Os necessários fazem o site funcionar. Os outros medem quais páginas ajudam e quais anúncios trazem quem precisa da DM11. Você escolhe, e pode rever pelo rodapé.
NIST CYBERSECURITY FRAMEWORK
Onde sua empresa está hoje e onde a diretoria decidiu que ela precisa estar. Essa diferença, medida com método e revisitada de tempos em tempos, é a única resposta honesta à pergunta que todo conselho faz e quase nenhuma área de segurança consegue responder sem apresentação de quarenta páginas.
O NIST CSF é um framework público e de adoção voluntária. O que a DM11 entrega é a avaliação, os dois perfis, o plano e a rotina de acompanhamento, que é o que responde ao conselho. Quando o objetivo também inclui um documento para enviar a um cliente, a página da ISO 27001 ou a do SOC 2 explicam esse caminho, e os dois trabalhos se apoiam.
Quem conduz a implantação
ISO/IEC 27001 Lead Auditor certificado pela BSI
CISA, auditoria de sistemas de informação
Especialistas em gestão de riscos e continuidade de negócios
17 anos de governança, riscos e conformidades
O QUE É
O Cybersecurity Framework é publicado pelo instituto americano de padrões e tecnologia, e está na versão 2.0 desde 26 de fevereiro de 2024. Ele organiza a segurança em funções, categorias e subcategorias, e cada subcategoria descreve um resultado a alcançar. Não é norma certificável nem manual técnico: é a estrutura que permite acompanhar segurança ao longo do tempo com um vocabulário que o conselho entende.
Identificar, proteger, detectar, responder e recuperar já existiam. A versão 2.0 acrescentou governar, e a colocou no centro das outras cinco. A mudança tem consequência prática: governar trata de quem decide, quem responde e qual é o apetite a risco da empresa, que é justamente o que faltava quando o framework descrevia atividade sem descrever responsabilidade. Se o material que você tem mostra cinco funções, ele é da versão anterior.
São 22 categorias e 106 subcategorias, e cada uma descreve o que precisa ser verdade, sem dizer com qual tecnologia. Isso é deliberado e é a maior força do framework: ele não envelhece junto com o mercado de ferramentas, e não pode ser usado por fornecedor nenhum como argumento de que o produto dele é obrigatório.
O perfil atual registra onde a empresa está, subcategoria a subcategoria. O perfil alvo registra onde ela decidiu estar, o que não é o mesmo que o máximo possível. A distância entre os dois é o plano, é o orçamento e é o que se apresenta ao conselho. Nenhuma outra referência desta página produz esse artefato.
Os quatro níveis descrevem o rigor com que a empresa governa e gerencia risco, e escolher o nível é decisão de apetite a risco e de recurso, não uma escada para subir por esporte. Boa parte das empresas não justifica o nível mais alto, e tratá-lo como meta é o erro de leitura mais comum. Como o framework é de adoção voluntária, ele não produz certificado de conformidade, e é por isso que o valor dele aparece no acompanhamento ao longo do tempo.
QUEM COSTUMA PRECISAR
Repare que nenhuma delas termina em certificado. O CSF resolve acompanhamento e conversa, e quando o problema é provar algo a um terceiro, o caminho é outra norma.
E a resposta hoje é uma apresentação longa que ninguém consegue transformar em decisão. Com os dois perfis montados, a pergunta passa a ter resposta de uma página, com uma distância medida e um custo associado a fechá-la, o que é o formato em que conselho decide.
Pentest de um lado, adequação à LGPD de outro, um projeto de continuidade parado no meio e ferramentas compradas em momentos diferentes. O CSF é o guarda-chuva que mostra o que essas frentes cobrem juntas, e principalmente o que nenhuma delas cobre.
Comum em subsidiária de empresa americana e em fornecedor de setor regulado. O pedido costuma vir sem detalhe, e a primeira entrega útil é traduzir o que ele significa: quase sempre é o perfil atual documentado, e não uma promessa de nível 4.
