaças se encontrar em constante evolução. Os cibercriminosos utilizam táticas, técnicas e procedimentos (TTP) cada vez mais elaboradas, aproveitando tecnologias mais poderosas, tal como a inteligência artificial, para realizar ataques mais sofisticados.
O aumento do ransomware, das ameaças persistentes avançadas (APTs) e dos ataques à cadeia de abastecimento alargou significativamente a superfície de ataque que as equipas de segurança devem e têm que defender.
Restrições de Recursos
Apesar das crescentes ameaças, muitos CISOs gerem a estratégia de segurança das suas organizações com recursos limitados, tornando-se assim difícil implementar medidas de segurança necessárias ao contexto atual em constante evolução. Esta limitação, muitas vezes financeira, agrava-se com a escassez de profissionais de cibersegurança qualificados.
Conformidade Regulatória
A obrigação de estar em conformidade com a legislação cada vez mais complexa, como a publicação de novas leis, regulamentos e diretivas, aumenta o desafio dos CISOs, os quais se deparam, atualmente, com uma avalanche de obrigações, incluindo a nova Diretiva NIS 2 e a Lei de Resiliência Operacional Digital (DORA) da União Europeia. Assim, garantir a conformidade, enquanto se mantém a eficiência operacional, é um ato de equilíbrio delicado que consome tempo e recursos significativos.
Segurança na Nuvem e Transformação Digital
As organizações continuam a adotar serviços na nuvem e a passar por transformações digitais, conduzindo a novos desafios para garantir a proteção de dados e de outros ativos em ambientes diversos.
Gerir a segurança em infraestruturas multinuvem e híbridas requer novas competências e ferramentas de ponta, sobrecarregando, muitas vezes, os recursos disponíveis que já são escassos.
Risco de Terceiros e da Cadeia de Abastecimento
A crescente dependência de terceiros, incluindo fornecedores e parceiros, e as cadeias de abastecimento cada vez mais complexas vêm aumentar a superfície de ataque, acrescentando vulnerabilidades adicionais.
Os CISOs devem avaliar os riscos de segurança que advêm de terceiros, estabelecendo os requisitos necessários para a subcontratação e, assegurando medidas de segurança adaptados às políticas de segurança definidas pela sua organização. Esta necessidade surge do facto da organização não ter toda a visibilidade, nem deter o controlo sobre as práticas de segurança desta parte terceira. Este desafio aumenta com o uso crescente de software de código aberto, o cenário geopolítico cibernético atual e a complexidade e interdependências da cadeia de abastecimento destas partes, com relevância para os fornecedores e as entidades de infraestruturas críticas.
Tecnologias Emergentes
A rápida adoção de tecnologias emergentes, particularmente a inteligência artificial e a aprendizagem automática, apresenta tanto oportunidades como desafios para os líderes de segurança.
Embora estas tecnologias ofereçam ferramentas poderosas para deteção e resposta a ameaças, também introduzem novos riscos e vulnerabilidades que devem ser geridos.
Os CISOs devem equilibrar os potenciais benefícios destas tecnologias com as implicações de segurança associadas, adotando a implementação de boas práticas que permitam mitigar ameaças de forma rápida e eficiente em vários sistemas complexos.
Comunicação com a Administração e Gestão de Risco
Espera-se cada vez mais que os CISOs comuniquem os conceitos de segurança complexos e as avaliações dos riscos aos membros do conselho de administração e executivos.
Traduzir e simplificar temáticas técnicas em temáticas relevantes para o negócio e, demonstrar o retorno sobre o investimento em segurança (ROSI), continua a ser um desafio significativo. Os CISOs devem desenvolver assim competências de comunicação para serem capazes de transmitir, de forma eficaz e simples, a importância das iniciativas de cibersegurança, para conseguirem os recursos necessários, e demonstrarem os benefícios para o negócio.
Ameaças Internas e Cultura de Segurança
Construir uma cultura de segurança robusta nas organizações apresenta-se como um desafio diário para os CISOs.
O erro humano continua a ser uma das principais causas de incidentes de segurança, tornando crucial incluir no plano de formação anual, a frequência em programas de formação que capacitem os colaboradores com as competências necessárias para a utilização de práticas seguras na organização. A capacitação dos colaboradores permite mitigar os riscos, reduzir incidentes, melhorar a experiência na utilização dos recursos e aumentar a produtividade.
Resiliência Operacional
Face ao aumento das ameaças cibernéticas e potenciais interrupções na operação do negócio, os CISOs têm a responsabilidade de assegurar a melhoria da resiliência operacional das suas organizações. Isso envolve desenvolver planos adequados para responder a incidentes, implementar sistemas robustos de backup, e assegurar medidas e planos de continuidade do negócio, de recuperação de sistemas de informação e, de gestão de crises, em caso de ciberataques.
Adaptação ao Trabalho Remoto
A mudança para modelos de trabalho remoto e híbrido expandiu a superfície de ataque e introduziu novos desafios de segurança.
Os CISOs devem adaptar as suas estratégias de segurança para proteger uma força de trabalho distribuída, garantir a segurança das redes domésticas e gerir os riscos associados a dispositivos pessoais que acedem a recursos corporativos.
Em conclusão, os Gestores de Segurança da Informação e os CISOs, como líderes de segurança, enfrentam um conjunto complexo e dinâmico de desafios no panorama digital atual.
