Simulador de Maturidade em Segurança

Por que a Immunity?
Nossos Serviços
Conteúdo
- Blog
- Materiais Gratuitos

Menu

Por que a Immunity?
Nossos Serviços
Conteúdo
- Blog
- Materiais Gratuitos

Portal do cliente

Estou sob ataque!

Linkedin-in Instagram Envelope Phone-alt

Estou sob ataque!

Menu

Por que a Immunity?
Nossos Serviços
Conteúdo
- Blog
- Materiais Gratuitos

Por que a Immunity?
Nossos Serviços
Conteúdo
- Blog
- Materiais Gratuitos

Menu

Por que a Immunity?
Nossos Serviços
Conteúdo
- Blog
- Materiais Gratuitos

Portal do cliente

Estou sob ataque!

Simulador de Maturidade em Cibersegurança

Page 1 of 29

A organização possui uma política de segurança da informação formalmente documentada e aprovada pela alta direção?

Governança e Gestão de Riscos

Não possuímos uma política de segurança formal Temos documentos iniciais, mas não formalizados ou aprovados Temos políticas aprovadas, mas não são revisadas regularmente Temos políticas formais, aprovadas e revisadas anualmente Temos políticas maduras, com métricas de efetividade e melhorias contínuas

Page 2 of 29

Existe um processo formal de análise de riscos de segurança da informação na organização?

Governança e Gestão de Riscos

Não realizamos análises de risco formais Realizamos análises de risco informais e não documentadas Temos um processo básico de análise de riscos, mas não regular Temos um processo formal e regular de análise de riscos Temos um processo maduro integrado ao negócio com indicadores

Page 3 of 29

A organização possui um Centro de Operações de Segurança (SOC) ou função equivalente?

Monitoramento e Detecção de Ameaças

Não possuímos monitoramento de segurança Temos monitoramento básico em horário comercial Temos monitoramento parcial (12x5) Temos monitoramento completo (24x7) Temos SOC avançado com threat hunting e inteligência

Page 4 of 29

A organização utiliza ferramentas de SIEM (Security Information and Event Management)?

Monitoramento e Detecção de Ameaças

Não utilizamos SIEM Utilizamos logs básicos sem correlação Temos SIEM com configuração básica Temos SIEM bem configurado com use cases Temos SIEM avançado com machine learning e automação

Page 5 of 29

A organização possui capacidade de detecção de ameaças avançadas (APTs)?

Monitoramento e Detecção de Ameaças

Não temos capacidade de detecção de APTs Temos apenas proteções básicas de perímetro Temos algumas tecnologias mas sem integração Temos tecnologias integradas para detecção Temos um programa maduro de threat hunting e detecção avançada

Page 6 of 29

A organização utiliza soluções de EDR/XDR (Endpoint/Extended Detection and Response)?

Proteção de Endpoints e Redes

Não utilizamos EDR/XDR Utilizamos apenas antivírus tradicional Temos EDR instalado em parte dos endpoints Temos EDR em todos endpoints com monitoramento Temos XDR integrado com outros controles de segurança

Page 7 of 29

Como é a segmentação de rede na organização?

Proteção de Endpoints e Redes

Não temos segmentação de rede Temos segmentação básica (interna/externa) Temos algumas VLANs para sistemas críticos Temos segmentação por função/departamento Temos micro-segmentação e Zero Trust implementados

Page 8 of 29

A organização implementa controles de segurança para dispositivos móveis e BYOD?

Proteção de Endpoints e Redes

Não temos controles para dispositivos móveis Temos políticas básicas sem ferramentas Temos MDM para dispositivos corporativos Temos MDM e políticas bem definidas Temos programa maduro com MTD e controles avançados

Page 9 of 29

Como é o processo de hardening de sistemas e configurações seguras?

Proteção de Endpoints e Redes

Não realizamos hardening sistematicamente Realizamos configurações básicas manuais Temos alguns templates de segurança Seguimos benchmarks de segurança (CIS) Temos processo automatizado e verificação contínua

Page 10 of 29

A organização implementa autenticação multifator (MFA)?

Gestão de Identidades e Acessos

Não utilizamos MFA Utilizamos MFA apenas para VPN ou acesso remoto Utilizamos MFA para sistemas críticos Utilizamos MFA para maioria dos sistemas Temos MFA universal com avaliação contextual (adaptive)

Page 11 of 29

Como é o processo de gestão de acessos privilegiados?