HISTÓRIAS
Trocamos os nomes dos clientes com o mesmo sigilo que vai proteger a sua empresa depois. Os nomes mudam, o padrão dos problemas se repete. Quando o cliente autoriza, mostramos referências com nome numa conversa.
Serviços financeiros
A cada trimestre o conselho perguntava se a empresa estava segura, e a área de tecnologia respondia com um material extenso, cheio de indicador de ferramenta e nenhum fio condutor. A pergunta voltava idêntica no trimestre seguinte, porque a resposta nunca virava decisão de investimento.
Montamos o perfil atual do CSF e conduzimos uma sessão com a diretoria para definir o perfil alvo, função a função. A discussão foi de apetite a risco, não de tecnologia, e foi a primeira vez que aquele grupo definiu explicitamente até onde queria chegar em cada frente.
A distância entre os dois perfis virou uma página só, com custo associado. O conselho passou a discutir quanto fechar da diferença em vez de perguntar se estava seguro, e a área de tecnologia parou de defender orçamento sem referência.
Subsidiária de multinacional
A matriz pediu alinhamento ao CSF. A operação brasileira tinha certificação ISO 27001 vigente e a leitura interna era de que o pedido já estava atendido, bastando enviar o certificado e encerrar o assunto.
Mapeamos os controles existentes contra as seis funções. Identificar, proteger e detectar apareceram fortes, como era esperado de quem tem sistema de gestão certificado. Responder aparecia razoável no papel e nunca tinha sido exercitado, e recuperar estava praticamente vazio: existia backup e não existia plano de retomada de negócio.
O certificado não respondia ao pedido, e isso ficou claro em duas semanas em vez de em seis meses de mal-entendido com a matriz. O projeto que nasceu daí foi de continuidade, que era a lacuna real, e não de mais um controle de segurança.
Logística
A empresa sofreu um incidente sério e a reação foi investir pesado em ferramentas de detecção, que era onde a dor tinha sido sentida. Um ano depois, com o investimento feito, ninguém sabia dizer se a empresa aguentaria melhor o mesmo evento.
Fizemos a avaliação pelas seis funções e a roda saiu visivelmente torta: detectar bem acima do resto, responder sem procedimento testado e recuperar sem prazo definido para nada. Mostramos que o próximo real do orçamento rendia mais fora de detecção do que dentro.
O incidente tinha comprado a ferramenta certa para o problema errado. A empresa continuou detectando bem e passou a saber o que fazer depois de detectar, que era exatamente o que tinha faltado da primeira vez.
AUTODIAGNÓSTICO
Vinte e uma perguntas, e a primeira não entra na nota: serve para entender o seu caso. O resultado aparece inteiro na tela, com a nota de cada função e uma leitura honesta do que falta. O CSF não é certificável, e este diagnóstico não é avaliação: ele estima o seu perfil atual, que é metade do trabalho. A outra metade é a direção decidir onde quer estar. Não pedimos e-mail para mostrar o resultado.
A leitura de cada área, nas três faixas de resultado. É o mesmo texto que chega por e-mail a quem se identifica, publicado aqui para quem quer entender o que a nota mede antes de responder.
Abaixo de 50
Nota baixa aqui pesa mais do que parece, porque governar responde por um quarto do resultado e é a função que a versão 2.0 colocou no centro das outras cinco. Na prática ela diz que segurança na sua empresa é assunto de quem executa, e não de quem decide. O que costuma faltar são quatro coisas escritas: quanto risco a empresa aceita, quem responde por cada função, quando o tema volta à pauta e qual critério vale para aceitar um fornecedor. O passo concreto cabe em uma página, e não em um programa: uma folha com esses quatro itens, aprovada numa reunião e datada, muda mais este número do que qualquer projeto técnico do semestre.
De 50 a 79
Existe governança, e ela mora nas pessoas em vez de morar em decisão. O sintoma é conhecido: cada diretor descreveria o apetite a risco de um jeito diferente, e ninguém percebe isso enquanto o time não muda. O que costuma faltar não é escrever do zero, é formalizar o que já é consenso e datar, além do critério de fornecedor, que a 2.0 puxou para dentro de governar e quase todo mundo ainda trata como assunto de compras. O passo concreto é transformar em ata a próxima conversa que já iria acontecer, com uma decisão nomeada e um dono por frente.
