5. Catálogo e frameworks

Como o catálogo é organizado e o que você pode alterar nele.

O catálogo é o que se pergunta. Ele se prepara depois dos alvos e antes da auditoria, nesta ordem: decidir que normas esta instalação enxerga (Normas disponíveis, no fim deste capítulo), escolher um framework de fábrica ou montar o seu (Framework próprio, com perguntas de qualquer norma e perguntas novas), ajustar o que cada pergunta vale (Peso das perguntas) e, se for disparar por partes, recortar em Agrupamentos (capítulo seguinte). Temas e listas de valores são apoio: o tema recorta o acervo por assunto, a lista dá a várias perguntas as mesmas opções.

Os frameworks de fábrica já vêm com requisitos, controles e perguntas carregados. Eles são somente leitura: ninguém altera o NIST CSF de dentro da plataforma, porque a norma não é sua.

Em Framework próprio você monta o seu selecionando perguntas de qualquer framework existente. Dentro do seu, você pode editar o enunciado e acrescentar perguntas novas — nunca no de origem.

Quando você deriva uma pergunta, a plataforma guarda de onde ela veio e em que versão. É isso que permite, depois, saber que a sua pergunta de MFA nasceu da pergunta X do CIS v8.

Mostra o que existe para auditar. No alto, Meus frameworks — os montados em Framework próprio, com versão, número de perguntas e se estão publicado ou rascunho. Abaixo, o Catálogo de fábrica, agrupado por categoria e somente leitura.

1.     Para ver as perguntas de uma norma, clique no cartão dela. A janela lista cada pergunta uma vez, com o controle que ela avalia, o código dela e as outras normas que ela também alcança (também alcança) — é ali que se vê que responder uma coisa resolve cinco.

2.     Para saber em que normas uma pergunta está, use a busca Buscar uma pergunta e ver em quais frameworks ela está…, no alto da tela.

3.     Para montar o seu, vá a Framework próprio; para recortar uma norma em partes, a Agrupamentos.

A lista da janela é agrupada pelo agrupamento — o recorte de disparo —, e não pela cláusula. A pergunta não aponta para a cláusula: ela avalia um controle, e o controle responde a várias cláusulas; agrupar por cláusula repetia a mesma pergunta dezenas de vezes. Pergunta em dois agrupamentos aparece nos dois, porque sai em duas rodadas. Norma sem agrupamento vira lista única.

O selo licenciada marca a norma de que guardamos só o identificador da cláusula e uma descrição própria, nunca o texto oficial.

O acervo inteiro num lugar só — as de fábrica, que vêm com os frameworks, e as suas.

Ela existe por causa de uma pergunta que não tinha resposta: onde estão as perguntas que eu criei e coloquei dentro de frameworks ou temas? Estavam dentro do questionário onde foram digitadas, o que serve para quem lembra em qual e para mais ninguém.

Três coisas se fazem aqui e não se faziam em lugar nenhum:

Criar a pergunta sem um questionário que a contenha. Ela entra no catálogo no ato e passa a ser encontrável por tema, por afinidade e pela busca; entra num questionário depois, se e quando alguém quiser. A ordem inversa — a única possível antes — obrigava a inventar um questionário só para poder escrever a pergunta, e questionário inventado assim nunca é apagado.

A escala de resposta vem junto com o tipo escolhido. Pergunta sem escala não pontua, e pergunta que não pontua entra no ciclo parecendo informativa: silenciosamente fora do score.

Gerenciar os temas pelo lado da pergunta. O vínculo já existia, e só pelo lado do tema: quem pensa esta pergunta é sobre retenção de dados começava pela pergunta e tinha de ir até a tela de Temas, achar o tema certo e procurá-la numa lista de trezentas. Agora vale nos dois sentidos.

Só temas próprios aparecem para marcar. Os de fábrica vêm com o acervo e não recebem vínculo novo — contaminá-los faria a próxima atualização do catálogo ter de decidir o que fazer com a pergunta do cliente.

No alto, os recortes: Buscar (código, enunciado, tema ou norma), Mostrar (todas, só as minhas, só as de fábrica), Norma e Tema; limpar os filtros desfaz tudo. A lista mostra as 200 primeiras — refine para chegar ao resto.

1.     Criar: Nova pergunta → Código (é como ela é citada no relatório), Tipo de resposta (a escala vem com ele), Enunciado, Evidência esperada e, se for o caso, Evidência obrigatória → Criar.

2.     Abrir o detalhe: clique na pergunta. Aparecem Respostas aceitas (escala, pontuação, se abre achado, peso e criticidade), Temas, Afinidade com normas, Dimensões e, nas suas perguntas, De onde vêm as opções.

3.     Marcar tema: em Temas, clique no tema para ligar ou desligar — grava no clique. Só os temas próprios aparecem; sem nenhum, crie o primeiro em Temas.

