Modelo Gratuito: Questionário do COBIT 5 Framework

Objetivos de Controle para Informações e Tecnologias Relacionadas (COBIT) é uma estrutura criada pela ISACA para desenvolver, implementar, monitorar e melhorar a governança de TI e o gerenciamento de práticas de TI corporativas. A estrutura do COBIT 5 é a edição mais recente, fornecendo um modelo abrangente que ajuda as empresas a maximizar o valor de suas informações.

Embora a ISACA descreva o COBIT 5 como "a estrutura globalmente aceita para otimizar a governança de TI corporativa", ele é usado não apenas para governança de TI, mas também para auditoria, gerenciamento de riscos e garantia de que as atividades de TI estejam alinhadas com os objetivos de negócios.

A estrutura do COBIT 5 engloba princípios e facilitadores que permitem que as organizações projetem um sistema de governança personalizado que atenda às suas necessidades e objetivos estratégicos. Ele integra e amplia o escopo das versões anteriores do COBIT, vinculando negócios, TI, conformidade e gerenciamento de riscos em uma abordagem unificada.

Esta postagem fornece um modelo gratuito para as empresas garantirem que elas e seus fornecedores cumpram a estrutura e mantenham as práticas internas dos requisitos do COBIT 5.

Descubra como o UpGuard ajuda as empresas e seus fornecedores a atender aos requisitos de conformidade >

Importância do Questionário de Segurança do COBIT 5

Os questionários de segurança são uma ferramenta vital na avaliação e gestão da segurança da informação dentro de uma organização. Eles ajudam a identificar lacunas na postura de segurança e a garantir a conformidade com vários padrões, políticas e procedimentos. Para organizações que utilizam a estrutura do COBIT 5, um questionário de segurança é importante pelos seguintes motivos:

Avaliação das práticas atuais: Ajuda a avaliar se as práticas atuais de TI estão alinhadas com as necessidades e objetivos de segurança desejados definidos pelo COBIT 5.
Gerenciamento de riscos: Os questionários de segurança auxiliam na identificação de possíveis riscos e vulnerabilidades nos processos e governança de TI.
Verificação de Conformidade: Eles servem para verificar a conformidade com os objetivos de controle descritos no COBIT 5.
Melhoria contínua: Ao preencher periodicamente o questionário, as organizações podem acompanhar seu progresso e maturidade na implementação de controles de segurança.

Modelo de questionário de segurança do COBIT 5

A estrutura de governança do COBIT segue cinco princípios principais, de acordo com a autora do ISACA, Craciela Braga, CGEIT, CP:

Os objetivos de governança devem atender às necessidades das partes interessadas. Ele precisa criar uma estratégia prática e um sistema de governança e deve agregar valor ao mesmo tempo em que equilibra benefícios, riscos e recursos.
Este sistema de governança deve ter uma abordagem holística.
Há uma diferença entre estruturas, atividades de gerenciamento e governança.
O sistema de governança deve ser personalizado de acordo com as necessidades da organização. Isso requer um conjunto de fatores de design para priorizar e personalizar os componentes do sistema de governança e aplicar essa única estrutura integrada.
O sistema deve abranger todas as funções da empresa, abrangendo todas as funções de TI e a tecnologia e as informações da empresa.

Seção 1: Governança e Estrutura

1. Política e Conformidade

Todas as políticas relevantes de segurança da informação foram documentadas, comunicadas e aprovadas pelas autoridades apropriadas de acordo com as diretrizes do COBIT 5?

Sim
Não
[Campo de texto livre]

As políticas de segurança da informação são revisadas e atualizadas regularmente para refletir o cenário de risco em constante mudança e os requisitos de negócios?

Sim
Não
[Campo de texto livre]

2. Funções e responsabilidades

As funções e responsabilidades para a segurança da informação estão claramente definidas e alinhadas com os princípios do gráfico RACI (Responsável, Responsável, Consultado e Informado) do COBIT 5?

Sim
Não
[Campo de texto livre]

3. Gestão de Riscos

A organização realiza avaliações de risco regulares de acordo com o processo EDM03 (Garantir Otimização de Riscos) do COBIT 5?

Sim
Não
[Campo de texto livre]

4. Integração da estrutura

Como a estrutura de segurança da informação se integra a outros processos e estruturas em uso na organização?

Sim
Não
[Campo de texto livre]

5. Estratégia de Segurança da Informação

A organização estabeleceu e manteve uma estratégia de segurança da informação que está alinhada com seus objetivos de negócios e consistente com a APO02 (Estratégia de Gerenciamento) do COBIT 5?

Sim
Não
[Campo de texto livre]

Seção 2: Alinhamento Estratégico

6. Alinhamento dos objetivos de TI e negócios

Como a organização garante que as medidas de segurança de TI estejam alinhadas com os objetivos gerais de negócios, conforme declarado no EDM01 (Ensure Governance Framework Setting and Maintenance) do COBIT 5?

Sim
Não
[Campo de texto livre]

7. Entrega de valor

Existe um processo para avaliar se os investimentos em segurança de TI estão entregando os benefícios esperados de acordo com o EDM02 (Ensure Benefits Delivery) do COBIT 5?

Sim
Não
[Campo de texto livre]

8. Comunicação com as partes interessadas

Como a organização comunica os objetivos e problemas de segurança da informação às partes interessadas para garantir o alinhamento contínuo?

Sim
Não
[Campo de texto livre]

9. Planejamento Estratégico

As atividades de planejamento estratégico para segurança da informação são realizadas para garantir que atendam aos objetivos estabelecidos no APO01 (Manage the IT Management Framework) do COBIT 5?

