Blogue
Blogue
Análises baseadas nos dados de crosswalk, guias práticos e opinião de Paul Gillet. Feed RSS
Análise
Análise · 2026-10-27APRA CPS 234 e ISO 27001: o que seu ISMS cobre e o que a APRA acrescentaUm ISMS ISO 27001 cobre quase todos os parágrafos da CPS 234 da APRA, mas a APRA acrescenta deveres do Conselho, garantia de terceiros e prazos rigorosos de notificação.
Análise · 2026-10-27Cyber Essentials vs Essential Eight: duas bases nacionaisO Cyber Essentials do Reino Unido e o Essential Eight da Austrália visam ataques comuns, mas cobrem terrenos diferentes. O que se sobrepõe, o que não se sobrepõe e por quê.
Análise · 2026-10-27DORA vs NIS2: o que um programa NIS2 já cobreDORA e NIS2 compartilham a maior parte do seu conteúdo de segurança, mas o DORA acrescenta um registro, cláusulas contratuais e testes orientados por ameaças. Artigo por artigo, veja o que se aproveita.
Análise · 2026-10-13Requisitos de MFA comparados em 11 frameworks de segurançaQuais frameworks exigem MFA, para quem e com que rigor: PCI DSS, CMMC, NIS2, Essential Eight, ISO 27001, SOC 2 e HIPAA, comparados lado a lado.
Análise · 2026-09-29Regra de Segurança da HIPAA sob a ótica do NIST CSF 2.0Um programa NIST CSF 2.0 se mapeia com quase todos os requisitos da Regra de Segurança da HIPAA. O que se aproveita, os dois que não se aproveitam e o que o CSF acrescenta além da HIPAA.
Análise · 2026-09-15Requisitos de criptografia comparados: o que os frameworks especificam e o que deixam a seu critérioComo ISO 27001, PCI DSS, CMMC, HIPAA, RGPD (GDPR), e NIS2 tratam a criptografia em repouso, em trânsito e o gerenciamento de chaves, com os IDs dos requisitos.
Análise · 2026-08-18Requisitos de resposta a incidentes comparados entre frameworksPlanos de resposta a incidentes, testes e prazos de notificação comparados entre ISO 27001, SOC 2, PCI DSS, NIS2, GDPR, CMMC e HIPAA.
Análise · 2026-08-04Segurança física em frameworks: o que empresas cloud-first esquecemRequisitos de segurança física comparados entre ISO 27001, PCI DSS, CMMC, HIPAA e SOC 2, e como empresas cloud-first podem atendê-los.
Análise · 2026-07-02Requisitos de registro de logs e de retenção comparadosRegistro de auditoria e retenção de logs comparados entre ISO 27001, PCI DSS, CIS, SOC 2, HIPAA, CMMC e NIST, incluindo os poucos períodos de retenção fixos.
Análise · 2026-05-19Quanto do PCI DSS v4.0.1 a ISO 27001 realmente cobre?A ISO 27001 corresponde a menos de um terço dos requisitos do PCI DSS v4.0.1. Onde está a sobreposição, por que a maior parte do PCI é trabalho novo mesmo para um SGSI e como planejar para isso.
Análise · 2026-04-07Artigos de segurança do RGPD mapeados: a parte de segurança da leiO RGPD (GDPR) é uma lei de privacidade, mas os Artigos 5, 25, 28, 32 a 35 e 37 a 39 impõem deveres de segurança. Como eles se mapeiam para a ISO 27001 e o NIST, e o que um SGSI deixa de fora.
Análise · 2026-02-24Requisitos de backup e recuperação comparados entre frameworksFrequência de backup, proteção e testes de restauração comparados entre ISO 27001, CIS, PCI DSS, HIPAA, SOC 2, NIS2, Essential Eight e NIST.
Análise · 2026-01-06CMMC Nível 2 mapeado à SP 800-53: o que diz o Apêndice D da NISTCada prática do CMMC Nível 2 remonta à NIST SP 800-53 pelo Apêndice D da SP 800-171. Veja como funciona o mapa, as mudanças da Rev 5 e a prática restante.
Análise · 2025-11-25Os tópicos de segurança que menos frameworks exigem, e por que isso importaSegurança de DNS, inteligência de ameaças, segurança de APIs e de aplicações web são os tópicos que menos frameworks exigem. Por quê, e por que isso não é permissão para ignorá-los.
Análise · 2025-10-14O que a ISO 27001 cobre na NIS2, ponto a pontoA ISO 27001 corresponde a cada ponto do Regulamento de Execução da NIS2, mas a certificação, por si só, não garante a conformidade com a NIS2. O que se transpõe, o que não se transpõe e porquê.
Análise · 2025-08-27Correspondência ou julgamento? Base publicada nos mapeamentosRotulamos cada mapeamento de framework como correspondência publicada ou julgamento editorial. Como a divisão varia por framework e por que isso importa para você.
Análise · 2025-07-15O núcleo comum: requisitos de segurança que todo framework compartilhaCinco tópicos de segurança aparecem em todos os 11 principais frameworks, do ISO 27001 e SOC 2 ao NIS2 e ao Essential Eight. O que são e por que implementá-los primeiro.
