Assessment NIST CSF 2.0
Avalie a sua operação nas 6 funções e 22 categorias do NIST CSF 2.0, descubra o seu Tier de 1 a 4 e qual função está segurando a sua evolução. Resultado na hora, sem custo.
O que é
O NIST Cybersecurity Framework é o framework de gestão de risco cibernético do National Institute of Standards and Technology, dos Estados Unidos. Criado para infraestrutura crítica, virou referência mundial para empresas de qualquer porte e setor.
A versão 2.0, de fevereiro de 2024, trouxe a maior mudança da sua história: a nova função Governar (GOVERN), que coloca a estratégia, os papéis e a supervisão da direção no centro. Segurança deixa de ser assunto só da TI e passa a ser gestão de risco do negócio.
Para que serve
Falar a língua da diretoria
As 6 funções — Governar, Identificar, Proteger, Detectar, Responder e Recuperar — explicam segurança em termos de risco, não de ferramenta.
Perfil atual × perfil alvo
O CSF foi desenhado para comparar onde a empresa está com onde precisa estar, e priorizar o caminho entre os dois.
Referência de mercado
É o framework cobrado por clientes internacionais, matrizes estrangeiras e boa parte das seguradoras.
Independente de tecnologia
O NIST diz o resultado esperado, não o produto a comprar. Serve para qualquer ambiente, on-premise ou nuvem.
Para quem é
O que é avaliado
Uma pergunta para cada uma das 22 categorias oficiais, com os códigos do framework (GV.RM, ID.AM, PR.AA…). As funções aparecem na ordem do NIST: primeiro a governança, depois o ciclo de identificar, proteger, detectar, responder e recuperar.
01
Governar — GOVERN
A novidade do CSF 2.0: estratégia, papéis, políticas e supervisão do risco cibernético pela direção.
6 perguntas
02
Identificar — IDENTIFY
Entender os ativos, os riscos a que estão expostos e como a empresa melhora com o tempo.
3 perguntas
03
Proteger — PROTECT
As salvaguardas que reduzem a chance de um incidente acontecer.
5 perguntas
04
Detectar — DETECT
Encontrar e analisar ataques e anomalias enquanto acontecem.
2 perguntas
05
Responder — RESPOND
Agir sobre um incidente detectado: gerir, analisar, comunicar e conter.
4 perguntas
06
Recuperar — RECOVER
Restaurar a operação e a confiança depois do incidente.
2 perguntas
O resultado
No NIST, o Tier descreve o rigor da gestão do risco. Por isso o nosso cálculo tem uma trava: o Tier nunca passa do que a função Governar sustenta. Uma empresa com SOC e EDR, mas sem estratégia de risco e sem papéis definidos, fica no Tier que a sua governança permite — e o resultado mostra exatamente isso.
Tier 1
Parcial
A gestão de risco cibernético ainda é reativa e informal.
Tier 2
Informado pelo risco
Existe consciência do risco, mas ela ainda não é política da empresa.
Tier 3
Repetível
A gestão de risco é política formal e aplicada de forma consistente.
Tier 4
Adaptativo
A empresa se adapta continuamente às ameaças.
A escala de 0 a 5
Cada controle recebe uma nota de maturidade, e cada nota tem peso pela criticidade do controle (crítico, alto ou médio). É a mesma lógica usada em auditorias: não basta existir, precisa ser documentado, medido e melhorado.
0 · Inexistente
Não existe hoje
1 · Inicial
Feito às vezes, depende de alguém lembrar
2 · Repetível
Feito com frequência, mas sem padrão escrito
3 · Definido
Documentado, aprovado e aplicado
4 · Gerenciado
Medido, revisado e com evidência
5 · Otimizado
Automatizado e em melhoria contínua
Como funciona
22 perguntas com a referência oficial do NIST CSF 2.0, cada uma com nota de 0 a 5. Existe "não sei informar" sem prejuízo.
Tier de implementação NIST, maturidade por bloco e a barreira que trava o próximo nível — na hora, na tela.
Em até 15 dias você recebe o plano de adequação com os gaps priorizados em 30, 90 e 180 dias, esforço e investimento.
Nenhum dado pessoal é pedido antes das perguntas.
Dúvidas
O 2.0 criou a função Governar, reorganizou categorias (por exemplo, PR.IP e DE.DP deixaram de existir) e passou a mirar empresas de todos os portes, não só infraestrutura crítica. Este assessment usa apenas o 2.0.
Não. O NIST CSF não tem certificação. O Tier é uma forma de descrever a maturidade da gestão de risco, usada para comunicação interna, com clientes e para planejar a evolução.
Ele cobre as 22 categorias, uma pergunta por categoria. O levantamento das 106 subcategorias, com perfil atual e perfil alvo, é feito pelo especialista no diagnóstico.
Sim. A avaliação e o plano apresentado pelo especialista não têm custo e não geram compromisso.
Cada nível tem uma descrição curta ao lado. Na dúvida entre dois, escolha o menor: numa auditoria, o nível só conta quando existe evidência. Controles fora do seu escopo podem ser marcados como "não se aplica" quando a pergunta permitir — eles saem do cálculo.
Usamos exclusivamente para elaborar o seu diagnóstico e para o contato que você autoriza no formulário. Não vendemos nem cedemos seus dados: eles passam apenas pelos fornecedores que operam o envio de e-mail e o nosso CRM. O tratamento segue a nossa Política de Privacidade e a LGPD.
Pode. O progresso fica salvo no seu navegador — ao voltar pelo mesmo dispositivo, você retoma de onde parou.
Sem custo, sem compromisso e sem pedir dado nenhum antes de você ver valor.
Outros assessments
CAME · Continuidade e Segurança para seu negócio · SOC 24/7/365 · SLA médio de 30 minutos