Sim
Não
[Campo de texto livre]

Seção 3: Gerenciamento de recursos

10. Otimização de recursos

A organização pode demonstrar o uso eficiente e otimizado dos recursos de TI (pessoas, infraestrutura, aplicativos) no suporte aos objetivos de segurança da informação, conforme orientado pelo APO07 (Manage Human Resources) do COBIT 5?

Sim
Não
[Campo de texto livre]

11. Conhecimento e Experiência

Os membros da equipe e a gerência recebem treinamento adequado em segurança da informação, conforme sugerido pelo DSS02 (Gerenciar Solicitações e Incidentes de Serviço) do COBIT 5?

Sim
Não
[Campo de texto livre]

12. Gerenciamento de provedores de serviços

Como a organização gerencia provedores de serviços externos para garantir que eles cumpram os requisitos de segurança da informação da organização?

Sim
Não
[Campo de texto livre]

13. Arquitetura de Segurança da Informação

Existe uma arquitetura de segurança da informação definida que se alinhe com o APO03 (Manage Enterprise Architecture) do COBIT 5?

Sim
Não
[Campo de texto livre]

Seção 4: Gerenciamento de Riscos

14. Estrutura de gerenciamento de risco

A organização possui uma estrutura formal de gerenciamento de riscos que esteja alinhada com o APO12 (Gerenciar Riscos) do COBIT 5?

Sim
Não
[Campo de texto livre]

15. Identificação de Riscos

Existem processos estabelecidos para identificar riscos internos e externos de segurança da informação de acordo com o APO12 (Gerenciar Riscos) do COBIT 5?

Sim
Não
[Campo de texto livre]

16. Resposta ao risco

Como a organização responde aos riscos de segurança da informação e essas respostas são documentadas e gerenciadas de acordo com o DSS05 (Gerenciar Serviços de Segurança) do COBIT 5?

Sim
Não
[Campo de texto livre]

17. Apetite e tolerância ao risco

Como a organização define e comunica seu apetite ao risco e níveis de tolerância de acordo com o EDM03 (Garantir a Otimização de Riscos) do COBIT 5?

Sim
Não
[Campo de texto livre]

Seção 5: Medição de desempenho

18. Monitoramento e avaliação da eficácia do controle

Existem auditorias ou revisões regulares realizadas para avaliar a eficácia dos controles de segurança da informação, conforme recomendado pelo MEA02 (Monitor and Evaluate Control) do COBIT 5?

Sim
Não
[Campo de texto livre]

19. Métricas de incidentes de segurança

A organização mantém e revisa métricas relacionadas a incidentes de segurança da informação de acordo com o DSS02 (Gerenciar Solicitações e Incidentes de Serviço) do COBIT 5?

Sim
Não
[Campo de texto livre]

20. KPIs e KRIs

Os principais indicadores de desempenho (KPIs) e os principais indicadores de risco (KRIs) são usados para medir e relatar o desempenho da segurança da informação de forma eficaz?

Sim
Não
[Campo de texto livre]

21. Medição de serviço

Como a organização mede e monitora o desempenho dos serviços de segurança da informação de acordo com o DSS04 (Manage Continuity) do COBIT 5?

Sim
Não
[Campo de texto livre]

Seção 6: Gerenciamento de Segurança da Informação

22. Estrutura de Segurança da Informação

A organização implementou uma estrutura de gerenciamento de segurança da informação compatível com o APO01 (Manage the IT Management Framework) do COBIT 5?

Sim
Não
[Campo de texto livre]

23. Proteção de dados e privacidade

Como a organização garante a proteção de dados confidenciais e privados conforme orientado pelo DSS01 (Gerenciar Operações) do COBIT 5?

Sim
Não
[Campo de texto livre]

24. Controles de acesso

As políticas de controle de acesso estão em vigor e são eficazes no gerenciamento de quem tem acesso a quais informações, de acordo com o DSS06 (Manage Business Process Controls) do COBIT 5?

Sim
Não
[Campo de texto livre]

25. Gerenciamento de incidentes

Os processos de gerenciamento e resposta a incidentes de segurança da informação estão definidos e alinhados com o DSS02 (Gerenciar Solicitações e Incidentes de Serviço) do COBIT 5?

Sim
Não
[Campo de texto livre]

26. Gerenciamento do ciclo de vida das informações

Como a organização gerencia o ciclo de vida das informações, garantindo sua confidencialidade, integridade e disponibilidade ao longo de seu ciclo de vida, de acordo com o DSS01 (Gerenciar Operações) do COBIT 5?

Sim
Não
[Campo de texto livre]

27. Análise de impacto nos negócios

A organização realiza uma análise regular de impacto nos negócios para eventos de segurança da informação como parte do DSS04 (Manage Continuity) do COBIT 5?

Sim
Não
[Campo de texto livre]

Seção 7: Melhoria contínua

28. Iniciativas de melhoria

Quais processos estão em vigor para melhoria contínua nas práticas de segurança da informação, conforme descrito pelo APO08 (Gerenciar Relacionamentos) do COBIT 5?

Sim
Não
[Campo de texto livre]

29. Mecanismos de feedback

Quais mecanismos existem para obter feedback sobre a eficácia do programa e das iniciativas de segurança da informação?

Sim
Não
[Campo de texto livre]

30. Gerenciamento de mudanças

Como a organização gerencia as mudanças no programa de segurança da informação para garantir a melhoria contínua de acordo com o BAI06 (Gerenciar Mudanças) do COBIT 5?

Sim
Não
[Campo de texto livre]

Seção 8: Comentários adicionais e itens de ação

Forneça quaisquer comentários ou observações adicionais observados durante o preenchimento deste questionário.
Existem áreas em que a organização não está em conformidade com suas próprias políticas de segurança da informação ou com a estrutura do COBIT 5?
Liste todos os itens ou áreas de ação imediata