Domínio 12
Indicadores, evidências e melhoria contínua
Medição de resultados, manutenção de evidências e ciclos estruturados de revisão e aprimoramento das práticas de proteção.
Por que este domínio é necessário?
- Reduz o risco de a organização acreditar que está protegida sem verificar.
- Sustenta os direitos à proteção integral e à informação, por meio de prestação de contas verificável.
- Sem medição, é impossível priorizar e demonstrar progresso.
- Evidências organizadas reduzem esforço em auditorias e diálogos institucionais.
Direitos relacionados
- Proteção integral
- Informação
- Não discriminação
Objetivos
- Definir indicadores úteis e sustentáveis.
- Manter evidências organizadas e recuperáveis.
- Executar ciclos periódicos de revisão e melhoria.
Capacidades
Capacidades interdependentes que compõem este domínio.
Definição de indicadores
Em validaçãoEscolha de métricas que representem de fato o desempenho protetivo da organização.
Abrir capacidadeGestão de evidências
Em validaçãoOrganização, guarda e recuperação das evidências que sustentam as práticas declaradas.
Abrir capacidadeAuditoria e revisão
Em validaçãoVerificação periódica, interna ou externa, da aplicação real das práticas.
Abrir capacidadeMelhoria contínua
Em validaçãoCiclo estruturado de aprendizado e aprimoramento das práticas protetivas.
Abrir capacidade
Práticas esperadas
- Ficha técnica por indicador.
- Fonte de dados confiável e sustentável.
- Responsável pela coleta e análise.
- Catálogo de evidências por prática.
- Responsável e local de guarda definidos.
- Regras de acesso e retenção.
- Plano de revisão com escopo e periodicidade.
- Registro de achados e recomendações.
- Acompanhamento das correções.
- Plano de melhoria com prioridades definidas.
- Revisão periódica com a governança.
- Registro dos resultados alcançados.
Evidências
- Painel de indicadores
- Repositório organizado de evidências
- Relatórios de auditoria e revisão
- Plano de melhoria contínua
As evidências apresentadas são exemplos orientativos. A pertinência e a suficiência devem ser avaliadas considerando porte, setor, risco e contexto da organização.
Indicadores
| Indicador | Objetivo | Cálculo | Periodicidade |
|---|---|---|---|
| Cobertura de indicadores por domínio | Verificar se os domínios prioritários possuem medição definida. | Domínios com ao menos um indicador ativo dividido pelo total de domínios prioritários. | Semestral |
Indicadores sugeridos. As metas devem ser definidas pela organização conforme porte, setor e risco.
Perguntas orientadoras
- Existe uma prática formal documentada?Ver no Assessment
- Há responsável definido?Ver no Assessment
- A prática é aplicada de maneira consistente?Ver no Assessment
- Existem evidências disponíveis?Ver no Assessment
- Os resultados são monitorados?Ver no Assessment
- Há revisão periódica?Ver no Assessment
- Crianças, adolescentes ou seus representantes são considerados?Ver no Assessment
- A alta liderança recebe informações sobre o tema?Ver no Assessment
- Fornecedores e terceiros estão incluídos?Ver no Assessment
- Incidentes geram aprendizado e ajustes?Ver no Assessment
Relação com os níveis de maturidade
Nível 1 · Reativo
Não há medição sistemática nem organização de evidências.
Nível 2 · Estruturado
Alguns indicadores existem, com coleta manual e irregular.
Nível 3 · Preventivo
Indicadores e evidências acompanhados periodicamente pela governança.
Nível 4 · Proativo e sistêmico
Medição orienta decisões, priorização de investimentos e melhoria contínua.
Recursos e referências
- NIST Cybersecurity Framework
- ISO/IEC 27001 - avaliação de desempenho