Análise · 2025-06-03A lacuna dos CIS Controls: por que apenas 49 de 153 salvaguardas têm correspondência publicadaO mapeamento publicado pela CIS para o NIST CSF 2.0 abrange apenas 49 das 153 salvaguardas do CIS Controls v8.1. Por que isso acontece e o que significa para os mapeamentos da CIS em que você se apoia.
Análise · 2025-04-17Risco de fornecedores e cadeia de suprimentos: quem exige o quêRequisitos de segurança de fornecedores e da cadeia de suprimentos comparados entre ISO 27001, SOC 2, PCI DSS, NIS2, GDPR, HIPAA e NIST CSF 2.0.
Análise · 2025-04-02Critérios do SOC 2 sem equivalente na ISO 27001 e por que existemA maioria dos critérios do SOC 2 corresponde à ISO 27001, mas a Processing Integrity e a maioria dos critérios de Privacidade não. Quais são, por que existem e o que fazer se estiverem no escopo.
Análise · 2025-03-04CSF 1.1 para 2.0: para onde foram as subcategorias retiradasO NIST retirou 79 subcategorias do CSF 1.1 no CSF 2.0, transferindo-as ou fundindo-as com outras. Aqui estão a tabela completa do destino de cada uma e como atualizar mapeamentos antigos.
Análise · 2025-01-21Função Governar do NIST CSF 2.0: quais frameworks já a cobrem?O CSF 2.0 acrescentou a função Governar, que trata de estratégia de riscos, papéis, política, supervisão e risco da cadeia de suprimentos. Quais frameworks já a cobrem e onde estão as lacunas.
Análise · 2024-12-05Qual framework de segurança é o melhor ponto de partida? Nós medimosMedimos quanto de outros dez frameworks cada um dos 11 frameworks de segurança cobre. O SP 800-53 e a ISO 27001 lideram, mas quem pergunta é quem decide.
Análise · 2024-10-22Essential Eight vs ISO 27001: a maioria é apenas "vagamente relacionada"A ISO 27001 abrange, em princípio, todas as estratégias do Essential Eight, mas a maioria dos controles da ASD está apenas vagamente relacionada ao Anexo A. Veja o que isso significa para você.Passo a passo
Passo a passo · 2026-09-01Preparando-se para uma avaliação CMMC Nível 2 quando você já opera o SP 800-53Como organizações que já operam o NIST SP 800-53 podem se preparar para uma avaliação CMMC Nível 2: escopo do CUI, o SSP, reaproveitamento de evidências e armadilhas.
Passo a passo · 2026-07-21Como ler uma correspondência e quando não confiar nelaO que a correspondência entre frameworks diz e não diz: tipos de relação, direção, versões, granularidade e autoria, com checagens antes de usá-la.
Passo a passo · 2026-06-03De ISO 27001 para NIS2: um plano prático para fechar lacunasUm plano passo a passo para uma organização certificada na ISO 27001 que agora está sujeita à NIS2: escopo, registro, deveres da direção, notificação e medidas mais aprofundadas.
Passo a passo · 2026-04-21Diligência de fornecedores: um processo para vários frameworksUm processo único de diligência de fornecedores para ISO 27001, SOC 2, PCI DSS, GDPR, HIPAA e NIS2: classificação em níveis, relatórios de asseguração, contratos e monitoramento.
Passo a passo · 2026-03-10Do relatório de lacunas ao plano: responsáveis, evidências e prazosComo transformar uma análise de lacunas de framework em plano de projeto: frentes, sequenciamento, estimativas, responsáveis e evidências até a auditoria.
Passo a passo · 2026-01-21Evidências de gestão de mudanças que auditores aceitamQuais evidências de gestão de mudanças atendem às auditorias SOC 2 (CC8.1), ISO 27001 (A.8.32), PCI DSS e NIS2, de pull requests a mudanças emergenciais.
Passo a passo · 2025-12-09Revisões de acesso de usuários que satisfazem qualquer auditorComo realizar revisões de acesso de usuários que atendem às auditorias ISO 27001, SOC 2, PCI DSS, HIPAA e CMMC: escopo, frequência, revisores e evidências.
Passo a passo · 2025-10-28Análise de lacunas entre frameworks: do método ao rastreadorMétodo prático para análise de lacunas entre dois frameworks: defina o escopo, revise cada correspondência, valide os vínculos e crie um rastreador.
Passo a passo · 2025-09-11Uma avaliação de riscos para ISO 27001, SOC 2 e HIPAAComo realizar uma avaliação de riscos de segurança da informação que atenda à ISO 27001, ao SOC 2 e à Regra de Segurança da HIPAA, e o que cada auditoria verifica.
Passo a passo · 2025-07-29Escolhendo o nível-alvo de maturidade do Essential EightComo escolher o nível-alvo de maturidade do Essential Eight: o que cada nível protege, quem precisa do Nível Dois ou Três e como evoluir.
