NIST CSF 2.0: usar perfis Current e Target sem inventar maturidade
Um Organizational Profile descreve resultados atuais e/ou desejados com a linguagem do CSF. Não é um questionário de conformidade nem uma nota universal: serve para ligar missão, ameaças, requisitos e evidência a um conjunto priorizado de decisões.
- Natureza
- Aplicação voluntária do NIST CSF 2.0 e SP 1301
- Âmbito
- Organizações que precisam de comparar postura atual e alvo
- Publicado e verificado
- 4 de agosto de 2026
- Limite
- Não é certificação, obrigação portuguesa nem equivalência automática com outro referencial
Em resumo
O perfil Current deve refletir o que é demonstrável hoje, incluindo variação entre unidades e fornecedores. O Target seleciona resultados que a organização precisa de atingir segundo objetivos, risco, stakeholders e requisitos — não todos os itens do Core. A análise de gaps identifica diferenças, mas não decide sozinha o investimento. Cada gap precisa de cenário, consequência, dependência, alternativa, custo, dono, prazo e evidência de conclusão. Os Tiers ajudam a discutir rigor de governação e gestão, mas o NIST não os define como níveis obrigatórios de maturidade ou certificados.
- Escolha um âmbito concreto: serviço, unidade, produto, processo ou comunidade; um perfil empresarial único tende a esconder extremos.
- Current significa estado suportado por evidência, não política aprovada ou intenção.
- Target nasce de objetivos e risco; não é simplesmente marcar todos os resultados como completos.
- Priorize gaps por exposição e valor, mantendo dependências, esforço, risco residual e responsável visíveis.
Um perfil é um conjunto contextualizado de resultados
O SP 1301 descreve perfis Current e Target em termos dos resultados do CSF Core. A organização pode acrescentar informação, prioridades e extensões que expliquem o seu contexto. A granularidade deve permitir decisões sem criar um inventário impossível de manter.
O CSF Reference Tool disponibiliza Core, exemplos e referências. Mapeamentos ajudam a navegar outros documentos, mas não provam equivalência de controlos. Valide intenção, escopo e evidência antes de reutilizar uma correspondência.
Ciclo do perfil até à decisão
- 1 · PREPARARFixar âmbito e stakeholders
Definir missão, serviços, fronteiras, fornecedores, dados e quem decide.
- 2 · CURRENTRecolher evidência atual
Descrever resultados atingidos, parciais e ausentes, com fonte e data.
- 3 · TARGETEscolher resultados necessários
Usar cenários, requisitos, tolerância, dependências e horizonte.
- 4 · GAPConstruir opções
Comparar redução de risco, custo, tempo, pré-requisitos e risco residual.
- 5 · GOVERNARAprovar e atualizar
Nomear donos, orçamento, marcos, evidência e gatilhos de revisão.
Acrescentar campos que o Core não pretende resolver
O Core fornece linguagem comum de outcomes. O perfil operacional deve acrescentar evidência, prioridade, dono e decisão sem alterar o significado do resultado. Separe claramente a observação atual, a meta e a iniciativa escolhida para não marcar intenção como implementação.
Campos de um gap acionável
| Campo | Pergunta | Exemplo de prova | Decisor |
|---|---|---|---|
| Current | Que resultado existe hoje? | Configuração, teste, contrato ou registo | Dono do serviço |
| Target | Que resultado é necessário e porquê? | Cenário, requisito e tolerância | Risco/negócio |
| Gap | Que condição material permanece? | Diferença específica, não percentagem | Dono do risco |
| Opções | Controlar, transferir, evitar ou aceitar? | Custo, prazo, dependências, residual | Direção |
| Plano | Quem entrega e como se prova? | Marco, evidência e data de reteste | Sponsor |
| Mudança | O que reabre o perfil? | Incidente, fornecedor, sistema, ameaça | Governação |
Começar por um serviço material em seis semanas
Escolha um serviço com dono, dados, fornecedores e métricas. Recolha evidência com equipas operacionais, valide Current com quem executa, discuta Target com quem responde pelo risco e leve à direção apenas os gaps que exigem decisão.
Publique uma versão datada e mantenha histórico. Atualize por mudança material e por ciclo fixo; não reconstrua o perfil apenas na véspera de uma auditoria.
- Permitir estado desconhecido; não o converter automaticamente em não implementado.
- Guardar divergências entre unidades em vez de usar uma média enganadora.
- Não somar categorias incompatíveis numa nota global.
- Medir progresso por evidência entregue e risco tratado, não por caixas marcadas.
Fontes consultadas
Consultadas na data de atualização indicada.
Abre numa nova janela.- 01NIST SP 1301 — Creating and Using Organizational ProfilesNIST CSRC · CY-NISTCSRC
- 02Cybersecurity Framework projectNIST CSRC · CY-NISTCSRC
- 03CSF 2.0 Reference Tool and mappingsNIST CSRC · CY-NISTCSRC
- 04NIST SP 1302 — CSF 2.0 TiersNIST CSRC · CY-NISTCSRC
- 05NIST IR 8286 Rev. 1 — Cybersecurity and Enterprise RiskNIST CSRC · CY-NISTCSRC
- 06Developing CSF 2.0 Organizational ProfilesNIST CSRC · CY-NISTCSRC
Participar
Partilhe a análise. Acrescente contexto.
Divulgue a matéria no seu canal ou deixe uma observação ligada ao tema.
Comentários
A carregar a conversa.