Este curso adota uma abordagem prática e estruturada à gestão de risco, alinhada com a Diretiva NIS 2 e baseada no “Guia para Gestão dos Riscos” do Centro Nacional de Cibersegurança (CNCS). Os formandos aprenderão a aplicar o processo completo de gestão de riscos, desde o estabelecimento do contexto organizacional até à monitorização contínua, utilizando as fases e a terminologia do referencial nacional. A formação incluirá a demonstração de ferramentas de suporte para materializar a aplicação dos conceitos.
Objetivos Gerais
- Implementar um processo de gestão de risco de cibersegurança em conformidade com a NIS 2, aplicando a metodologia, as fases e as boas práticas definidas pelo CNCS.
Objetivos Específicos
- Analisar a estrutura do processo de gestão de riscos do CNCS (Contexto, Levantamento, Tratamento, Comunicação, Monitorização).
- Definir o contexto da gestão de riscos, incluindo o âmbito, os critérios de aceitação e a matriz de responsabilidades (RACI).
- Executar as três etapas do Levantamento de Riscos: Identificação, Análise e Avaliação.
- Construir uma matriz de risco e definir níveis de impacto e probabilidade.
- Elaborar um Plano de Tratamento de Riscos, selecionando as opções adequadas (mitigar, aceitar, transferir, evitar).
Programa
Estabelecer o Contexto da Gestão dos Riscos
- Enquadramento: Requisitos da NIS 2 e a importância do Guia de Gestão de Risco CNCS.
- Estabelecer o Contexto. Definição do âmbito e fronteiras.
- Definição de papéis e responsabilidades: Matriz RACI.
- Definição dos Critérios de Aceitação do Risco.
- Workshop prático: Simulação da definição do contexto para uma organização. Definição de uma política de aceitação de risco.
Identificação de Riscos
- O que é o “Levantamento de Riscos”?
- Identificação e Valorização de Ativos.
- Identificação de Ameaças.
- Identificação de Vulnerabilidades.
- Identificação dos Controlo Existentes.
- Exercício prático: Início do estudo de caso com o preenchimento de um registo de riscos. Demonstração de como estas etapas são estruturadas numa ferramenta de apoio (ex: Monarc).
Análise e Avaliação
- Análise dos Riscos. Risco = Probabilidade x Impacto.
- Definição de critérios de Probabilidade e Impacto.
- Construção da Matriz de Riscos e determinação do Nível de Risco.
- Avaliação dos Riscos. Comparação do nível de risco com os critérios de aceitação definidos na identificação de riscos.
- Exercício prático: Para os riscos identificados, os formandos irão calcular o nível de risco utilizando a Matriz de Riscos e proceder à sua priorização.
Tratamento, Comunicação e Monitorização dos Riscos
- Tratamento dos Riscos. Opções de tratamento: Mitigar, Evitar, Transferir e Aceitar.
- Elaboração do Plano de Tratamento de Riscos.
- Comunicação e Consulta dos Riscos. A importância de comunicar com as partes interessadas.
Monitorização e Revisão dos Riscos. O risco como um processo cíclico e dinâmico.
- Exercício prático: Para os riscos prioritários, os formandos irão escolher uma opção de tratamento e esboçar um plano de ação, justificando a sua decisão.