O sucesso nestas funções requer, uma combinação de conhecimentos técnicos, pensamento estratégico e fortes competências de liderança, mantendo-se informados e sempre atualizados sobre ameaças emergentes, fomentando uma cultura consciente da segurança e, aproveitando tecnologias inovadoras. Desta forma, torna-se mais fácil para os líderes de segurança responder a estes desafios e construir organizações resilientes, capazes de resistir às ameaças cibernéticas em evolução.
A Behaviour apresenta um catálogo de formação e certificação dedicada à área das Melhores Práticas, Metodologias e Sistemas de Gestão. Explore o Catálogo de Formação e os cursos na Área de Segurança da Informação.
Autor: Behaviour
Publicado em: 29 novembro de 2024
Não é autorizada a cópia ou reprodução deste artigo.
Segurança da Informação • Artigo
⏱️ Leitura estimada: 8 minutos
Competências-chave que todos os profissionais de Segurança da Informação devem desenvolver para liderar com eficácia.
Os profissionais de Segurança da Informação que aspiram ser gestores eficazes devem possuir um conjunto diversificado de competências e conhecimentos. Se este é o seu caso, saiba quais são as 10 áreas essenciais que o podem auxiliar a destacar-se nas funções de gestão:
1. Visão Estratégica
Os gestores de segurança da informação devem desenvolver uma forte visão estratégica para a postura de segurança da sua organização. Isso envolve compreender os objetivos gerais de negócio da empresa e alinhar as iniciativas de segurança com esses objetivos. Um gestor de segurança da informação bem-sucedido sabe antecipar novas e emergentes ameaças e conceber estratégias proativas para as combater.
2. Gestão de Risco
Dominar a gestão do risco é crucial para os gestores de segurança da informação, na medida em que precisam de identificar e analisar riscos, determinar se o nível de risco se encontra dentro do critério de aceitação da organização e apoiar o planeamento e implementação de controlos. Esta competência permite compreender e responder melhor às necessidades de segurança da organização, em alinhamento com os objetivos do negócio, transformando potenciais cenários de risco em oportunidades para o negócio.
3. Competências de Comunicação
A comunicação eficaz é fundamental para os gestores de segurança da informação, que devem ser capazes de comunicar, de forma simplificada, conceitos técnicos às partes interessadas não técnicas, incluindo executivos e membros do conselho de administração. Ao construir relações fortes entre departamentos, asseguram que a segurança da informação é integrada nos processos da organização.
4. Conhecimento Técnico
Embora os gestores de segurança da informação não precisem de ser especialistas em todos os aspetos técnicos, devem possuir uma sólida compreensão das tecnologias fundamentais de TIC e conceitos emergentes. Este conhecimento permite-lhes tomar decisões informadas, liderar equipas de forma eficaz e avaliar medidas de segurança de forma fiável.
5. Adaptabilidade
O panorama da cibersegurança encontra-se em constante evolução, exigindo que os gestores de segurança da informação possuam a capacidade e flexibilidade para se adaptarem à mudança. Devem, por isso, manter-se atualizados com as mais recentes ameaças, melhores práticas e tecnologias de ponta, ajustando as suas estratégias às necessidades atuais do negócio.
6. Liderança e Construção de Equipas
Os gestores de segurança da informação devem ser capazes de motivar as suas equipas, o que envolve definir expectativas, fornecer apoio e orientação e fomentar uma cultura de consciencialização de segurança da informação. Líderes eficazes também se concentram no desenvolvimento de talentos, alinhando o capital humano com os objetivos estratégicos da organização, promovendo competitividade, inovação e sucesso sustentável a longo prazo.
7. Conhecimento em Conformidade
Ter conhecimento atualizado sobre a temática da conformidade é essencial para os gestores de segurança da informação, que devem estar familiarizados com legislação, diretivas, normas e frameworks relevantes, como NIS 2, DORA, RGPD, PCI, ISO/IEC 27001 e ISO/IEC 27701. Este conhecimento permite assegurar a implementação das medidas necessárias e garantir o cumprimento das obrigações legais e regulamentares aplicáveis.
8. Resposta a Incidentes e Gestão de Crises
Os gestores de segurança da informação devem estar preparados para gerir de forma eficaz incidentes e crises. Isto envolve desenvolver e implementar planos de resposta a incidentes, coordenar esforços com várias partes interessadas e definir critérios claros para ativação das respostas em cenários de crise.
9. Aprendizagem Contínua
A área da segurança da informação encontra-se em constante evolução. Esta realidade impõe a necessidade de os gestores assumirem uma postura de aprendizagem contínua, mantendo-se atualizados, participando em formações, webinars e conferências, e incentivando as suas equipas a fazer o mesmo.
10. Conduta Ética
Por fim, os gestores de segurança da informação devem aderir a códigos de conduta e adotar comportamentos éticos no desempenho das suas funções. Isto inclui proteger a privacidade e confidencialidade de dados sensíveis, reportar violações de segurança quando necessário e manter a integridade em todas as relações profissionais.
Ao dominar estas 10 áreas, na qualidade de profissional de segurança da informação, pode melhorar significativamente a sua eficácia de gestão e conduzir a sua organização para um futuro mais resiliente e seguro.
A Behaviour apresenta um catálogo de formação e certificação dedicada à área das Melhores Práticas, Metodologias e Sistemas de Gestão.
Explore o Catálogo de Formação
e os cursos na Área de Segurança da Informação.
Autor: Behaviour
Publicado em: 29 novembro de 2024
Não é autorizada a cópia ou reprodução deste artigo.