80 ou mais
A empresa decide segurança em vez de reagir a ela, o que é minoria clara no mercado brasileiro. O que costuma faltar nesta faixa é método registrado de medição: quem já contratou diagnóstico tende a considerar o item resolvido, e o teste real é outro, se outra pessoa conseguiria repetir a mesma medição daqui a um ano e chegar a um número comparável. Vale conferir também se o apetite a risco escrito é citado quando se decide o que não fazer, porque é aí que ele prova que existe. E vale a ressalva de sempre: nota alta em governar não é nível declarado, porque nível se decide com a direção contra apetite e recurso, não se autodeclara.
Abaixo de 50
Sem saber o que a empresa não pode perder, toda prioridade vira preferência de quem fala mais alto, e é por isso que esta função costuma explicar notas baixas em proteger e em recuperar. O erro de ordem mais comum é começar pelo inventário técnico de equipamentos, que é longo e rende pouco aqui. O caminho mais curto é o inverso: sentar com as áreas de negócio, listar os processos que param primeiro e só então perguntar de quais sistemas cada um depende. Uma tarde com três áreas produz mais do que um mês de descoberta automatizada.
De 50 a 79
O levantamento existe e envelheceu, que é o estado mais comum desta função. Lista montada uma vez e atualizada quando alguém lembra deixa de valer no dia em que uma área contrata um serviço em nuvem sozinha, e ninguém descobre até o incidente. O que costuma faltar é o gatilho: quem avisa quando entra sistema novo, e com que periodicidade a lista é conferida. O passo concreto é datar a última revisão de cada item e marcar a próxima, porque item sem data não denuncia que está velho.
80 ou mais
A empresa sabe o que tem, de quem é e o que dói primeiro, e essa é a base que faz todo o resto do CSF render. O ponto de atenção desta faixa é a borda: o que foi contratado direto por uma área de negócio, o que roda em serviço de terceiro e o dado que só existe na planilha de alguém raramente entram na lista boa. Vale também confrontar o registro de risco com as decisões dos últimos meses, porque risco aceito sem nome de quem aceitou volta como surpresa. O próximo passo é revisar quando o contexto muda, e não em data de calendário.
Abaixo de 50
Esta é a função em que mais se gasta dinheiro e menos se registra decisão, e a nota baixa aqui quase sempre significa a segunda coisa, não a primeira. Provavelmente existem controles funcionando, e o que falta é a regra que diz quem pode ver o quê, com revisão que aconteça e deixe rastro. O passo concreto e barato é escolher os três sistemas mais críticos, listar quem tem acesso a eles hoje e conferir a lista com o gestor da área. A conversa sobre quanto investir vem depois dessa, nunca antes.
De 50 a 79
A proteção existe, e ela depende de as pessoas certas continuarem na empresa. Regra que vive na política e revisão que acontece quando sobra tempo produzem exatamente este número. O que costuma faltar tem duas frentes: a revisão de acesso com registro de quem revisou e do que foi removido, e alguma medida do efeito do treinamento, porque lista de presença mede comparecimento e não entendimento. O passo concreto é fixar uma data de revisão de acesso no calendário do responsável, com a instrução de registrar o que foi retirado, que é a parte que vira evidência.
80 ou mais
Os controles seguem regra e a regra é revisada, o que já resolve a maior parte do que esta função pede. O que costuma faltar nesta faixa é a autocrítica sobre a origem do investimento: a pergunta sobre prioridade de compra é a menos confiável deste diagnóstico, porque quem responde muitas vezes é quem assinou. Vale um teste simples e desconfortável, pegar os três maiores gastos de segurança dos últimos dois anos e procurar o risco identificado que os antecede. Se ele não existir por escrito, a nota real desta função é um degrau abaixo da que você acabou de ver.
