Evidências de auditoria: da operação, não da folha de cálculo

Que evidências os auditores esperam

• Um inventário atualizado dos ativos, com responsáveis (ISO/IEC 27001, Anexo A 5.9)
• Uma gestão estruturada das vulnerabilidades técnicas, incluindo prazos (A 8.8)
• Deteção, tratamento e notificação de incidentes
• Prova de que as medidas são eficazes (avaliação do desempenho, cláusula 9)

Evidências geradas de forma contínua

Cada deteção, avaliação, tarefa e reverificação fica documentada no XMfortress com data e hora. Daí resultam relatórios com histórico: como evoluiu a superfície de ataque, quantas vulnerabilidades críticas estiveram abertas e durante quanto tempo, que validações foram executadas e com que resultado?

Reporting para a gestão em linguagem clara

Ao abrigo da NIS2, os órgãos de gestão têm de aprovar e supervisionar as medidas. Para isso não precisam de linhas de log, mas de uma visão de conjunto: Exposure Score, tendência, riscos críticos em aberto e cumprimento de prazos, de forma compreensível e comparável ao longo do tempo.

Para vários referenciais em simultâneo

Os mesmos dados comprovam requisitos da ISO/IEC 27001, da NIS2 e do DORA. Em vez de três projetos de evidências separados, basta uma única base de dados.