Gestão de Identidades e Acessos

Não temos controles específicos para acessos privilegiados Controlamos manualmente contas admin Temos ferramenta básica de cofre de senhas Utilizamos PAM (Privileged Access Management) Temos PAM avançado com JIT (Just-ln-Time) e monitoramento

Page 12 of 29

A organização possui solução de gerenciamento de credenciais de acesso/senhas?

Gestão de Identidades e Acessos

Não utilizamos Utilizamos soluções em software pessoais Utilizamos soluções corporativas para a alguns membros da TI Utilizamos soluções corporativas para todos os membros da TI Utilizamos soluções corporativas para toda a organização

Page 13 of 29

A organização possui processo de revisão de acessos?

Gestão de Identidades e Acessos

Não realizamos revisão de acessos Realizamos revisões manuais quando solicitado Realizamos revisões anuais não-sistemáticas Temos processo trimestral formal de revisão Temos revisão contínua com workflows automatizados

Page 14 of 29

A organização implementa o princípio de privilégio mínimo?

Gestão de Identidades e Acessos

Não aplicamos privilégio mínimo Aplicamos informalmente em alguns sistemas Temos política formal mas sem verificação Implementamos para maioria dos sistemas Temos implementação completa com monitoramento contínuo

Page 15 of 29

A organização possui um plano de resposta a incidentes formalizado?

Resposta a Incidentes

Não possuímos um plano de resposta a incidentes Temos um plano básico não formalizado Temos um plano documentado mas não testado Temos um plano formalizado e testado anualmente Temos um plano maduro com simulações frequentes

Page 16 of 29

A organização possui capacidade de contenção de ataques?

Resposta a Incidentes

Não sabemos Sim, desconectamos os alvos da rede Conseguimos bloquear IPs pelo Firewall Conseguimos bloquear o ativo via endpoint Precisamos desligar a rede

Page 17 of 29

Como é o processo de gestão de vulnerabilidades da organização?

Resposta a Incidentes

Não temos processo formal de gestão de vulnerabilidades Realizamos scans ocasionais Realizamos scans regulares sem priorização clara Temos processo regular com priorização baseada em risco Temos programa maduro com automação

Page 18 of 29

A organização possui capacidade interna ou contratada de resposta a incidentes?

Resposta a Incidentes

Não temos capacidade formal de resposta Temos capacidades básicas da equipe de Tl Temos alguns especialistas internos Temos equipe interna ou serviço terceirizado especializado Temos capacidade avançada com DFIR e hunting

Page 19 of 29

A organização possui um plano de continuidade de negócios relacionado a incidentes cibernéticos?

Resposta a Incidentes

Não possuímos um plano de continuidade Temos ações básicas de backup apenas Temos plano documentado para sistemas críticos Temos plano completo testado regularmente Temos plano maduro integrado com toda organização

Page 20 of 29

Com que frequência a organização realiza scans de vulnerabilidades?

Gestão de Vulnerabilidades

Não realizamos scans regularmente Realizamos scans ocasionais (menos que anual) Realizamos scans trimestrais Realizamos scans mensais Realizamos scans contínuos automatizados

Page 21 of 29

A organização realiza testes de penetração regularmente?

Gestão de Vulnerabilidades

Não realizamos pentests Realizamos pentests ocasionais (menos que anual) Realizamos pentests anuais em sistemas críticos Realizamos pentests semestrais abrangentes Temos programa contínuo de pentests e bug bountv

Page 22 of 29

Como é o processo de patch management na organização?

Gestão de Vulnerabilidades

Não temos processo formal de patching Realizamos patches ocasionais sem processo Temos processo básico mensal para sistemas críticos Temos processo regular para todos os sistemas Temos processo automatizado com SLAs por criticidade

Page 23 of 29

A organização realiza gestão do inventário de ativos de TI?

Gestão de Vulnerabilidades

Não temos inventário formalizado Temos inventário básico e incompleto Temos inventário manual atualizado regularmente Temos inventário automatizado Temos CMDB com descoberta contínua e automática

Page 24 of 29

A organização está em conformidade com regulamentações de privacidade (LGPD/GDPR)?

Proteção de Dados e Privacidade

Não estamos em conformidade Estamos nas etapas iniciais de adequação Temos adequação parcial com gaps significativos Estamos majoritariamente em conformidade Estamos totalmente conformes com auditoria externa

Page 25 of 29

A organização avalia a segurança de fornecedores e terceiros?