Análise estratégicaDos temas essenciais a decisões jurídicas fundamentadas
Os quatro blocos relacionam os dez subtemas com riscos relevantes, decisões, responsabilidades de governação, aplicação de medidas e qualidade dos elementos de prova.
01
Dados, tecnologia e responsabilidade jurídica
Governação da cibersegurança e articulação das três linhas de defesa e responsabilização pelo risco digitalCibercrime, ransomware, extorsão e resposta a incidentesIdentidade, gestão de acessos, contas com privilégios elevados e ameaça interna
Este eixo começa pela delimitação das obrigações e dos interesses associados a «Governação da cibersegurança e articulação das três linhas de defesa e responsabilização pelo risco digital», «Cibercrime, ransomware, extorsão e resposta a incidentes» e «Identidade, gestão de acessos, contas com privilégios elevados e ameaça interna». É necessário delimitar os papéis de responsáveis pelo tratamento, prestadores tecnológicos e operadores, bem como as condições legais para recolha, utilização e transferência de dados. A abordagem identifica responsabilidades, direitos, prazos e informação ainda por apurar. Esta apreciação integra os requisitos legais, a prova disponível e as consequências práticas para as entidades envolvidas.
02
Segurança, contratos e governação tecnológica
Infraestrutura digital, serviços na nuvem, centros de dados e sistemas críticosFraude facilitada por meios digitais, criminalidade nos pagamentos e exposição à criminalidade financeiraTecnologia de terceiros, serviços geridos e riscos cibernéticos da cadeia de abastecimento
A prevenção e o controlo exigem uma abordagem coordenada de «digital infraestrutura, serviços na nuvem, centros de dados e sistemas críticos», «fraude facilitada por meios digitais, criminalidade nos pagamentos e exposição à criminalidade financeira» e «tecnologia de terceiros, serviços geridos e riscos cibernéticos da cadeia de abastecimento». A segurança da informação, a continuidade operacional, o controlo de acessos e a supervisão de sistemas automatizados precisam de responsáveis e de provas de funcionamento. Devem existir instrumentos proporcionados de prevenção, linhas claras de reporte e testes à eficácia dos controlos. As conclusões devem identificar medidas, responsáveis e critérios de acompanhamento, sem antecipar resultados que dependam de prova adicional.
03
Incidentes digitais, prova e proteção de direitos
Informação sobre ameaças, monitorização, registos de atividade e deteção interdisciplinar de riscosForense digital, preservação da prova e preparação de investigações
A resposta a irregularidades, incidentes ou controvérsias implica examinar «informação sobre ameaças, monitorização, registos de atividade e deteção interdisciplinar de riscos» e «Forense digital, preservação da prova e preparação de investigações». Quando há incidente, violação de dados ou utilização abusiva de tecnologia, os factos técnicos devem ser preservados antes da apreciação de deveres de notificação e de responsabilidade. A recolha de provas, o exercício do contraditório e o respeito pelos direitos de defesa determinam a resposta adequada. A estratégia é ajustada à materialidade dos riscos, aos intervenientes relevantes e às exigências da atuação administrativa ou judicial.
04
Resiliência, correção de falhas e transformação
Investigações regulatórias, litígios de cibersegurança, recuperação e aplicação coercivaResiliência operacional, avaliação independente contínua e transformação da cibersegurança
A consolidação de resultados depende da avaliação continuada de «Investigações regulatórias, litígios de cibersegurança, recuperação e aplicação coerciva» e «Resiliência operacional, avaliação independente contínua e transformação da cibersegurança». A melhoria dos controlos exige testes, contratação tecnológica proporcional e acompanhamento independente das vulnerabilidades persistentes. As medidas corretivas devem ser documentadas, acompanhadas e ajustadas quando os resultados o exijam. O resultado esperado é uma decisão fundamentada, acompanhada de um plano de execução e de documentação que permita avaliar a sua eficácia.