Abaixo de 50
Nota baixa aqui costuma conviver com ferramenta cara instalada, e essa combinação é a mais frequente do mercado. Monitorar o que a ferramenta entrega por padrão significa vigiar o que o fabricante achou provável, e não o que a sua empresa não pode perder. O que costuma faltar antes de qualquer tecnologia é a decisão do que precisa ser visto, e ela vem da lista de sistemas críticos. O passo concreto é pegar os cinco sistemas mais críticos e responder, para cada um, se hoje alguém saberia dizer que ele foi acessado indevidamente. As respostas negativas são a sua lista de trabalho.
De 50 a 79
Alguém olha os alertas, e não existe fila. É a diferença entre ter atenção e ter processo, e ela aparece no primeiro dia em que a pessoa que costuma olhar está de férias. O que costuma faltar é dono, prazo por gravidade e registro do desfecho, que é o que permite dizer depois se um alerta foi tratado ou apenas fechado. O passo concreto é definir prazo para duas gravidades apenas, não cinco, e registrar o fecho de cada alerta por um mês. O volume real costuma surpreender, e é ele que dimensiona o que vem depois.
80 ou mais
A detecção nasce do que importa e as lacunas são conhecidas, o que é raro o suficiente para ser dito. O risco desta faixa é a defasagem silenciosa: ambiente muda, entra serviço novo, e a cobertura avaliada há um ano passa a descrever uma empresa que não existe mais. Vale amarrar a revisão de cobertura à entrada de sistema novo, e não ao calendário. E vale conferir o elo seguinte, porque detecção boa com resposta fraca apenas antecipa o momento em que a empresa descobre que não sabe o que fazer.
Abaixo de 50
Sem plano escrito, a resposta a um incidente depende de quem estiver disponível na hora e do quanto essa pessoa aguenta improvisar sob pressão. É a função em que a distância entre a nota e a realidade é mais cruel, porque ninguém descobre o problema em reunião, descobre às duas da manhã. O que costuma faltar primeiro não é procedimento técnico, é contato e alçada: quem liga para quem, quem pode decidir desligar um sistema e quem autoriza envolver terceiro. O passo concreto é uma página com esses nomes e telefones, salva fora do ambiente da empresa, porque plano guardado no sistema que caiu não é plano.
De 50 a 79
O documento existe e nunca foi submetido a nada. Plano não exercitado envelhece em silêncio: telefone muda, pessoa sai, fornecedor é trocado, e a descoberta acontece no pior momento possível. O que costuma faltar são duas coisas na mesma sala, alguém da direção participando do exercício e o combinado de comunicação com cliente e com autoridade, incluindo o prazo da LGPD, que corre enquanto o time técnico ainda está apagando incêndio. O passo concreto é um exercício de mesa de noventa minutos com um cenário só, e a lista do que travou vale mais do que qualquer revisão do texto do plano.
80 ou mais
Existe plano, ele foi exercitado e a comunicação está combinada, o que coloca a empresa à frente da maioria das certificadas. O que costuma faltar nesta faixa é variar o cenário: quem repete o mesmo exercício de ransomware todo ano treina o time para um roteiro, e não para um incidente. Vale rodar um cenário de fornecedor comprometido ou de vazamento por pessoa interna, que estressam a alçada e a comunicação de forma diferente. E vale conferir se as lições do último exercício viraram correção com responsável, porque exercício sem consequência é teatro caro.
Abaixo de 50
É a função que mais aparece vazia, inclusive em empresa que já investiu bastante em segurança, e a razão é que ela só é cobrada depois que o pior aconteceu. Nota baixa aqui significa que existe expectativa de retomada rápida sem nada que a sustente, e essa expectativa costuma estar na cabeça da diretoria. O que falta antes de qualquer tecnologia é uma conversa curta com o negócio: quanto tempo cada processo crítico aguenta parado, dito por quem responde pelo processo e não pela TI. O passo concreto é anotar esse número para os três processos mais críticos e compará-lo com o tempo que a TI hoje levaria. A diferença entre os dois é o seu projeto.
De 50 a 79
A TI tem estimativa e o negócio tem expectativa, e as duas nunca foram confrontadas. É a origem da frase que se ouve depois de todo incidente longo, a de que ninguém imaginava que demoraria tanto. O que costuma faltar é o cronômetro: teste parcial, feito pela TI e sem envolver as áreas, prova que o dado volta e não prova que a empresa volta a operar. O passo concreto é escolher um processo crítico e testar a retomada dele de ponta a ponta com uma pessoa da área de negócio presente, medindo o tempo total até a operação normal, e não até o sistema subir.
80 ou mais
Prazo acordado com o negócio e teste cronometrado colocam esta função num patamar que pouca empresa alcança, e ela é a que mais protege o faturamento num evento sério. O que costuma faltar nesta faixa é a dependência externa: fornecedor crítico sem prazo de retomada contratado transfere para você um tempo que você não controla. Vale também fechar o ciclo que devolve informação para governar, porque análise pós-incidente que produz relatório sem correção acompanhada faz o mesmo evento voltar. O próximo passo é verificar, meses depois, se as correções do último incidente foram de fato executadas.
COMO CONDUZIMOS
A etapa que separa este trabalho de uma avaliação comum é a segunda. O perfil alvo não é definido pela tecnologia: é decisão de diretoria sobre apetite a risco, e conduzir essa conversa faz parte da entrega, porque perfil alvo definido só pela TI não sobrevive ao primeiro corte de orçamento.
Definimos o que entra na avaliação e começamos por governar, que é onde a versão 2.0 colocou o centro. Quem decide sobre risco, quem responde por cada frente, o que já foi decidido formalmente e o que só existe por hábito. Sem isso, o restante da avaliação vira retrato sem dono.
Escopo da avaliação definido, com as unidades incluídas
Mapa de quem decide e quem responde por cada frente
Levantamento do que já é decisão formal e do que é prática informal
Partes interessadas identificadas, dentro e fora da empresa
Marco de entregaEscopo aprovado e responsabilidade definida para cada uma das seis funções.
Avaliamos as 106 subcategorias com evidência, por entrevista e por verificação, sem aceitar resposta positiva sem prova. O resultado é o retrato do estado atual por função e por categoria, no formato que permite comparação depois.
Perfil atual documentado, subcategoria a subcategoria
Evidência anexada a cada avaliação positiva
Leitura por função, com as assimetrias visíveis
Aproveitamento do que já existe de ISO 27001, CIS ou projetos anteriores
Marco de entregaPerfil atual fechado, com evidência para toda subcategoria avaliada como atendida.
Conduzimos a sessão em que a direção define onde quer estar, função a função, contra apetite a risco, obrigação contratual e recurso disponível. Trazemos referência do setor para a conversa, mas a decisão é da empresa, e ela precisa ser tomada por quem assina o orçamento.
Perfil alvo definido e assinado pela direção
Nível escolhido por categoria, com a justificativa registrada
Distância entre os dois perfis quantificada
Prioridades definidas contra risco e contra custo
Marco de entregaPerfil alvo aprovado pela direção, com justificativa registrada para cada escolha.
Transformamos a distância em plano com responsável e data, executado com o seu time. E definimos a cadência de reavaliação, porque o valor do CSF aparece na segunda medição e não na primeira: um retrato isolado não mostra direção nenhuma.
Plano de fechamento com responsável e data por item
Execução acompanhada, com revisão periódica do progresso
Material de acompanhamento para o conselho, sem jargão
Cadência de reavaliação definida, com quem conduz e quando
Marco de entregaSegunda medição concluída com o mesmo método, mostrando a direção do movimento.
QUANTO TEMPO LEVA
Não publicamos prazo padrão, porque prazo publicado vira promessa. Aqui existe uma particularidade que vale dizer antes: o levantamento do perfil atual tem duração previsível, e o que estica o projeto quase sempre é a agenda da diretoria para decidir o perfil alvo. Estes são os três fatores que mais mexem no relógio.