Passo a passo · 2025-06-17Redigir uma Declaração de Aplicabilidade que resista à auditoriaComo redigir uma Declaração de Aplicabilidade ISO/IEC 27001:2022: o que ela deve conter, como justificar exclusões e os achados de auditoria mais comuns.
Passo a passo · 2025-05-20Relatório ao conselho com perfis do NIST CSF 2.0Como usar os Perfis Atual e Alvo do NIST CSF 2.0 para reportar a cibersegurança ao conselho: o que mostrar e como vinculá-los aos seus frameworks.
Passo a passo · 2025-05-01Definir o escopo de um primeiro relatório SOC 2 sem se comprometer em excessoComo definir o escopo de um primeiro relatório SOC 2: qual sistema, quais Trust Services Criteria, exclusões (carve-outs) e controles de entidades usuárias, e erros de escopo que saem caros.
Passo a passo · 2025-03-18Mapear uma política para vários frameworks sem reescrevê-laComo estruturar um conjunto de políticas de segurança que atenda ISO 27001, SOC 2, NIST, PCI DSS e NIS2, e o que cada framework exige por escrito.
Passo a passo · 2025-02-04Notificação de incidentes da NIS2: prazos de 24 e 72 horasProcedimento de notificação de incidentes significativos da NIS2: relevância, alerta em 24 horas, notificação em 72 horas e relatório final em um mês.
Passo a passo · 2024-12-24Evidências reutilizáveis entre SOC 2, ISO 27001 e PCI DSSQuais evidências de auditoria atendem simultaneamente SOC 2, ISO 27001 e PCI DSS, o que cada auditor exige além dos demais e como coletá-las uma única vez.
Passo a passo · 2024-11-06Um conjunto de controles para SOC 2 e ISO 27001: execute ambos sem fazer tudo duas vezesComo executar SOC 2 e ISO 27001 a partir de um único conjunto de controles: o que se sobrepõe, o que cada um acrescenta, como estruturar controles e evidências e como alinhar as auditorias.Opinião
Opinião · 2026-06-17Por que rotulamos cada mapeamento como "Correspondência" ou "Editorial"Por que o ControlMapping marca cada mapeamento como correspondência publicada ou julgamento editorial, e por que a origem visível importa.
Opinião · 2026-05-05O caso para dados de conformidade abertos e gratuitosOs mapeamentos entre frameworks estão, em grande parte, trancados em ferramentas pagas e planilhas. Por que os dados de mapeamento de conformidade devem ser abertos, com fontes identificadas e gratuitos para reutilização.
Opinião · 2026-03-24O que 20 anos em cibersegurança me ensinaram sobre auditoriasLições de duas décadas de auditorias de segurança: evidência vence narrativa, escopo define tudo, e os controles falham quando ninguém se responsabiliza por eles.
Opinião · 2026-02-05Políticas de segurança escritas por IA: atalho útil ou risco de auditoria?A IA generativa pode redigir políticas de segurança em minutos. Veja onde isso ajuda, onde gera constatações de auditoria e como usá-la sem criar políticas vazias.
Opinião · 2025-12-23Compliance não é segurança, mas as correspondências ajudam nas duasPor que passar em auditorias não torna uma organização segura, onde compliance e segurança convergem e como mapear frameworks libera tempo para segurança.
Opinião · 2025-11-11Antes das políticas, não compre ferramentas de compliancePor que empresas que compram ferramentas de compliance ou segurança antes de definir como vão operar acabam com software parado, e a ordem certa para evitar isso.
Opinião · 2025-09-25Correspondências de fornecedores que você não consegue verificarPlataformas de conformidade mapeiam um controle para muitos frameworks com correspondências que ninguém consegue inspecionar. Por que isso é um risco e o que exigir no lugar.
Opinião · 2025-08-12Responsabilidade da gestão na NIS2: haverá mudança no comportamento dos conselhos?A NIS2 obriga os órgãos de gestão a aprovar e supervisionar a cibersegurança, com responsabilização. Veja se isso muda o comportamento dos conselhos e o que devem fazer.
Opinião · 2025-07-01A pequena empresa precisa da ISO 27001?Quando a ISO 27001 faz sentido para pequenas empresas, quando SOC 2 ou uma base técnica deve vir primeiro e como manter a certificação proporcional.
Opinião · 2025-02-18Fadiga de frameworks: escolha um hub e mapeie o restante para eleOrganizações que respondem a vários frameworks de segurança se desgastam ao executar cada um separadamente. Veja por que escolher um framework hub e mapear os demais para ele funciona melhor.
Opinião · 2025-01-07As organizações fora da Austrália devem usar o Essential Eight?O Essential Eight da ASD é uma linha de base australiana com recomendações universais. Por que organizações de outros países podem adotá-lo e como ele se encaixa junto à ISO ou ao NIST.
Opinião · 2024-11-20Por que "Vocês são certificados em SOC 2?" é a pergunta erradaNão existe certificação SOC 2. O que a pergunta realmente quer saber, o que um relatório SOC 2 mostra e o que não mostra, e melhores perguntas a fazer aos fornecedores.