4.     Afinidade sugerida: sugerir com o modelo e, em cada proposta, aceitar ou recusar.

5.     Afinidade à mão: em Marcar à mão, escolha a norma, escreva por quê (opcional) → marcar afinidade. Ela já nasce aceita, com o seu nome. Para remover uma afinidade aceita, clique no × da etiqueta: ela fica registrada como recusada (riscada) e o modelo não a propõe de novo. Uma recusada volta a ser oferecida em Marcar à mão, se você mudar de ideia.

6.     Dimensões: clique na dimensão para ligar ou desligar — grava no clique. Ver Dimensões.

7.     Opções de uma lista: em De onde vêm as opções, escolha a lista de valores ou desta pergunta mesmo. Trocar não apaga as opções próprias. Valor de lista não pontua nem abre achado.

8.     Plano obrigatório: nas suas perguntas com opções próprias, a coluna plano de ação da tabela tem uma caixa na resposta que abre achado. Marcada (obrigatório), o achado só se trata com plano de ação aprovado — aceitar o risco não basta.

O peso não se muda aqui: vem de Peso das perguntas. Pergunta de fábrica é só leitura nesta tela, exceto nas dimensões e na afinidade, que são da sua instalação.

A mesma tela mostra duas relações entre pergunta e norma, e a diferença entre elas é a razão de existirem separadas.

Alcance é derivado e conferível: a pergunta avalia um controle, o controle atende um requisito, o requisito pertence ao framework. Cada elo é um vínculo que alguém cadastrou, e o resultado se confere cláusula a cláusula. É o que a linha "normas alcançadas" mostra.

Afinidade é inferência. A pergunta que a empresa escreveu — a área mantém inventário das operações de tratamento de dados pessoais? — tem relação evidente com a LGPD e com a ISO 27701 sem que ninguém tenha mapeado cláusula nenhuma, e ninguém vai mapear cláusula a cláusula para trezentas perguntas internas. Sem essa etiqueta, a pergunta própria só é reencontrada por quem lembra que ela existe.

O botão sugerir com o modelo pede ao modelo de linguagem a lista de frameworks com que a pergunta tem afinidade. Três cuidados, e os três vêm da mesma preocupação — que uma inferência não passe por um fato:

•     a sugestão nasce proposta e não vale nada até alguém aceitar;

•     o modelo só escolhe entre os frameworks cadastrados, e o que ele inventa é descartado — um modelo pequeno produz sigla plausível com facilidade;

•     o que foi recusado não volta a ser proposto, e a recusa fica gravada: nunca foi sugerido e foi sugerido e recusado são coisas diferentes para quem audita o catálogo.

A afinidade também se marca à mão, em Marcar à mão — o caminho para quando o modelo não enxerga o óbvio —, e ela nasce aceita e sem confiança declarada: pessoa decide, não estima. Só as normas de fábrica são oferecidas, porque a afinidade é com norma de mercado. Remover uma afinidade é recusá-la: a linha fica gravada, pelo mesmo motivo de a recusa do modelo ficar.

Cada pergunta pertence só ao próprio framework. Uma auditoria do Pink Elephant tem as perguntas do Pink; uma da PeopleCert tem as da PeopleCert. Nenhuma das duas entra na avaliação, na nota ou na maturidade de outra norma, mesmo quando o assunto é o mesmo. Por isso a mesma exigência pode aparecer, com a redação de cada uma, em duas normas: cada uma é certificada pela própria régua.

A exceção é o PPSI, que é composto de perguntas de outros frameworks por definição.

O que duas normas têm em comum é informação, e não pergunta compartilhada: a correspondência informativa. Ela liga a pergunta a cláusulas de outras normas que tratam do mesmo tema, com a justificativa (registro e classificação de incidentes na ferramenta). Ela aparece em três lugares:

•     Também serve a…, nos detalhes da pergunta: as cláusulas de outras normas que a mesma evidência ajuda a atender;

•     Atendimento cruzado (informativo), na auditoria: com as respostas desta auditoria, quanto de cada outra norma fica atendido e quantas cláusulas dela ficam sem correspondência (a lacuna);

•     Normas × normas, na Cobertura UCF: a linha do Pink Elephant e a da PeopleCert, e a coluna de cada um nas outras normas, com o percentual de atendimento por similaridade das perguntas (ver Cobertura UCF: quatro leituras).

É assim que quem se certificou no Pink Elephant enxerga quanto do ITIL 4, do COBIT ou da ISO 20000 a mesma documentação já atende. O atendimento cruzado é leitura: não muda nota nenhuma e não abre achado em outra norma.

Os dois avaliam a ferramenta de gestão de serviços de TI, e vêm com o texto original, em inglês; quem usa a plataforma em português ou espanhol vê a tradução (ver Idiomas).

Os dois também se correspondem entre si, pelo mesmo critério das outras normas: a pergunta do Pink corresponde ao critério da PeopleCert que aponta para o mesmo controle do UCF, e vice-versa. É o que aparece em Também serve a…, no Atendimento cruzado de uma auditoria de um deles e na linha e coluna dos dois em Normas × normas. Continua informativo: a pergunta do Pink não entra na avaliação da PeopleCert, nem o contrário.

