# Cumprimento da QCF

## O que é QCF?

[A Qatar Cybersecurity Framework (QCF)](https://www.qatar2022.qa/sites/default/files/Qatar2022Framework.pdf) ou Estrutura de Segurança Cibernética do Catar, é um conjunto de diretrizes elaboradas para garantir que as organizações sigam e mantenham as melhores práticas de segurança cibernética. A Estrutura foi desenvolvida pelo Comitê Nacional de Segurança Cibernética do Catar (NCSC) em colaboração com outras agências governamentais, organizações do setor privado e especialistas em segurança cibernética. A QCF consiste em seis componentes principais: estratégia e governança, gerenciamento de riscos, proteção, detecção e resposta, recuperação e colaboração e parceria.

## Quem deve cumpri-la?

A QCF foi desenvolvida e cumprida principalmente pelo governo do Catar para garantir que todas as organizações que prestaram serviços para a Copa do Mundo FIFA 2022 tivessem uma estrutura de melhores práticas de segurança cibernética a ser seguida. Desde o fim da Copa do Mundo FIFA 2022, o Catar continua assegurando que a QCF seja implementada pelas organizações que desejam trabalhar com o governo do Catar e pode torná-la obrigatória para outros eventos ou cúpulas realizadas no país. A QCF é uma abordagem flexível à segurança cibernética e pode ser personalizada de acordo com os requisitos do setor e da organização.

## Quais são as consequências do descumprimento da QCF?

As organizações em não conformidade podem enfrentar limitações em colaborações, contratos e parcerias comerciais, especialmente com o governo ou organizações afiliadas a ele. As seguradoras geralmente consideram a postura de segurança cibernética e o status de conformidade de uma organização ao determinar os prêmios de seguro. O descumprimento das melhores práticas encontradas na QCF pode levar a maiores custos de seguro, uma vez que a organização é vista como tendo um risco mais alto para incidentes de segurança cibernética potenciais.

## Requisitos de conformidade

### Funções e categorias da QCF

A Estrutura de Segurança Cibernética do Qatar tem seis componentes para ajudar a assegurar que as organizações implementem as melhores práticas.

- **Estratégia e governança:** A estratégia e governança centram-se na manutenção de procedimentos e estruturas claros para garantir um roteiro para práticas eficazes de segurança cibernética.
- **Gerenciamento de riscos:** O gerenciamento de riscos concentra-se na identificação, priorização e mitigação de riscos potenciais que ameaçam as estruturas de segurança cibernética existentes.
- **Proteção:** A proteção inclui a obrigatoriedade e manutenção de protocolos de segurança cibernética, como segurança de endpoints, controle de acesso, criptografia e segurança de rede.
- **Detecção e resposta:** Identificar e responder a ameaças à segurança cibernética de maneira eficiente e eficaz são a base da detecção e resposta.
- **Recuperação:** A recuperação garante que um cenário pós-ataque seja tranquilo e que as operações retornem ao normal o mais rápido possível. Por exemplo, um plano de continuidade de negócios no caso de uma emergência de segurança cibernética.
- **Colaboração:** A colaboração garante que ideias e melhores práticas sejam atualizadas constantemente para fortalecer a postura de segurança cibernética de uma organização e da sua rede.

## Roteiro de QCF

Ao garantir que a maioria das organizações que fazem negócios com o governo do Qatar sigam as melhores práticas listadas na QCF, o governo aumenta a conscientização para a segurança cibernética no país e globalmente. A implementação desta estrutura ajudará a desenvolver a capacidade de as organizações detectarem e mitigarem ameaças à segurança.

## Melhores práticas de QCF: Uma checklist

- Estabelecer uma forte estrutura de governação para questões relacionadas com a segurança cibernética dentro da organização, com funções e orçamentos dedicados.
- Realizar avaliações de risco regulares para identificar os elos fracos, reforçando e implementando controles para mitigar ameaças.
- Desenvolver e implementar políticas, padrões e diretrizes completas de segurança cibernética que cubram áreas como controle de acesso, proteção de dados, [resposta a incidentes](https://www.manageengine.com/br/eventlog/compliance/qatar-cybersecurity-framework.html#), e conscientização dos funcionários.
- Implementar sólidos mecanismos de controle de acesso, como processos de autenticação e autorização.
- Atualizar as [medidas de segurança da rede](https://www.manageengine.com/br/eventlog/compliance/qatar-cybersecurity-framework.html#) regularmente, incluindo firewalls, sistemas de detecção e prevenção de intrusões e configurações seguras.
- Desenvolver e testar um plano de resposta a incidentes juntamente com um plano de continuidade de negócios caso uma violação de segurança cibernética ocorra.
- Avaliar as medidas de segurança cibernética tomadas por fornecedores externos para garantir que os dados fornecidos a eles não estarão em risco.
- Implementar [ferramentas de monitoramento de segurança cibernética](https://www.manageengine.com/br/eventlog/compliance/qatar-cybersecurity-framework.html#) para detectar e reportar incidentes em tempo real.
- Realizar programas de conscientização sobre segurança cibernética para garantir que os funcionários estejam cientes das últimas tendências em segurança cibernética.

## Principais regras da QCF a serem consideradas:

| Regra da QCF | Definição do código | Recomendações de conformidade |
|---|---|---|
| 3.2 Serviço de segurança de endpoints | Uma capacidade para proteger todos os endpoints, como servidores, desktops, laptops, dispositivos sem fio, dispositivos móveis e outras tecnologias operacionais (TO) ou dispositivos de IoT conectados à rede contra ameaças cibernéticas. | - Rastrear o inventário de ativos de dispositivos de endpoints e garantir que mudanças, patches e configurações de endpoints passem por um processo controlado de gerenciamento de mudanças. - Detectar endpoints desprotegidos utilizando um centro de operações de segurança e garantir que a proteção de endpoints seja aplicada. |
| 4.2 Serviço de segurança de aplicações | A capacidade de segurança de aplicações é o processo utilizado para prevenir, detectar ou corrigir pontos fracos de segurança durante o seu desenvolvimento ou aquisição e utilização das aplicações existentes. | - Certificar-se de que as plataformas de software e aplicações da organização sejam inventariados. |
| 5.2.1 Serviço de gerenciamento de configuração de rede | O gerenciamento de configuração de segurança de rede é o processo no qual a linha de base de configuração segura dos seus componentes é formalizada e posteriormente verificada em relação à situação real. | - Os dispositivos de infraestrutura de rede da organização são inventariados. - [Varreduras de vulnerabilidade](https://www.manageengine.com/br/eventlog/vulnerability-scanner-audit.html?source=comp-guide-qcf-web) são realizadas em colaboração com o Monitoramento e Operações de Segurança. |
| 5.2.3 Serviço de gerenciamento de monitoramento de rede | O gerenciamento de monitoramento de rede visa manter a disponibilidade e desempenho da infraestrutura conforme definido e gerenciar alertas e incidentes visando reduzir o tempo de inatividade. | - Dispositivos e sistemas físicos da organização são inventariados. - O plano de recuperação é executado durante ou após um incidente de segurança cibernética. |
| 5.7.3 Módulo de gerenciamento | O objetivo principal do módulo de gerenciamento é facilitar a gestão segura de todos os dispositivos e hosts na arquitetura de segurança da rede corporativa. | - O gerenciamento de dispositivos e hosts não gerenciados ocorre por meio de túneis IPSec originados da rede de gerenciamento. - O firewall deve ser configurado na configuração de cluster ativo/passivo com todas as interfaces sendo monitoradas para fins de failover. A coleta da sessão deve estar habilitada para stateful failover. |
| Segurança de rede sem fio | O principal objetivo do módulo de segurança de rede sem fio é garantir que ela seja segura e protegida para todos os dispositivos que a acessam. | - Os firewalls de perímetro devem ser instalados entre todas as redes sem fio e a rede corporativa. Esses firewalls são configurados para negar ou aceitar tráfego caso necessário para fins comerciais e permitir somente o tráfego autorizado entre o ambiente sem fio e a rede corporativa. |

[**Fonte**: qatar2022.qa/sites/default/files/Qatar2022Framework.pdf](https://www.qatar2022.qa/sites/default/files/Qatar2022Framework.pdf)

O [EventLog Analyzer da ManageEngine](https://www.manageengine.com/br/eventlog/?source=sanjqcf) coleta e analisa dados de logs de várias fontes, incluindo dispositivos de rede, servidores, aplicações e dispositivos de segurança. Ao centralizar e analisar informações de logs, o produto fornece informações valiosas às organizações sobre incidentes de segurança, atividades suspeitas e vulnerabilidades potenciais. Isso permite que as organizações identifiquem e respondam prontamente às ameaças, alinhando-se com o objetivo da QCF de gerenciamento proativo de riscos de segurança cibernética.

O EventLog Analyzer é uma solução de conformidade de TI baseada na web com gerenciamento de logs em tempo real e recursos de defesa de rede. Ele ajuda a criar relatórios de conformidade personalizados, bem como relatórios para novas conformidades.