Brain Security · Sensibilização para a cibersegurança e a IA
Catálogo
A competição ciber totalmente personalizável: fluxo à medida, boss fights e classificação pública.
Descobrir→
Máquina
A máquina de arcada de sensibilização ciber. Configurável online, entregue chave na mão.
Descobrir→
Jogo
O desabafo dos CISO: um só gesto, ~2 minutos, e gritar ao microfone multiplica os pontos.
Descobrir→
Competição
A competição de reflexos totalmente configurável: mini-jogos cronometrados, universo ciber, IA ou misto, modo arcada.
Descobrir→
Experiência
A cabine deepfake: autoriza a webcam, vê-se transformado ao vivo por uma IA e nunca mais olha para uma imagem da mesma forma.
Descobrir→
Enciclopédia
A enciclopédia ciber visual gerada por IA: explore cada tema até ao infinito.
Descobrir→
Bot
O bot que sensibiliza na sua mensagem: microlições que chegam sozinhas, assinadas Jack.
Descobrir→
Formação
O percurso de aprendizagem ciber em mapa de progressão: capítulos curtos e um quiz-arcada integrado, sem conta a criar.
Descobrir→
Simulação
O simulador de phishing que treina as suas equipas para os ataques reais, do falso e-mail ao código QR armadilhado, num quadro controlado que nunca captura uma palavra-passe.
Descobrir→
Coming soon
A caixa de ferramentas do CISO, disponível em breve.
O jogo narrativo que ensina a cibersegurança a jogar: dez capítulos, um mapa de níveis, sem instalar nada.
Descobrir→
Saiba como validar o controlo A.6.3 da ISO 27001:2022 na sua auditoria: métricas essenciais, evidências tangíveis e acompanhamento contínuo da sua equipa.
A data da auditoria de certificação ISO 27001 aproxima-se e a sua organização já finalizou as políticas de controlo de acessos, a análise de riscos e o respetivo plano de tratamento. Contudo, persiste frequentemente uma dúvida crítica: o que vai o auditor externo realmente analisar quando examinar a componente humana do seu SGSI? Demasiadas organizações continuam a assumir que um simples módulo de e-learning enviado uma vez por ano a todos os colaboradores é suficiente para validar o requisito de sensibilização.
Na verdade, com a versão ISO/IEC 27001:2022 e a introdução do controlo A.6.3 (Sensibilização, educação e formação em segurança da informação), as expectativas dos auditores evoluíram substancialmente. Já não procuram apenas confirmar se existe uma ação formativa, mas antes se esta é dinâmica, adaptada ao perfil de risco da organização e mensurável ao longo do tempo. Conheça a metodologia prática para estruturar e documentar este processo com total segurança para o dia da auditoria.
Em resumo: O controlo A.6.3 estipula que o pessoal da organização e as partes interessadas relevantes devem receber sensibilização adequada, educação contínua e atualizações regulares sobre as políticas de segurança da informação, em consonância com as suas funções operacionais e o panorama atual de ameaças.
Na revisão de 2022 da norma internacional, a dimensão humana atinge um patamar de maturidade operacional superior. A designação do controlo agrega três vertentes complementares: a sensibilização (compreensão global dos riscos), a educação (desenvolvimento de hábitos e reflexos de segurança) e a formação (aquisição de competências técnicas específicas para cada função).
O auditor externo verifica se o seu programa cumpre quatro pilares fundamentais:
Em resumo: Para validar a conformidade com a ISO 27001, apresente um planeamento anual formalizado, relatórios de taxas de conclusão por departamento, evidências de atualização face a novas ameaças e a medição concreta da retenção de conhecimentos práticos.
No decorrer da auditoria, meras declarações de boas intenções não têm validade sem evidências tangíveis (a informação documentada exigida pela cláusula 7.5). O auditor solicitará o acesso aos seus painéis de controlo e o fornecimento de dados concretos.
1. O plano de sensibilização formalizado: documento orientador aprovado pela administração que detalhe o cronograma anual, as temáticas abordadas (phishing, gestão de palavras-passe, engenharia social, shadow IT) e a periodicidade definida.
2. A taxa de adesão dos colaboradores: capacidade de extrair relatórios consolidados que demonstrem quem completou cada módulo. O objetivo recomendável situa-se acima dos 85% de adesão, devendo existir registo das ações de seguimento junto dos colaboradores em atraso.
3. A validação prática de competências: clicar simplesmente num botão a confirmar a leitura não comprova a retenção de conceitos. O auditor valoriza mecanismos de validação interativos, como questionários dinâmicos ou cenários práticos realistas.
4. O ciclo de melhoria contínua: demonstração de como os conteúdos são revistos e atualizados com base em incidentes internos recentes, simulacros operacionais ou alterações legislativas relevantes.
Para dar resposta a esta exigência de regularidade sem sobrecarregar a rotina dos profissionais, um formato progressivo em micro-lições como o Cyber Journey permite estruturar a aprendizagem em pequenas etapas ao longo de todo o ano. Este modelo modular, associado a questionários frequentes, gera relatórios de progresso minuciosos que servem diretamente de evidência objetiva durante as sessões de auditoria.
| Strategic Dimension | Detailed CISO Recommendation |
|---|---|
| A adequação às funções | equipas de desenvolvimento de software, departamentos de compras ou recursos humanos lidam com dados distintos e enfrentam vetores de ataque… (O que exige concretamente o controlo A.6.3 da norma ISO…) |
| O formato pontual anual | limitar as iniciativas a uma única sessão de duas horas no início do ano e descurar o tema nos meses seguintes indicia ausência manifesta de… (Falhas comuns que resultam em não-conformidades) |
| A regularidade das iniciativas | uma formação pontual a cada doze meses é considerada insuficiente perante a sofisticação e rapidez das ciberameaças modernas. Os auditores esperam… (O que exige concretamente o controlo A.6.3 da norma ISO…) |
| A exclusão de prestadores de serviços | se consultores externos, parceiros ou trabalhadores temporários acedem aos sistemas de informação da organização, o auditor vai verificar se foram… (Falhas comuns que resultam em não-conformidades) |
A maioria das constatações negativas e não-conformidades identificadas no controlo A.6.3 não deriva da ausência absoluta de formação, mas sim da falta de rigor na monitorização e na sustentabilidade do plano.
O controlo A.6.3 não deve ser encarado como um exercício puramente burocrático, mas como uma oportunidade estratégica para envolver os órgãos de gestão e dar utilidade prática às políticas de segurança. Ao estruturar iniciativas regulares, envolventes e integralmente rastreáveis, a sua organização converte uma exigência de certificação numa barreira defensiva coletiva e consistente.
Está a preparar uma auditoria de certificação ou de renovação da ISO 27001 e procura modernizar os seus processos de sensibilização com suporte documental sólido? Agende uma conversa connosco para avaliar como estruturar um programa de desenvolvimento de cultura de cibersegurança perfeitamente alinhado com as normas internacionais.