Uma operação única é um perfil. Grupo com empresas de negócios diferentes costuma precisar de mais de um, porque apetite a risco de uma indústria e de uma financeira do mesmo grupo não são iguais, e forçar um perfil só produz um número que não serve para nenhuma das duas.
Com a agenda garantida, essa etapa é de semanas. Quando ela é delegada para a TI, o projeto anda mais rápido e entrega menos, porque o perfil alvo passa a ser uma opinião técnica em vez de uma decisão de negócio, e não sustenta orçamento.
Empresa com ISO 27001 vigente ou com os CIS Controls implantados monta o perfil atual muito mais rápido, porque a evidência já existe e só precisa ser relida na estrutura do CSF. Sem nada medido, o levantamento é o trecho mais longo.
PERGUNTAS FREQUENTES
As dúvidas que aparecem em quase toda primeira reunião, respondidas sem rodeio.
Não. O framework é voluntário, o NIST não emite certificado de conformidade e não credencia ninguém para emitir. Existe mercado vendendo o que chama de certificação NIST CSF: o que se entrega ali é um relatório de avaliação feito por terceiro, que é legítimo e útil, e não é certificado reconhecido. Se o seu cliente precisa de um documento com valor de terceira parte, o caminho é ISO 27001 ou SOC 2.
O CSF é a linguagem e o mapa: ele organiza a conversa e permite acompanhar evolução ao longo do tempo. Os CIS Controls são a lista ordenada de tarefas: eles dizem o que fazer primeiro. Não competem, e a própria versão 8.1 dos CIS Controls se alinhou ao CSF 2.0. Na prática, muita empresa usa o CSF para conversar com o conselho e o CIS para trabalhar.
Não, e a diferença é de finalidade. A ISO 27001 certifica, então ela serve para provar algo a um terceiro. O CSF não certifica, e serve melhor para acompanhar maturidade ao longo do tempo e para conversar com quem decide orçamento. Empresas maduras costumam usar os dois: o certificado responde ao cliente, o perfil responde ao conselho.
Está desatualizado, não errado: é a versão 1.1. A versão 2.0, publicada em 26 de fevereiro de 2024, acrescentou a função de governar e a colocou no centro das outras cinco. Vale conferir, porque governar é justamente a função em que mais empresa descobre lacuna, e material antigo nem pergunta sobre ela.
Quase certamente não, e tratar os níveis como escada é a leitura equivocada mais comum. Os quatro níveis descrevem o rigor com que a empresa governa e gerencia risco, e o nível certo é o que o seu apetite a risco e o seu recurso justificam. Uma empresa no nível 2 em tudo, por decisão consciente e documentada, está em situação melhor do que uma que mira o 4 em tudo e não chega a lugar nenhum.
Serve, e é usado no mundo inteiro. É um framework público e voluntário, sem jurisdição associada, e a versão 2.0 foi reescrita explicitamente para organizações de qualquer porte e setor, enquanto a anterior nasceu voltada a infraestrutura crítica. O que ele não faz é responder à LGPD: obrigação legal brasileira continua sendo assunto de adequação e de assessoria jurídica.
A avaliação pelas seis funções mostra onde sua empresa está e onde as lacunas se concentram. A conversa seguinte, com a diretoria, define onde ela precisa estar. A distância entre as duas coisas é o que vira plano.
Comparativos sobre este assunto
Ver os 13 comparativosNIST, instituto nacional de padrões e tecnologia dos Estados Unidos · NIST CSWP 29, publicado em 26/02/2024 · consultado em
Center for Internet Security · versão 8.1, de junho de 2024 · consultado em
ISO/IEC · ISO/IEC 27001:2022, edição 3, com a emenda 1:2024 · consultado em
Esta página é informativa e descreve como a DM11 lê e aplica as fontes acima. Ela não reproduz o texto das normas, não substitui a leitura do documento oficial e não substitui auditoria, certificação, avaliação independente ou aconselhamento jurídico. Onde a norma exige avaliação formal, quem conduz é um organismo, auditoria ou avaliador credenciado, sempre separado de quem preparou.