Biblioteca de prompts do Framework de Cibersegurança do NIST

Avalie nossa postura atual de cibersegurança usando o framework NIST CSF 2.0:

Contexto da organização:
- Setor: [setor de infraestrutura crítica ou outro]
- Tamanho da organização: [número de funcionários, localidades, receita]
- Ambiente de risco: [panorama de ameaças, requisitos regulatórios]
- Maturidade atual de segurança: [básica/em desenvolvimento/madura/avançada]

Para cada função do CSF 2.0, avalie o estado atual:

GOVERNAR (GV): Estratégia de gestão de risco de cibersegurança, funções, políticas
- GV.OC: Contexto organizacional e estratégia de gestão de risco
- GV.RM: Estratégia de gestão de risco integrada ao risco corporativo
- GV.RR: Funções, responsabilidades e autoridades
- GV.PO: Políticas, processos e procedimentos
- GV.OV: Gestão de risco de cibersegurança na cadeia de suprimentos

IDENTIFICAR (ID): Compreensão de ativos, riscos e vulnerabilidades
- ID.AM: Gestão de ativos (inventário, classificação)
- ID.RA: Avaliação de risco (ameaça, vulnerabilidade, impacto)
- ID.IM: Melhoria (lições aprendidas, melhoria contínua)

PROTEGER (PR): Salvaguardas para limitar impactos
- PR.AA: Gestão de identidade e controle de acesso
- PR.AT: Conscientização e treinamento
- PR.DS: Segurança de dados (proteção em repouso e em trânsito)
- PR.PS: Segurança de plataforma (configuração segura, manutenção)
- PR.IR: Resiliência da infraestrutura tecnológica

DETECTAR (DE): Atividades para descobrir eventos de cibersegurança
- DE.CM: Monitoramento contínuo
- DE.AE: Análise de eventos adversos

RESPONDER (RS): Ações após incidente de cibersegurança detectado
- RS.MA: Gestão de incidentes
- RS.AN: Análise de incidentes
- RS.MI: Mitigação de incidentes
- RS.CO: Comunicação e relato de incidentes

RECUPERAR (RC): Planos para resiliência e restauração
- RC.RP: Planejamento de recuperação
- RC.CO: Comunicações de recuperação

Para cada categoria e subcategoria relevante para nossa organização:
- Nível de Implementação Atual (0=Não Implementado, 1=Parcial, 2=Baseado em Risco, 3=Repetível, 4=Adaptativo)
- Evidência de implementação (políticas, procedimentos, ferramentas, controles)
- Lacunas e fraquezas
- Prioridade para melhoria (Crítica/Alta/Média/Baixa)

Resuma a maturidade geral por função e forneça um roteiro de melhorias priorizadas.

Defina nossa postura alvo de cibersegurança (Perfil Alvo) usando o NIST CSF 2.0:

Contexto estratégico:
- Objetivos de negócio: [crescimento, transformação digital, novos mercados, fusões e aquisições]
- Apetite ao risco: [conservador/moderado/agressivo]
- Impulsionadores regulatórios: [requisitos de conformidade]
- Panorama de ameaças: [ameaças específicas que enfrentamos]
- Restrições de recursos: [orçamento, equipe, expertise]
- Cronograma: [1 ano, 3 anos, 5 anos]

Para cada função e categoria do CSF:
- Nível de Implementação Alvo (nível de maturidade desejado)
- Justificativa para o nível alvo (por que esse nível é apropriado para nosso risco)
- Resultados prioritários e referências informativas para implementação
- Recursos estimados e cronograma
- Dependências e pré-requisitos

Crie um Perfil Alvo que equilibre a redução de risco com a viabilização dos negócios e a realidade dos recursos.

Abordar áreas específicas de foco:
- Governar: Aprimorar a supervisão de cibersegurança em nível de conselho, integrar com ERM
- Identificar: Completar inventário de ativos, realizar avaliações de risco anuais
- Proteger: Implementar arquitetura de confiança zero, implantar MFA universalmente
- Detectar: Implantar EDR/SIEM, estabelecer SOC 24/7 ou serviço MDR
- Responder: Desenvolver playbooks de incidentes, conduzir exercícios de mesa
- Recuperar: Alcançar [metas de RTO/RPO], testar DR trimestralmente

Forneça uma análise de lacunas: Perfil Atual vs. Perfil Alvo, destacando melhorias prioritárias para fechar as lacunas.

