A organização possui uma política formal de segurança da informação, aprovada pela alta direção e revisada periodicamente?

Existe um responsável formalmente designado pela segurança da informação (CISO, gestor de TI sênior ou CISO as a Service)?

A alta direção recebe relatórios periódicos sobre indicadores de segurança e riscos cibernéticos?

A organização possui um programa de integridade/compliance estruturado (canal de denúncias, código de conduta, treinamentos)?

Os riscos de segurança da informação são avaliados e tratados de forma sistemática, com revisões agendadas?

6. A organização possui monitoramento contínuo (24x7) da rede e dos sistemas críticos?

7. Há um processo documentado para detecção e resposta a incidentes de segurança, com papéis claros?

8. Os logs e alertas dos diversos sistemas são correlacionados em uma plataforma central (SIEM ou similar)?

9. A organização possui firewall de próxima geração (NGFW) com inspeção profunda de tráfego?

10. Métricas como MTTD (tempo médio de detecção) e MTTR (tempo médio de resposta) são medidas e acompanhadas?

11. São realizadas varreduras periódicas de vulnerabilidades nos sistemas, com plano de correção priorizado?

12. A organização realiza testes de intrusão (Pentest) por equipe externa pelo menos anualmente?

13. Existe um programa de gestão de patches e atualizações de segurança aplicado de forma consistente?

14. São realizadas simulações de phishing e treinamentos periódicos de conscientização para colaboradores?

15. Os colaboradores recebem treinamentos formais e recorrentes em segurança da informação e LGPD?

16. A organização realizou o mapeamento de dados pessoais (data mapping) e mantém esse inventário atualizado?

17. Há um Encarregado de Dados (DPO) designado, com canais ativos de atendimento a titulares?

18. Existem políticas de privacidade publicadas e contratos com fornecedores com cláusulas de proteção de dados?

19. A organização possui processo formal para atender solicitações de titulares (acesso, correção, exclusão)?

20. Há controles técnicos específicos para proteção de dados pessoais (criptografia, controle de acesso, anonimização)?

21. Existe um Plano de Continuidade de Negócios (PCN) formalizado, com cenários e responsáveis definidos?

22. Os backups são realizados, testados em restauração e armazenados em local seguro e segregado?

23. A organização possui proteção avançada de endpoints (EDR/XDR), e não apenas antivírus tradicional?

24. Aplicações web expostas à internet são protegidas por WAF (Web Application Firewall)?

25. A infraestrutura de TI é gerida com SLAs definidos, monitoramento de capacidade e plano de evolução (PDTI)?