NIST SP 800-18 Rev. 2: transformar o plano do sistema num registo vivo
A revisão final publicada em junho junta plano de segurança, plano de privacidade e plano de risco da cadeia de fornecimento sob o conceito de system plans. O valor não está em três documentos longos: está em factos consistentes que acompanham o ciclo de vida.
- Natureza
- Orientação técnica NIST final e voluntária
- Documento
- NIST SP 800-18 Rev. 2, publicado em junho de 2026
- Publicado e verificado
- 3 de agosto de 2026
- Limite
- Não substitui RGPD, NIS2, DORA, requisitos setoriais ou autorização aplicável
Em resumo
Um plano de sistema deve explicar finalidade, fronteira, componentes, fluxos de dados, ambiente, controlos, estado de implementação e responsabilidades. A revisão do NIST promove recolha consistente e formatos processáveis por máquina. Para uma organização portuguesa, é orientação voluntária, mas fornece uma arquitetura útil para evitar que segurança, privacidade, fornecedores e operação mantenham versões incompatíveis do mesmo sistema.
- Os três planos partilham identidade, fronteira, dados, dependências e responsáveis.
- «Implementado» sem método, localização, dono e evidência não descreve um controlo.
- Factos reutilizáveis devem ser estruturados; decisões e justificação mantêm contexto humano.
- Mudança de componente, fluxo, fornecedor, finalidade ou risco deve atualizar o plano na origem.
Um sistema, três perspetivas ligadas
O NIST chama system plans ao plano de segurança, plano de privacidade e plano de C-SCRM. Cada um tem objetivos próprios, mas todos precisam da mesma descrição coerente do sistema.
A revisão abandona classificações legadas centradas em tipos de aplicação e aproxima o plano de ambientes modernos, interligações e dados ao longo do ciclo de vida.
Ciclo de manutenção
- CONCEBERFixar finalidade e fronteira
Ligar missão, pessoas, dados, componentes e dependências.
- SELECIONARAtribuir controlos
Definir controlos comuns, herdados, específicos e donos.
- IMPLEMENTARDescrever como funciona
Registar método, localização, parâmetros e evidência.
- AVALIARAtualizar estado
Guardar resultado, desvio, risco residual e ação.
- MUDARReabrir a decisão
Alterações materiais atualizam factos e planos afetados.
Começar pelos factos partilhados
Modele identificadores e relações antes de migrar texto. Um pequeno núcleo estruturado reduz contradições e permite gerar vistas diferentes para operação, auditoria, privacidade e direção.
Núcleo mínimo do registo
| Objeto | Campos essenciais | Dono |
|---|---|---|
| Sistema | Finalidade, criticidade, fronteira, estado | System owner |
| Dados | Categorias, pessoas, origem, destino, retenção | Data/privacy owner |
| Componente | Versão, localização, função, suporte | Technology owner |
| Controlo | Implementação, estado, evidência, herança | Control owner |
| Fornecedor | Serviço, acesso, subcontratação, saída | Third-party owner |
Aplicar primeiro a um sistema material
Escolha um sistema onde existam mudanças, dados pessoais e fornecedores. Reconcilie os três planos com inventário, arquitetura, contratos, registo de risco e evidência técnica.
Não automatize texto inconsistente. Defina campos obrigatórios, enumerações, donos, histórico e regras de qualidade antes de gerar documentos.
- Atribuir identificador estável a sistema, componente, fluxo, controlo e fornecedor.
- Registar fonte e data para cada facto material.
- Separar estado planeado, implementado, avaliado e aceite.
- Criar gatilhos de atualização ligados ao change management.
Fontes consultadas
Consultadas na data de atualização indicada.
Abre numa nova janela.- 01NIST SP 800-18 Rev. 2 — System plansNIST CSRC · CY-NISTCSRC
- 02NIST Risk Management Framework publicationsNIST CSRC · CY-NISTCSRC
- 03NIST Risk Management FrameworkNIST CSRC · CY-NISTCSRC
- 04NIST SP 800-53 Rev. 5 — Security and Privacy ControlsNIST CSRC · CY-NISTCSRC
- 05NIST SP 800-161 Rev. 1 — Cybersecurity Supply Chain Risk ManagementNIST CSRC · CY-NISTCSRC
- 06NIST SP 1314 — RMF Small Enterprise Quick Start GuideNIST CSRC · CY-NISTCSRC
Participar
Partilhe a análise. Acrescente contexto.
Divulgue a matéria no seu canal ou deixe uma observação ligada ao tema.
Comentários
A carregar a conversa.