Glossário GRC

Processo sistemático de identificar, avaliar e priorizar riscos para permitir decisões informadas de mitigação.

Qualquer informação ou recurso que tenha valor para a organização e que requeira proteção.

Avaliação independente que verifica a conformidade com normas, políticas e controlos definidos.

Plano que assegura a continuidade das operações críticas durante e após incidentes graves.

Conjunto de boas práticas prioritárias de cibersegurança publicadas pelo Center for Internet Security.

Chief Information Security Officer — responsável máximo pela segurança da informação na organização.

Cumprimento de leis, regulamentos e políticas aplicáveis à organização. Sinónimo de conformidade.

Medida que reduz um risco a um nível aceitável. Na AnkoraOne, um controlo valida múltiplas normas simultaneamente.

Conjunto de tecnologias e políticas que previnem a fuga ou exposição indevida de dados sensíveis.

Regulamento da UE sobre resiliência operacional digital, aplicável ao setor financeiro europeu.

Conjunto de papéis, responsabilidades e processos que orientam e controlam a organização.

Registo que demonstra a operacionalidade de um controlo, essencial para auditorias e certificações.

Estrutura de referência que organiza boas práticas e requisitos numa área específica, como segurança ou conformidade.

Processo contínuo de identificar, avaliar, tratar e monitorizar riscos que ameaçam os objetivos da organização.

Sistema de regras, práticas e processos pelos quais uma organização é dirigida e controlada para garantir transparência e responsabilidade.

Governação, Risco e Conformidade — a disciplina que unifica políticas, gestão de risco e cumprimento regulatório numa operação coerente.

Magnitude das consequências de um incidente ou risco, caso se materialize, sobre os objetivos da organização.

Evento que compromete a confidencialidade, integridade ou disponibilidade da informação ou sistemas.

Norma internacional para sistemas de gestão da segurança da informação (SGSI), certificável por terceiros.

Correlação automática entre requisitos de normas diferentes, eliminando redundância e esforço duplicado.

Ferramenta visual que cruza probabilidade e impacto para classificar e priorizar riscos.

Nível de evolução dos processos de governação, risco e conformidade, normalmente medido em escalas por níveis.

Diretiva europeia que eleva os requisitos de cibersegurança para operadores essenciais e importantes.

Framework do NIST para melhorar a gestão de risco de cibersegurança, organizado em cinco funções: identificar, proteger, detetar, responder e recuperar.

Documento formal que define as regras e expectativas para a proteção da informação na organização.

Chance de um risco ou evento se materializar, frequentemente combinada com o impacto na avaliação de risco.

Regulamento Geral de Proteção de Dados da UE — proteção e privacidade de dados pessoais.

Combinação da probabilidade de um evento e do seu impacto, expressando a incerteza sobre a consecução dos objetivos.

Risco que permanece após a aplicação de controlos e medidas de mitigação.

Sistema de Gestão da Segurança da Informação — abordagem estruturada para gerir a segurança segundo a ISO 27001.

Norma de auditoria que avalia controlos de segurança, disponibilidade, integridade e confidencialidade de prestadores de serviços.

Gestão de risco introduzido por fornecedores e parceiros na cadeia de valor, com ênfase crescente no NIS2 e DORA.

Exercício que avalia a capacidade da organização para resistir, responder e recuperar de disrupções operacionais.

Decisão e aplicação de medidas para modificar o risco: mitigar, evitar, transferir ou aceitar.

Fraqueza num ativo ou controlo que pode ser explorada por uma ameaça, originando um incidente.