Conformidade
Garantir a conformidade com os requisitos de cibersegurança aplicáveis.
Conformidade é definido pelos resultados do NIST CSF 2.0 GV.OC-03 (Legal, regulatory, and contractual requirements regarding cybersecurity - including privacy and civil liberties obligations - are understood and managed); GV.OV-03 (Organizational cybersecurity risk management performance is evaluated and reviewed for adjustments needed). Correspondência Mapeado por meio de um crosswalk publicado em ISO 27001, PCI DSS, 800-53 e NIS2. Editorial Mapeado editorialmente em SOC 2, CMMC, HIPAA, GDPR, DORA e CPS 234. Sem mapeamento em nossos dados Sem mapeamento em nossos dados para CIS v8.1, Essential Eight e Cyber Essentials.
| Framework | Requisito | Título | Vínculo | Fonte / motivo |
|---|---|---|---|---|
| NIST CSF 2.0 | GV.OC-03GV.OV-03 | Legal, regulatory, and contractual requirements regarding cybersecurity - including privacy and civil liberties obligations - are understood and managed; Organizational cybersecurity risk management performance is evaluated and reviewed for adjustments needed | Definição do tópico | GV.OC-03 GV.OV-03 |
| ISO 27001 | A.5.31A.5.36Clause 9.1 | Legal, statutory, regulatory and contractual requirements; Compliance with policies, rules and standards for information security; Monitoring, measurement, analysis and evaluation | Correspondência | A.5.31: via GV.OC-03 A.5.36: Compliance with policies, rules and standards is the Annex A control for checking internal compliance; not linked in the OLIR mapping. Clause 9.1: via GV.OV-03; NIST 800-53 map: PM-6 |
| CIS v8.1 | — | Nenhum requisito | Sem mapeamento em nossos dados | Nenhum requisito de CIS v8.1 está mapeado para este tema em nossos dados. |
| SOC 2 | CC4.1CC4.2 | Ongoing and/or separate evaluations of controls; Communicating and remediating control deficiencies | Editorial | AICPA's TSC mappings are not openly licensed; ControlMapping editorial mapping (criterion summaries are ours, not AICPA text). |
| PCI DSS | 12.4.2 | Service providers: quarterly reviews of operational tasks | Correspondência | 12.4.2: via GV.OV-03 |
| CMMC | CA.L2-3.12.1 | Security Control Assessment | Editorial | CA.L2-3.12.1: Periodically assess security controls: CMMC's compliance-checking practice; NIST's crosswalk only reaches it via CA-2, itself an editorial pick here. |
| 800-53 | CA-2PM-4PM-6 | Control Assessments; Plan of Action and Milestones Process; Measures of Performance | Correspondência | CA-2: Control assessments are how compliance with requirements is checked; NIST's CSF 2.0 references don't link CA-2 to GV.OC-03/GV.OV-03. PM-4: via GV.OV-03 PM-6: via GV.OV-03 |
| HIPAA | §164.308(a)(8) | Evaluation | Editorial | §164.308(a)(8): Evaluation (periodic technical and non-technical evaluation); NIST maps it to CA-2, itself an editorial pick for this topic. |
| GDPR | Art.5(2) | Principles relating to processing of personal data | Editorial | Art.5(2): No official crosswalk exists for GDPR; ControlMapping editorial mapping. |
| NIS2 | 2.22.3 | Compliance monitoring; Independent review of information and network security | Correspondência | 2.2: via ENISA ISO map: A.5.31, A.5.36 2.3: Independent review of network and information security; ENISA links it to GV.OV-02. |
| Essential Eight | — | Nenhum requisito | Sem mapeamento em nossos dados | Nenhum requisito de Essential Eight está mapeado para este tema em nossos dados. |
| DORA | Art.6(6)Art.6(7)Art.5(2)(f) | ICT risk management framework; ICT risk management framework; Governance and organisation | Editorial | Art.6(6): The ICT risk management framework is subject to regular internal audit. Art.6(7): A formal follow-up process to verify and remediate critical ICT audit findings. Art.5(2)(f): The management body approves and reviews ICT internal audit plans. |
| CPS 234 | Para 32Para 33Para 34 | Internal audit reviews control design and effectiveness; Assurance provided by appropriately skilled personnel; Internal audit assesses third-party assurance relied on | Editorial | Para 32: Internal audit reviews the design and operating effectiveness of information security controls. Para 33: Control assurance is provided by appropriately skilled personnel. Para 34: Internal audit assesses the third-party assurance it relies on. |
| Cyber Essentials | — | Nenhum requisito | Sem mapeamento em nossos dados | Nenhum requisito de Cyber Essentials está mapeado para este tema em nossos dados. |
Definição do tópico Resultados do CSF 2.0 que definem este tópico · Correspondência pelo menos uma escolha respaldada por um crosswalk publicado · Editorial Juízo editorial da ControlMapping, com a justificação · não mapeado, compartilha apenas os resultados do CSF deste tópico · Sem mapeamento em nossos dados nada mapeado em nossos dados; muitas vezes é trabalho novo, mas verifique as notas de cobertura. Metodologia.
Os IDs e títulos dos requisitos são exibidos como cada framework os publica, em inglês.
Mapeamento incorreto ou ausente? Reportar
Sobre Conformidade
A gestão de conformidade envolve identificar todos os requisitos legais, regulatórios, contratuais e específicos do setor aplicáveis em cibersegurança e implementar controles para atendê-los. Isso inclui acompanhar as obrigações decorrentes de frameworks como GDPR [RGPD], HIPAA, PCI DSS e SOX, manter evidências de conformidade por meio de documentação e trilhas de auditoria, e conduzir auditorias internas periódicas ou avaliações de lacunas. Um programa de conformidade maduro deixa de lado exercícios reativos de simples checklist e passa a integrar proativamente os requisitos regulatórios às operações de segurança do dia a dia.