Conscientização e treinamento
Garantir que o pessoal seja treinado e esteja ciente das políticas de segurança cibernética.
Conscientização e treinamento é definido pelos resultados do NIST CSF 2.0 PR.AT-01 (Personnel are provided with awareness and training so that they possess the knowledge and skills to perform general tasks with cybersecurity risks in mind); PR.AT-02 (Individuals in specialized roles are provided with awareness and training so that they possess the knowledge and skills to perform relevant tasks with cybersecurity risks in mind). Correspondência Mapeado por meio de um crosswalk publicado em ISO 27001, CIS v8.1, PCI DSS, CMMC, 800-53, HIPAA e NIS2. Editorial Mapeado editorialmente em SOC 2, GDPR e DORA. Sem mapeamento em nossos dados Sem mapeamento em nossos dados para Essential Eight, CPS 234 e Cyber Essentials.
| Framework | Requisito | Título | Vínculo | Fonte / motivo |
|---|---|---|---|---|
| NIST CSF 2.0 | PR.AT-01PR.AT-02 | Personnel are provided with awareness and training so that they possess the knowledge and skills to perform general tasks with cybersecurity risks in mind; Individuals in specialized roles are provided with awareness and training so that they possess the knowledge and skills to perform relevant tasks with cybersecurity risks in mind | Definição do tópico | PR.AT-01 PR.AT-02 |
| ISO 27001 | A.6.3Clause 7.3 | Information security awareness, education and training; Awareness | Correspondência | A.6.3: via PR.AT-01; PR.AT-02; NIST 800-53 map: AT-2, AT-3 Clause 7.3: via PR.AT-01; PR.AT-02; NIST 800-53 map: AT-2 |
| CIS v8.1 | CIS 14.1CIS 14.9CIS 14.2CIS 14.3CIS 14.4CIS 14.5CIS 14.6CIS 14.7CIS 14.8 | Establish and Maintain a Security Awareness Program; Conduct Role-Specific Security Awareness and Skills Training; Train Workforce Members to Recognize Social Engineering Attacks… | Correspondência | CIS 14.1: via PR.AT-01 CIS 14.9: via PR.AT-02 CIS 14.2: Editorial (CIS's published crosswalk covers 49 of 153 safeguards): training to recognise social engineering. CIS 14.3: Editorial (CIS's published crosswalk covers 49 of 153 safeguards): training on authentication. CIS 14.4: Editorial (CIS's published crosswalk covers 49 of 153 safeguards): training on data handling. CIS 14.5: Editorial (CIS's published crosswalk covers 49 of 153 safeguards): training on causes of unintentional data exposure. CIS 14.6: Editorial (CIS's published crosswalk covers 49 of 153 safeguards): training to recognise and report incidents. CIS 14.7: Editorial (CIS's published crosswalk covers 49 of 153 safeguards): training to report missing security updates. CIS 14.8: Editorial (CIS's published crosswalk covers 49 of 153 safeguards): training on the dangers of insecure networks. |
| SOC 2 | CC1.4CC2.2 | Commitment to attracting, developing and retaining competent people; Internal communication of objectives and responsibilities | Editorial | AICPA's TSC mappings are not openly licensed; ControlMapping editorial mapping (criterion summaries are ours, not AICPA text). |
| PCI DSS | 12.6.112.6.3 | Formal security awareness programme; Awareness training on hire and at least annually | Correspondência | 12.6.1: via PR.AT-01 12.6.3: via PR.AT-01 |
| CMMC | AT.L2-3.2.1AT.L2-3.2.2AT.L2-3.2.3 | Role-Based Risk Awareness; Role-Based Training; Insider Threat Awareness | Correspondência | AT.L2-3.2.1: via 800-171r3 03.02.01 → AT-2; 800-171r2 Appendix D → AT-2, AT-3 AT.L2-3.2.2: via 800-171r3 03.02.02 ↔ PR.AT-01, PR.AT-02 → AT-3; 800-171r2 Appendix D → AT-2, AT-3 AT.L2-3.2.3: via 800-171r3 03.02.01 → AT-2; 800-171r2 Appendix D → AT-2 |
| 800-53 | AT-2AT-3 | Literacy Training and Awareness; Role-based Training | Correspondência | AT-2: via PR.AT-01 AT-3: via PR.AT-01; PR.AT-02 |
| HIPAA | §164.308(a)(5)§164.308(a)(5)(ii)(A) | Security Awareness and Training; Security Reminders | Correspondência | §164.308(a)(5): via NIST HIPAA map: AT-2, AT-3 §164.308(a)(5)(ii)(A): via NIST HIPAA map: AT-2, AT-3 |
| GDPR | Art.39(1)(b) | Tasks of the data protection officer | Editorial | Art.39(1)(b): No official crosswalk exists for GDPR; ControlMapping editorial mapping. |
| NIS2 | 8.18.2 | Awareness raising and basic cyber hygiene practices; Security training | Correspondência | 8.1: via PR.AT-01; PR.AT-02; ENISA ISO map: Clause 7.3, A.6.3 8.2: via PR.AT-01; ENISA ISO map: A.6.3 |
| Essential Eight | — | Nenhum requisito | Sem mapeamento em nossos dados | Nenhum requisito de Essential Eight está mapeado para este tema em nossos dados. |
| DORA | Art.13(6)Art.5(4) | Learning and evolving; Governance and organisation | Editorial | Art.13(6): Compulsory ICT security awareness programmes and digital operational resilience training for all staff and senior management. Art.5(4): Management body members keep their knowledge of ICT risk up to date, including through regular training. |
| CPS 234 | — | Nenhum requisito | Sem mapeamento em nossos dados | Nenhum requisito de CPS 234 está mapeado para este tema em nossos dados. |
| Cyber Essentials | — | Nenhum requisito | Sem mapeamento em nossos dados | Nenhum requisito de Cyber Essentials está mapeado para este tema em nossos dados. |
Definição do tópico Resultados do CSF 2.0 que definem este tópico · Correspondência pelo menos uma escolha respaldada por um crosswalk publicado · Editorial Juízo editorial da ControlMapping, com a justificação · não mapeado, compartilha apenas os resultados do CSF deste tópico · Sem mapeamento em nossos dados nada mapeado em nossos dados; muitas vezes é trabalho novo, mas verifique as notas de cobertura. Metodologia.
Os IDs e títulos dos requisitos são exibidos como cada framework os publica, em inglês.
Mapeamento incorreto ou ausente? Reportar
Sobre Conscientização e treinamento
O treinamento de conscientização em segurança é uma defesa crítica na camada humana, que reduz o risco de engenharia social, phishing e exposição acidental de dados. Os programas devem abranger a identificação de tentativas de phishing, práticas seguras de navegação, higiene de senhas, procedimentos de comunicação de incidentes e responsabilidades de segurança específicas por função. O PCI DSS exige treinamento de conscientização na contratação e pelo menos anualmente, incluindo phishing e engenharia social (12.6.3); a maioria dos outros frameworks deixa a frequência a critério da organização. Simulações de phishing são uma forma comum de medir se o treinamento está funcionando.