Estabeleça governança de cibersegurança conforme a função GOVERNAR do NIST CSF 2.0:

GV.OC: Contexto Organizacional
- Missão e objetivos: [nossa missão de negócios e como a cibersegurança a apoia]
- Ativos e funções críticas: [o que deve ser protegido]
- Requisitos legais, regulatórios e contratuais: [GDPR, HIPAA, PCI DSS, SLAs contratuais]
- Partes interessadas: [clientes, reguladores, parceiros, conselho]

GV.RM: Estratégia de Gestão de Risco
- Declaração de apetite ao risco de cibersegurança: [riscos aceitáveis vs. inaceitáveis]
- Integração com a gestão de riscos corporativos (ERM)
- Metodologia e frequência de avaliação de riscos
- Prioridades e critérios de tratamento de riscos
- Relato de riscos para a liderança executiva e conselho

GV.RR: Funções, Responsabilidades, Autoridades
- CISO ou equivalente: [função, linha de reporte, autoridade]
- Estrutura da equipe de segurança: [SOC, GRC, engenharia, etc.]
- Responsabilidades das unidades de negócio: [o que o negócio possui]
- Supervisão do conselho: [comitê do conselho, frequência de reuniões, relatórios]
- Funções de terceiros: [MSSPs, consultores, auditores]

GV.PO: Políticas, Processos, Procedimentos
- Framework de política de segurança da informação
- Políticas de uso aceitável, controle de acesso, proteção de dados, resposta a incidentes
- Documentação e manutenção de procedimentos
- Ciclo de aprovação e revisão de políticas

GV.OV: Gestão de Risco de Cibersegurança na Cadeia de Suprimentos
- Política de gestão de risco na cadeia de suprimentos
- Requisitos de segurança para fornecedores
- Avaliação e monitoramento de risco de fornecedores
- Cláusulas contratuais de segurança
- Segurança da cadeia de suprimentos de software (SBOM, verificação de dependências)

Crie um estatuto de governança, matriz RACI e documento de framework de políticas.

Implemente a gestão de ativos conforme o NIST CSF ID.AM:

ID.AM-01: Inventário de dispositivos e sistemas físicos
- Servidores, estações de trabalho, dispositivos móveis, equipamentos de rede, IoT
- Atributos dos ativos: proprietário, localização, função, criticidade
- Ferramentas de descoberta automatizada: [CMDB, plataforma de gestão de ativos]

ID.AM-02: Inventário de plataformas e aplicações de software
- Sistemas operacionais, aplicações, assinaturas de SaaS
- Licenças e versões de software
- Acompanhamento de fim de vida

ID.AM-03: Fluxos de comunicação e dados organizacionais
- Diagramas de rede e mapas de fluxo de dados
- Sistemas de informação externos e conexões
- Caminhos e protocolos de comunicação

ID.AM-04: Sistemas de informação externos
- Serviços em nuvem (IaaS, PaaS, SaaS)
- Parceiros e organizações interconectadas
- Acordos de compartilhamento de dados

ID.AM-05: Recursos (hardware, dispositivos, dados, pessoal) priorizados
- Classificação de criticidade (Nível 1 crítico, Nível 2 importante, Nível 3 rotineiro)
- Impacto nos negócios se indisponível
- Classificação de dados (público, interno, confidencial, restrito)

Crie um registro abrangente de ativos com classificações de criticidade e propriedade para nosso ambiente:
[Descrever infraestrutura, aplicações, dados, usuários]

Mapeie para Referências Informativas: ISO 27001 A.8.1, CIS Controls 1-2, NIST SP 800-53 CM-8

Desenvolva um programa de avaliação de riscos conforme o NIST CSF ID.RA:

ID.RA-01: Vulnerabilidades de ativos identificadas e documentadas
- Varredura de vulnerabilidades (interna, externa, de aplicação)
- Testes de penetração (frequência: [anual/semestral])
- Avaliações e auditorias de segurança
- SLAs de remediação de vulnerabilidades (Crítica: X dias, Alta: Y dias)

ID.RA-02: Inteligência de ameaças cibernéticas recebida de fóruns de compartilhamento de informações
- Fontes de inteligência de ameaças: [ISACs, feeds de fornecedores, código aberto]
- Análise e integração de inteligência de ameaças
- Compartilhamento de indicadores de ameaças com pares e autoridades

ID.RA-03: Ameaças (internas e externas) identificadas e documentadas
- Modelagem de ameaças para ativos e aplicações críticas
- Cenários de ataque (ransomware, phishing, ameaça interna, cadeia de suprimentos)
- Táticas, técnicas e procedimentos de adversários (MITRE ATT&CK)

ID.RA-04 a ID.RA-07: Análise de impacto
- Impactos potenciais identificados e documentados (confidencialidade, integridade, disponibilidade)
- Determinação de probabilidade
- Avaliação de risco (probabilidade x impacto)
- Decisões de resposta e tratamento de riscos
- Aceitação de risco residual

ID.RA-08 a ID.RA-10: Melhoria contínua
- Lições aprendidas com incidentes e exercícios
- Atualizações da avaliação de riscos com base em mudanças (novos sistemas, ameaças, negócios)
- Perfil de risco comunicado às partes interessadas

Nossa abordagem de avaliação de riscos:
- Metodologia: [qualitativa/quantitativa/híbrida]
- Frequência: [avaliação formal anual, monitoramento contínuo]
- Escopo: [todos os sistemas, sistemas críticos, projetos específicos]
- Ferramentas: [software de avaliação de riscos, plataformas GRC]

Crie um registro de riscos, procedimentos de avaliação e modelos de relatórios.

Implemente controle de identidade e acesso conforme o NIST CSF PR.AA:

PR.AA-01: Identidades e credenciais gerenciadas para usuários, serviços, hardware
- Provisionamento/desprovisionamento de usuários (processo de entrada/mudança/saída)
- Gestão de contas de serviço e chaves de API
- Gestão de dispositivos e certificados
- Gestão do ciclo de vida de identidades

PR.AA-02: Identidades autenticadas
- Autenticação multifator (MFA) para [todos os usuários / acesso remoto / contas privilegiadas]
- Tecnologias de autenticação: [SSO, SAML, OAuth, FIDO2]
- Políticas de senha (comprimento, complexidade, sem rotação forçada conforme NIST 800-63B)
- Estratégia de autenticação sem senha

PR.AA-03 a PR.AA-06: Autorização e gestão de acesso
- Controle de acesso baseado em funções (RBAC) ou baseado em atributos (ABAC)
- Aplicação do princípio do menor privilégio
- Gestão de acesso privilegiado (PAM) para contas administrativas
- Revisões de acesso (frequência: [trimestral/anual])
- Fluxo de trabalho de solicitação e aprovação de acesso
- Segregação de funções para atividades sensíveis

PR.AA-07: Identidade federada e compartilhamento de atributos
- Implementação de SSO: [Okta, Azure AD, Google Workspace]
- Acesso federado para parceiros e clientes
- Controle de acesso baseado em atributos para recursos em nuvem

Nosso ambiente:
- Número de usuários: [funcionários, contratados, clientes]
- Sistemas de identidade: [Active Directory, Entra ID, Okta, personalizado]
- Usuários privilegiados: [número, funções]
- Sistemas críticos que requerem controles de acesso aprimorados: [lista]

Crie uma política de IAM, procedimentos de provisionamento e matriz de controle de acesso.

Implemente medidas de segurança de dados conforme o NIST CSF PR.DS:

PR.DS-01: Dados em repouso protegidos
- Padrões de criptografia: [AES-256, TDE para bancos de dados]
- Criptografia de disco completo para endpoints
- Criptografia de backups e arquivos
- Gestão e rotação de chaves

PR.DS-02: Dados em trânsito protegidos
- TLS 1.2+ para tráfego web
- VPN para acesso remoto: [IPsec, WireGuard]
- E-mail criptografado (S/MIME, PGP) para comunicações sensíveis
- Transferência segura de arquivos (SFTP, FTPS)

PR.DS-03 a PR.DS-05: Gestão de ativos e configuração
- Descarte de ativos e sanitização de mídia (limpeza, destruição)
- Linhas de base de configuração segura (CIS Benchmarks, guias de hardening de fornecedores)
- Gestão de configuração e controle de mudanças
- Proteção contra mudanças não autorizadas (FIM, controle de versão)

PR.DS-06 a PR.DS-08: Integridade e disponibilidade de dados
- Mecanismos de verificação de integridade (hashing, assinaturas digitais)
- Separação de ambientes de desenvolvimento, teste e produção
- Procedimentos de backup e restauração (frequência, retenção, testes)

PR.DS-09 a PR.DS-11: Monitoramento e conformidade de proteção de dados
- Prevenção de perda de dados (DLP) para dados sensíveis
- Monitoramento de exfiltração não autorizada de dados
- Conformidade com proteção de dados (GDPR, CCPA, HIPAA)

Nosso cenário de dados:
- Tipos e classificação de dados: [PII de clientes, dados de pagamento, propriedade intelectual proprietária, público]
- Locais de armazenamento: [bancos de dados locais, armazenamento em nuvem, aplicações SaaS]
- Fluxos de dados: [coleta, processamento, compartilhamento, retenção]

Crie uma política de proteção de dados, padrões de criptografia e regras de DLP.

Estabeleça monitoramento contínuo conforme o NIST CSF DE.CM:

DE.CM-01 a DE.CM-03: Monitoramento de rede e sistemas
- Monitoramento de rede (análise de tráfego, IDS/IPS)
- Monitoramento de sistemas (logs de eventos, desempenho, configurações)
- Monitoramento do ambiente físico (se aplicável: data centers, instalações)

DE.CM-04 a DE.CM-05: Detecção de atividades maliciosas
- Detecção de código malicioso (antivírus, EDR)
- Detecção de código móvel, hardware e software não autorizados
- Análise de anomalias e comportamento (UEBA)

DE.CM-06 a DE.CM-09: Capacidades e cobertura de monitoramento
- Monitoramento de provedores de serviços externos (segurança do fornecedor, conformidade com SLA)
- Monitoramento e varredura de vulnerabilidades (contínuo, não apenas periódico)
- Configurações de linha de base para monitoramento (normal vs. anômalo)
- Cobertura abrangente de todos os ativos críticos

Arquitetura de monitoramento:
- Fontes de logs: [servidores, dispositivos de rede, aplicações, nuvem, endpoints]
- Log centralizado: [plataforma SIEM, gestão de logs]
- Ferramentas de monitoramento: [EDR, NDR, SIEM, scanners de vulnerabilidade]
- Cobertura: [SOC 24/7, horário comercial, alertas automatizados]

Casos de uso e alertas de monitoramento:
- Tentativas de autenticação falhadas (força bruta, stuffing de credenciais)
- Escalonamento de privilégios
- Indicadores de movimento lateral
- Padrões de exfiltração de dados
- Indicadores de malware e ransomware
- Mudanças de configuração em sistemas críticos
- Tentativas de exploração de vulnerabilidades

Crie uma política de monitoramento, biblioteca de casos de uso, procedimentos de ajuste de alertas e matriz de escalonamento.

Implemente análise de eventos adversos conforme o NIST CSF DE.AE:

DE.AE-01: Linha de base das operações de rede e fluxos de dados esperados
- Padrões normais de tráfego e linhas de base
- Comportamentos esperados dos usuários
- Desempenho típico do sistema e uso de recursos

DE.AE-02 a DE.AE-04: Detecção e correlação de eventos
- Eventos detectados analisados para entender alvos e métodos de ataque
- Correlação de eventos entre múltiplas fontes (regras de correlação no SIEM)
- Impacto dos eventos determinado (gravidade, escopo, ativos afetados)

DE.AE-05 a DE.AE-08: Alertas e resposta
- Limiares de alerta de incidentes definidos (quando escalar para incidente)
- Incidente declarado e documentado quando os limiares são atingidos
- Informações compartilhadas com as partes interessadas conforme plano de comunicação
- Processos de detecção testados e aprimorados

Nossas capacidades de detecção:
- SIEM: [plataforma, fontes de logs, regras de correlação]
- Integração de inteligência de ameaças: [feeds, correspondência de IOCs]
- Equipe de análise: [analistas do SOC, estrutura de nível 1/2/3, ou MSSP]
- Volume de alertas e taxa de falsos positivos: [estado atual]

Crie um playbook de análise de eventos:
- Procedimentos de triagem de alertas
- Etapas de investigação por tipo de alerta
- Critérios de escalonamento (quando um alerta se torna incidente)
- Requisitos de documentação
- Melhoria contínua (ajuste de alertas, novas detecções)

Mapeie para o MITRE ATT&CK para cobertura de detecção em táticas e técnicas.

Desenvolva a gestão de incidentes conforme o NIST CSF RS.MA:

RS.MA-01 a RS.MA-02: Plano e execução de resposta a incidentes
- Plano de resposta a incidentes documentado e aprovado
- Funções e responsabilidades na resposta a incidentes (comandante do incidente, técnico, comunicações, jurídico)
- Execução da resposta a incidentes conforme o plano
- Procedimentos de tratamento de incidentes (detecção, análise, contenção, erradicação, recuperação)

RS.MA-03 a RS.MA-05: Comunicação e gestão de partes interessadas
- Informações sobre incidentes compartilhadas com as partes interessadas relevantes (internas, clientes, reguladores, autoridades policiais)
- Coordenação com partes interessadas internas e externas
- Compartilhamento voluntário de informações com comunidades externas (ISACs, grupos de inteligência de ameaças)

Framework de resposta a incidentes:

1. Preparação
- Equipe de resposta a incidentes: [membros, escala de plantão]
- Ferramentas e recursos: [ferramentas forenses, sistemas de backup, canais de comunicação]
- Playbooks de resposta a incidentes por cenário (ransomware, violação de dados, DDoS, ameaça interna)

2. Detecção e Análise
- Fontes de detecção de incidentes (alertas de monitoramento, relatos de usuários, inteligência de ameaças)
- Classificação e severidade do incidente (Crítico/Alto/Médio/Baixo)
- Análise inicial e dimensionamento

3. Contenção, Erradicação, Recuperação
- Contenção de curto prazo (isolar sistemas afetados)
- Contenção de longo prazo (correção, hardening)
- Erradicação (remover malware, fechar vulnerabilidades, remover acesso do atacante)
- Recuperação e restauração (reconstruir sistemas, restaurar de backups limpos, retornar às operações normais)

4. Atividade Pós-Incidente
- Revisão de lições aprendidas (o que funcionou, o que não funcionou, como melhorar)
- Retenção de evidências para fins legais e regulatórios
- Atualização de inteligência de ameaças e regras de detecção

Nosso contexto de resposta a incidentes:
- Histórico de incidentes: [tipos e frequência de incidentes que enfrentamos]
- MTTR: [tempo médio atual para resolução]
- Requisitos de comunicação: [leis de notificação de violação, SLAs de clientes]

Crie um plano de resposta a incidentes, playbooks para cenários comuns, modelos de comunicação e cronograma de treinamento (exercícios de mesa, simulações).

Desenvolva capacidades de recuperação conforme o NIST CSF RC.RP:

RC.RP-01 a RC.RP-03: Execução do plano de recuperação
- Plano de recuperação executado durante ou após um incidente de cibersegurança
- Estratégia de recuperação alinhada com os planos de continuidade de negócios e recuperação de desastres
- Objetivos de tempo e ponto de recuperação atendidos (metas de RTO/RPO: [especificar])

RC.RP-04 a RC.RP-05: Atualizações e melhorias
- Plano de recuperação atualizado com base em lições aprendidas
- Planejamento de recuperação integrado à gestão de incidentes

Framework de recuperação:

1. Análise de Impacto nos Negócios
- Funções críticas de negócios: [identificar processos críticos]
- Tempo máximo tolerável de inatividade (MTD): [por função]
- Objetivo de tempo de recuperação (RTO): [tempo alvo para restauração]
- Objetivo de ponto de recuperação (RPO): [perda aceitável de dados]

2. Estratégias de Recuperação
- Recuperação de dados: [procedimentos de backup e restauração]
- Recuperação de sistemas: [reconstrução, restauração a partir de imagem, failover para site de DR]
- Processamento alternativo: [soluções manuais, operações em modo degradado]
- Serviços de recuperação de terceiros: [DRaaS, site frio/morno/quente]

3. Procedimentos de Recuperação
- Procedimentos passo a passo de recuperação para sistemas críticos
- Sequência e dependências de recuperação
- Etapas de validação e teste
- Procedimentos de rollback se a recuperação falhar

4. Testes de Recuperação
- Cenários de teste (recuperação de ransomware, falha de infraestrutura, corrupção de dados)
- Frequência de testes: [teste anual completo de DR, testes trimestrais de componentes]
- Documentação e resultados dos testes
- Remediação de lacunas com base nos resultados dos testes

5. Comunicação Durante a Recuperação
- Comunicações internas (atualizações de status, progresso da recuperação)
- Comunicações com clientes (status do serviço, restauração esperada)
- Atualizações para partes interessadas (liderança, conselho, reguladores)

Nossas prioridades de recuperação:
- Sistemas críticos de Nível 1: [devem ser recuperados em X horas]
- Sistemas importantes de Nível 2: [devem ser recuperados em Y horas]
- Sistemas rotineiros de Nível 3: [recuperar em Z dias]

Crie planos de recuperação, cronograma de testes e modelos de comunicação para cenários de recuperação.

Avalie nosso Nível de Implementação do NIST CSF e planeje a progressão:

Os Níveis do CSF representam a maturidade organizacional na gestão de riscos de cibersegurança:

Nível 1: Parcial
- Gestão de riscos: Ad hoc, reativa
- Gestão integrada de riscos: Conscientização limitada
- Participação externa: Colaboração limitada ou inexistente
- Força de trabalho: Conscientização limitada em cibersegurança

Nível 2: Baseado em Risco
- Gestão de riscos: Políticas aprovadas, nem todas consistentes
- Gestão integrada de riscos: Conscientização do risco cibernético em nível organizacional
- Participação externa: Organização conhece entidades externas
- Força de trabalho: Conscientização de funções e responsabilidades

Nível 3: Repetível
- Gestão de riscos: Políticas formais, atualizadas regularmente
- Gestão integrada de riscos: Abordagem em toda a organização, decisões baseadas em risco
- Participação externa: Colaboração e compartilhamento regular de informações
- Força de trabalho: Adequadamente capacitada e treinada

Nível 4: Adaptativo
- Gestão de riscos: Adaptativa, melhoria contínua
- Gestão integrada de riscos: Conscientização de risco em tempo real em toda a organização
- Participação externa: Compartilhamento e colaboração proativos
- Força de trabalho: Cibersegurança faz parte da cultura organizacional

Avaliação do Nível Atual:
- Nível geral: [1-4]
- Nível do Programa de Gestão de Riscos: [avaliar]
- Nível de Gestão Integrada de Riscos: [avaliar]
- Nível de Participação Externa: [avaliar]
- Nível da Força de Trabalho: [avaliar]

Nível Alvo: [nível de maturidade desejado]
Justificativa: [por que este nível está alinhado com nosso apetite ao risco e recursos]

Plano de Progressão:
- Ano 1: Alcançar o Nível [X]
  - Ações: [formalizar políticas, implementar ferramentas, treinar a força de trabalho]
- Ano 2: Alcançar o Nível [Y]
  - Ações: [integrar com ERM, estabelecer parcerias externas, melhoria contínua]
- Ano 3: Alcançar o Nível [Z]
  - Ações: [capacidades adaptativas, monitoramento em tempo real, cultura de cibersegurança]

Crie um roteiro de progressão de níveis com marcos, requisitos de recursos e métricas de sucesso.