Avaliação de riscos
Compreender os riscos de cibersegurança para as operações e os ativos.
Avaliação de riscos é definido pelos resultados do NIST CSF 2.0 ID.RA-03 (Internal and external threats to the organization are identified and recorded); ID.RA-04 (Potential impacts and likelihoods of threats exploiting vulnerabilities are identified and recorded); ID.RA-05 (Threats, vulnerabilities, likelihoods, and impacts are used to understand inherent risk and inform risk response prioritization); ID.RA-06 (Risk responses are chosen, prioritized, planned, tracked, and communicated). Correspondência Mapeado por meio de um crosswalk publicado em ISO 27001, PCI DSS, CMMC, 800-53, HIPAA e NIS2. Editorial Mapeado editorialmente em SOC 2, GDPR, DORA e CPS 234. Sem mapeamento em nossos dados Sem mapeamento em nossos dados para CIS v8.1, Essential Eight e Cyber Essentials.
| Framework | Requisito | Título | Vínculo | Fonte / motivo |
|---|---|---|---|---|
| NIST CSF 2.0 | ID.RA-03ID.RA-04ID.RA-05ID.RA-06 | Internal and external threats to the organization are identified and recorded; Potential impacts and likelihoods of threats exploiting vulnerabilities are identified and recorded; Threats, vulnerabilities, likelihoods, and impacts are used to understand inherent risk and inform risk response prioritization… | Definição do tópico | ID.RA-03 ID.RA-04 ID.RA-05 ID.RA-06 |
| ISO 27001 | Clause 6.1.2Clause 6.1.3 | Information security risk assessment; Information security risk treatment | Correspondência | Clause 6.1.2: via ID.RA-03; ID.RA-04; ID.RA-05; NIST 800-53 map: RA-3 Clause 6.1.3: via ID.RA-03; ID.RA-04; ID.RA-05; ID.RA-06; NIST 800-53 map: RA-7 |
| CIS v8.1 | — | Nenhum requisito | Sem mapeamento em nossos dados | Nenhum requisito de CIS v8.1 está mapeado para este tema em nossos dados. |
| SOC 2 | CC3.2CC3.4CC3.3 | Risk identification and analysis; Identifying and assessing significant changes; Considering the potential for fraud | Editorial | AICPA's TSC mappings are not openly licensed; ControlMapping editorial mapping (criterion summaries are ours, not AICPA text). |
| PCI DSS | 12.3.1 | Targeted risk analysis for flexible-frequency requirements | Correspondência | 12.3.1: via ID.RA-03; ID.RA-04; ID.RA-05 |
| CMMC | RA.L2-3.11.1 | Risk Assessments | Correspondência | RA.L2-3.11.1: via 800-171r3 03.11.01 ↔ ID.RA-03, ID.RA-04, ID.RA-05 → RA-3; 800-171r2 Appendix D → RA-3 |
| 800-53 | RA-3RA-7 | Risk Assessment; Risk Response | Correspondência | RA-3: via ID.RA-03; ID.RA-04; ID.RA-05 RA-7: via ID.RA-05; ID.RA-06 |
| HIPAA | §164.308(a)(1)(ii)(A) | Risk Analysis | Correspondência | §164.308(a)(1)(ii)(A): via NIST HIPAA map: RA-3 |
| GDPR | Art.35(1)Art.35(7) | Data protection impact assessment; Data protection impact assessment | Editorial | No official crosswalk exists for GDPR; ControlMapping editorial mapping. |
| NIS2 | 2.1 | Risk management framework | Correspondência | 2.1: via ID.RA-03; ID.RA-04; ID.RA-05; ID.RA-06; ENISA ISO map: Clause 6.1.2, Clause 6.1.3 |
| Essential Eight | — | Nenhum requisito | Sem mapeamento em nossos dados | Nenhum requisito de Essential Eight está mapeado para este tema em nossos dados. |
| DORA | Art.8(2)Art.8(3)Art.8(7) | Identification; Identification; Identification | Editorial | Art.8(2): Continuously identify sources of ICT risk and assess cyber threats and vulnerabilities; review risk scenarios at least yearly. Art.8(3): Perform a risk assessment on each major change to infrastructure, processes or procedures. Art.8(7): Assess the ICT risk of legacy systems at least yearly. |
| CPS 234 | Para 21Para 17 | Timely controls commensurate with risk and asset life-cycle; Keep capability current as threats and vulnerabilities change | Editorial | Para 21: Controls must be commensurate with vulnerabilities, threats, criticality and potential consequences: a risk-based basis. Para 17: Keep the security capability current as vulnerabilities and threats change. |
| Cyber Essentials | — | Nenhum requisito | Sem mapeamento em nossos dados | Nenhum requisito de Cyber Essentials está mapeado para este tema em nossos dados. |
Definição do tópico Resultados do CSF 2.0 que definem este tópico · Correspondência pelo menos uma escolha respaldada por um crosswalk publicado · Editorial Juízo editorial da ControlMapping, com a justificação · não mapeado, compartilha apenas os resultados do CSF deste tópico · Sem mapeamento em nossos dados nada mapeado em nossos dados; muitas vezes é trabalho novo, mas verifique as notas de cobertura. Metodologia.
Os IDs e títulos dos requisitos são exibidos como cada framework os publica, em inglês.
Mapeamento incorreto ou ausente? Reportar
Sobre Avaliação de riscos
As avaliações de riscos oferecem uma análise estruturada de ameaças, vulnerabilidades e possíveis impactos sobre os ativos e as operações da organização. Os profissionais normalmente utilizam metodologias qualitativas ou quantitativas para pontuar os riscos, empregando ferramentas como scanners de vulnerabilidades, testes de penetração e modelagem de ameaças para coletar dados. A ISO 27001 exige avaliações de riscos em intervalos planejados e após mudanças significativas (8.2), e a HIPAA exige uma análise de riscos precisa e completa, mantida atualizada; os achados devem ser acompanhados até o tratamento.