Pular para o conteúdo principal

Auditores Internos e Externos

Visão Geral​

Auditores validam a aplicação efetiva das práticas descritas no SbD-ToE.
Verificam classificações de risco, rastreabilidade, evidência de aplicação, e alinhamento com requisitos regulatórios em todos os capítulos.

Responsabilidades Principais​

  • Validam a aplicação efetiva das práticas prescritas
  • Avaliam classificações de risco, requisitos, rastreabilidade e evidências
  • Produzem relatórios independentes e recomendações de melhoria
  • Não auditam processos, controlos ou decisões em que participaram: o auditor e a função auditada são pessoas distintas
  • Comprovam conformidade perante autoridades

Contexto Organizacional​

São instrumentos essenciais para comprovar conformidade perante autoridades de supervisão, tal como requerido em NIS2, DORA, GDPR e ISO 27001.

Enquadramento Regulatório​

São instrumentos formais para comprovar cumprimento perante autoridades:

  • NIS2: Auditorias de segurança e conformidade
  • DORA: Testes de resiliência e auditorias de terceiros
  • GDPR: Auditorias de proteção de dados
  • ISO 27001/27002: Auditorias de SGSI

Atividades por Capítulo​

Transversal - Todos os Capítulos​

Validar evidência de aplicação de práticas, verificar rastreabilidade de decisões (ADR, exceções, aceitações de risco), confirmar alinhamento com requisitos regulatórios (NIS2, DORA, GDPR, SSDF, ISO 27001).

Requisitos associados:

Cap. 01 - Classificação de Aplicações​

Verificar classificações de risco e sua adequação ao contexto técnico e negócio. Validar KPIs de governação.

Requisitos associados:

Cap. 02 - Requisitos de Segurança​

Validar implementação de requisitos por nível (L1/L2/L3), verificar rastreabilidade requisitos → controlos → evidência.

Cap. 07 - CI/CD Seguro​

Validar rastreabilidade commit → pipeline → release, verificar gestão de exceções.

Requisitos associados:

Cap. 08 - IaC e Infraestrutura​

Validar rastreabilidade ficheiro → recurso → ambiente, verificar janelas de mudança e aprovações, validar exceções formais.

Requisitos associados:

Cap. 14 - Governança e Contratação​

Auditar documentação de exceções, verificar aprovações formais, validar conformidade contratual com fornecedores, verificar rastreabilidade completa.

Requisitos associados:

Referências aos Capítulos​

Auditores utilizam todos os capítulos como fonte de evidência: