MODELO PARA ENVIO DE COMENTÁRIOSDocumento comentado: Esquema de Certificação QNRCS

DI021 ⚫ 2008-04-11
1

2

3

4

56EntidadeSecção ou Parte do documento

Tipo

Comentário (justificação da alteração)Alteração proposta

Análise pelo IPAC

9.1 Duração das auditorias

T

Encontra-se indicado que a duração das auditorias Clarificar se a organização certificada ISO Podem
seraceites
quaisquerpode ser diminuída se a empresa tiver certificação 27001 terá de estar certificada pelo mesmo certificações acreditadas SGSI poracreditada em SGSI (ISO 27001) à data da realização OC ou podem ser aceites organizações signatário do EA/IAF MLA. Clarificado
de cada auditoria. Apenas podemos considerar certificadas por outros OC para a elegibilidadeorganizações certificadas por nós ou também de da diminuição da duração.
outros OC’s para a aplicação deste critério?

9.1 Duração das auditorias

TA duração mínima das auditorias de certificação Clarificar o que se entende por histórico de Clarificado que se trata de incidentes dedeste esquema está repartida pelos níveis de incidentes de segurança, bem como postos de cibersegurança que pela sua gravidade
certificação e tipos de auditoria, devendo a duração trabalho, e se estes incluem também e/ou frequência impliquem um risco
mínima ser aumentada face a necessidades de equipamentos.
acrescido.
amostragem de postos de trabalho ou a fatores de Clarificar ainda qual o critério utilizado para a Clarificado que a amostragem é face àrisco relevantes (por exemplo, histórico de incidentes amostragem, que tipologias de locais são sua
potencial
criticidadeoude cibersegurança). Consideramos que a amostragem passíveis de amostragem e a partir de quantos vulnerabilidade.
deve considerar os postos de trabalho bem como locais se aplicam os critérios de amostragem.
equipamentos.
Não é ainda claro qual o critério utilizado para aamostragem.
Clarificar o que se entende por histórico deincidentes de Cibersegurança pois não se encontra
definido.

9.2 Requisitos de competênciaTNo ponto 9.2 é referida como formação profissional Clarificar o que se entende e em que moldes Para os efeitos do QNRCS, não seespecífica “Certificado de participação com será operacionalizada a “formação específica consideram equivalências de formação.
aproveitamento em formação específica a ministrar a ministrar pelo CNCS”, com que Clarificado que o CNCS realizará umapelo CNCS”. Clarificar o que se entende e em que periodicidade será ministrada e como será prova de avaliação de conhecimentos emoldes será operacionalizada a “formação específica assegurada no futuro.
não uma ação de formação, não sea ministrar pelo CNCS”.
Sugerimos ainda que se considere “formação prevendo que este requisito represente
Sugerimos ainda que se considere “formação específica a ministrar pelo CNCS ou alguma limitação ou constrangimento
específica a ministrar pelo CNCS ou equivalente”, equivalente”.
para os organismos de certificação.
pois este consideramos este requisito muito
limitativo.

9.2 Requisitos de competênciaTNo ponto 9.2 é indicado que “as equipas auditoras Clarificar o que se entende por auditor Auditor familiarizado indica que deve ter
devem ainda ter, pelo menos, um auditor familiarizado com a norma ISO/IEC 27005.
conhecimento e compreensão da mesma.
familiarizado com a norma ISO/IEC 27005”.

LEGENDAPág. 1 de 2123

Entidade que comenta: nome da entidade (pessoa singular ou colectiva) ou acrónimo
Secção ou Parte do documento: Identificar a parte do documento que se comenta
Tipo de comentário: G = Genérico ou Estratégico; T = Técnico;
E = Editorial

4 Comentário: Justificar a alteração proposta
5 Alteração: Identificar tipo: NR = Nova Redacção / EL = Eliminação / AD = Adição - Apresentaro(s) texto(s) alternativo(s) nos casos de nova redacção e/ou adição.

Documento comentado: Esquema de Certificação QNRCSMODELO PARA ENVIO DE COMENTÁRIOSDI021 ⚫ 2008-04-11
123456EntidadeSecção ou Parte do documento

TipoComentário (justificação da alteração)Alteração proposta

Análise pelo IPAC

Deverá ser clarificado o que se entende porfamiliarizado, pois é um termo muito lato.

LEGENDA
Pág. 2 de 2

12
3

Entidade que comenta: nome da entidade (pessoa singular ou colectiva) ou acrónimo
Secção ou Parte do documento: Identificar a parte do documento que se comenta
Tipo de comentário: G = Genérico ou Estratégico; T = Técnico;
E = Editorial

4 Comentário: Justificar a alteração proposta
5 Alteração: Identificar tipo: NR = Nova Redacção / EL = Eliminação / AD = Adição - Apresentaro(s) texto(s) alternativo(s) nos casos de nova redacção e/ou adição.