Última edição
Blogue · 267 análises
Contexto para decidir melhor.
Análises sobre IA, cibersegurança, regulação, governação e sistemas digitais. Com fontes, consequência prática e uma próxima ação clara.
Todas as análises
229–240 de 267
Conhecimento atual, organizado por tema, data e consequência prática.
A notificação inicial não é um relatório final antecipado. DORA separa classificação, comunicação inicial, atualização intermédia e fecho para que a autoridade receba cedo o essencial e depois a evidência consolidada.
Ler análise
A revisão 3 substituiu o guia de 2012 e organiza a resposta como um perfil do CSF 2.0. Governar, identificar e proteger preparam; detetar, responder e recuperar executam — com aprendizagem a regressar ao sistema de risco.
Ler análise
‘Baixo apetite para risco cibernético’ não decide nada sozinho. A direção precisa de o decompor em objetivos, tolerâncias, indicadores, limiares e autoridade para agir antes de o desvio se tornar perda.
Ler análise
RFC 9700 tornou explícita a linha de base atual: authorization code, PKCE para clientes públicos, correspondência exata de redirect URI, proteção contra mix-up e abandono do implicit e do password grant.
Ler análise
O artigo 4.º continua a exigir medidas de literacia a providers e deployers, agora sem impor um nível individual específico. A fiscalização começou em agosto de 2026; uma formação genérica anual não prova que cada função sabe operar os sistemas que realmente usa.
Ler análise
Os requisitos de alto risco foram adiados para dezembro de 2027 — ou agosto de 2028 quando a IA está integrada em determinados produtos. O calendário adicional deve servir para testar a intervenção humana, não para adicionar um botão de aprovação no fim do processo.
Ler análise
O prazo não espera por uma perícia perfeita. Quando existe conhecimento suficiente de uma violação de dados pessoais, o responsável deve avaliar risco e, quando exigível, notificar a CNPD em até 72 horas — atualizando por fases se ainda faltarem elementos.
Ler análise
O artigo 25.º proíbe plataformas em linha de conceber interfaces que enganem, manipulem ou prejudiquem materialmente decisões livres e informadas. Em Portugal, a execução ganhou enquadramento nacional em 2026 e envolve coordenação entre ANACOM, ERC e CNPD.
Ler análise
Exploração conhecida, probabilidade de exploração e severidade técnica não são sinónimos de risco local. A remediação começa por confirmar produto e versão, exposição, impacto, controlos, solução do fornecedor e capacidade de validar a correção.
Ler análise
Ver uma assinatura válida não basta. Antes de promover um artefacto, a organização deve verificar o digest, a identidade esperada, a origem do build, a integridade da proveniência, os componentes declarados e a política aplicável àquele ambiente.
Ler análise
Um Organizational Profile descreve resultados atuais e/ou desejados com a linguagem do CSF. Não é um questionário de conformidade nem uma nota universal: serve para ligar missão, ameaças, requisitos e evidência a um conjunto priorizado de decisões.
Ler análise
Um controlo em falta ou ineficaz não desaparece quando recebe aprovação. A exceção precisa de delimitar o desvio, estimar risco, impor medida compensatória, nomear quem aceita, expirar e voltar a teste antes de ser encerrada.
Ler análiseComo publicamos
Ligamos a documentação oficial usada em cada análise.
Traduzimos mudanças em decisões, donos e evidência.
Atualizamos a análise quando o facto ou a orientação muda.
Declaramos quando uma fotografia é gerada e creditamos fotografia documental.
Do contexto à execução
Mapeamos o problema, escrevemos o âmbito e construímos a solução com critérios de aceitação.
