Descubra: sua empresa atende à nova RO?

Preencha o formulário e descubra o nível de aderência de sua planta de energia em relação à nova Rotina Operacional RO-CB.BR.01 publicada pelo ONS.

Ao clicar em "Iniciar Teste" você declara que está de acordo com o compartilhamento de suas informações pessoais, logo se responsabilizando da utilização das mesmas, como regula a Lei Geral de Proteção de Dados Pessoais (LGPD ou LGPDP), Lei nº 13.709/2018.

1 2 3 4 5 6

1/6 - Arquitetura tecnológica para o ambiente

As redes devem ser segregadas em zonas de segurança, de acordo com a sua função. O agente deve definir uma arquitetura que segmente as redes minimamente em:

Sim Não

1 - Existe separação, reforçada por firewalls de próxima geração, das redes de TI, TO e DMZ?

2 - São bloqueados os acessos diretos para a rede de TO a partir da internet e outras redes externas?

3 - Acessos externos para a rede de TO são controlados por VPN e gateway com controles de segurança?

4 - Existe uma solução antimalware ou de whitelisting implantada e atualizada no ambiente de TO?

1 2 3 4 5 6

2/6 - Governança de segurança da informação

Deve ser nomeado pelo menos um gestor responsável pela segurança cibernética do ARCiber e atuar como ponto de contato externo.

Sim Não

5 - Existe um gestor responsável pela segurança cibernética da TO que atue como ponto de contato para partes externas?

6 - Existe uma política de segurança cibernética específica para o ambiente de TO?

1 2 3 4 5 6

3/6 - Inventário de ativos

O inventário dos ativos deve ser armazenado de forma segura, com acesso restrito às pessoas que necessitem das informações para o exercício de suas funções.

Sim Não

7 - Existe um inventário de ativos com acesso restrito apenas para as pessoas autorizadas?

8 - Existe um padrão de hardening (configurações seguras) de software e hardware implementado e utilizado pela equipe de segurança da rede de TO?

1 2 3 4 5 6

4/6 - Gestão de vulnerabilidades

Devem ser implementadas rotinas de atualização de pacotes de correção de segurança (patches) para todas as tecnologias conectadas ao ARCiber, contemplando no mínimo:

Sim Não

9 - Existe uma rotina de identificação, testes e implantação de patches de sistemas de TO?

10 - Novos ativos recebem todas as correções de segurança disponiveis antes de serem instalados no ambiente de TO?

1 2 3 4 5 6

5/6 - Gestão de acessos

Deve existir uma política de gestão de acessos e identidades, que contemple minimamente os requisitos descritos a seguir.

Sim Não

11 - Há uma política de gestão de identidades e acessos específica para o ambiente de TO?

12 - As credenciais de acesso são individualizadas? É possível identificar qual usuário executou uma determinada ação no ambiente de TO?

13 - Existe uma política de complexidade de senhas e bloqueio em caso de falhas de acesso aos ativos da rede de TO?

14 - Os acessos concedidos à rede de TO são baseados no princípio do menor privilégio?

15 - Usuários desligados de suas funções têm suas credenciais revogadas?

16 - Credenciais de acesso privilegiadas são controladas e auditadas?

17 - Senhas embarcadas são específicas para cada equipamento? É possível identificar os usuários que realizam acessos em cada equipamento da rede de TO?

1 2 3 4 5 6

6/6 - Monitoramento e resposta a incidentes

Os ativos do ARCiber devem estar configurados para gerar logs de segurança apropriados para suportar investigações e a reconstrução de possíveis incidentes de segurança. Esses logs devem ser armazenados por prazo definido nas políticas de segurança cibernética da organização.

Sim Não

18 - Os logs de segurança dos ativos de TO são coletados, monitorados e armazenados dentro de uma política de retenção específica?

19 - A equipe de segurança cibernética da rede de TO recebe alertas dos sistemas de segurança (ex: firewall, IDS, IPS, antimalware etc.) em casos de atividades suspeitas?

20 - Existe estrutura de resposta imediata a incidentes cibernéticos na rede de TO?

21 - Existe um plano de resposta a incidentes cibernéticos em TO?

22 - São realizados testes periódicos dos planos de resposta aos incidentes? Os resultados dos exercícios são usados para aperfeiçoar os processos?

23 - Os incidentes cibernéticos ocorridos na rede de TO são informados ao ONS?