Pink Elephant (PinkVERIFY 3.0): um agrupamento por processo, com os critérios do questionário debaixo dele. Toda pergunta pesa 1, a escala é a de implementação, e qualquer resposta abaixo de 100% exige plano de ação com data.

PeopleCert (ITIL 4 Assessment Model, ATV 2025.2): um agrupamento por prática (P01 a P20) e um por área de plataforma (T01 a T10). A escala é a da PeopleCert:



Módulo externo, configuração local e desenvolvimento sob medida pedem comentário. O peso da planilha (1, 3 ou 5) vai para o peso da pergunta; os critérios de peso 0 (quase todos de IA) ficam no relatório e fora da nota. Abaixo de 100% exige plano, menos nos critérios de peso 0 e de plataforma.

Aprovação por pontos. Uma prática é aprovada quando todo critério obrigatório tem nota maior que zero e os opcionais somam ao menos os pontos mínimos da prática (peso × nota). O mínimo é o da PeopleCert: 70% do peso total dos opcionais. Na auditoria, Aprovação por pontos mostra, por prática, aprovada ou reprovada, os pontos obtidos contra o mínimo e os obrigatórios pendentes. As áreas de plataforma não têm corte: mostram só o percentual de pontos.

Temas agrupam perguntas por assunto — acesso, backup, privacidade, continuidade — para você montar questionário por área de interesse.

Cobertura UCF mostra o outro eixo: quantas normas cada pergunta alcança. É a tela que responde "se eu responder estas quarenta, quanto do meu ISO 27001 eu cobri?".

Duas abas. Taxonomia de fábrica é somente leitura: Filtrar tema… e clique no tema para ver as perguntas dele. Meus temas é onde se monta. Os botões de criar, adotar e editar só aparecem para quem tem catalogo:escrever.

1.     Criar: Novo tema → Código (curto e estável) e Nome (é o que aparece no seletor de origem da auditoria) → Salvar. O tema nasce vazio.

2.     Adotar um de fábrica: em Adotar um tema de fábrica como meu, escolha o tema → Adotar. Nada é copiado; o recorte passa a ser seu, e o de fábrica fica intacto.

3.     Trazer perguntas: abra o tema → Trazer perguntas → procure, agrupe (Por framework, Por tema, Só a lista), marque as perguntas (ou marcar todas no grupo) → Vincular. O × ao lado de uma pergunta a tira do tema; ela continua no catálogo.

4.     Organizar em blocos: Organizar em blocos → Novo bloco (Código, Nome) → Criar; em cada bloco, trazer uma pergunta do tema… → Trazer. Só pergunta que já está no tema entra num bloco, e pergunta fora de bloco aparece no fim do formulário.

5.     Renomear e proteger: o lápis abre Renomear, com a caixa Proteger contra exclusão.

6.     Excluir: a lixeira pede confirmação → Excluir. Só o tema sai; as perguntas e as auditorias já abertas a partir dele não mudam. Tema protegido mostra um cadeado no lugar da lixeira: desmarque a proteção em Renomear antes.

A escala padrão tem seis níveis:



Cada leitura é uma aba no alto da tela:

1.     Perguntas × normas: em Normas na matriz, clique nas siglas para incluir ou tirar colunas (abrem seis); voltar ao padrão desfaz; Filtrar pergunta… estreita as linhas.

2.     Normas × normas: todas, ou clique numa norma para ver a linha dela contra todas, ou em várias para ver só o cruzamento entre elas. Leia da linha para a coluna.

3.     Temas × normas: escolha o tema na coluna da esquerda; a barra é a fração das cláusulas folha de cada norma que o tema alcança.

4.     Requisitos × documentos: escolha o Framework; só lacunas mostra os requisitos sem documento. Os contadores dizem Requisitos, Cobertos, Lacunas e Documentos órfãos.

A leitura de normas × normas não é simétrica, e é isso que ela tem de útil: quem atende a ISO 27001 já fez a maior parte do PCI DSS, e quem atende o PCI está bem longe da ISO. A diferença diz por onde começar.

Os números em itálico, com sublinhado tracejado, vêm da correspondência informativa dos frameworks independentes (Pink Elephant, PeopleCert), cujas perguntas não compartilham controle com nenhuma outra norma. Na linha do Pink, o número é a fração das perguntas do Pink que correspondem a alguma cláusula da norma da coluna; na linha da ISO 27001, coluna do Pink, é a fração das perguntas da ISO que alcançam uma cláusula a que alguma pergunta do Pink corresponde. É atendimento por similaridade, e não pergunta compartilhada: nenhuma pergunta passa de uma norma para a outra, e nada disso entra em nota, score ou maturidade.

Em temas × normas a unidade é a cláusula folha, e não a pergunta: dez perguntas que batem na mesma cláusula cobrem uma cláusula, e contar perguntas diria dez.

As normas estão abertas até o nível em que a auditoria de fato cobra: PCI DSS até o sub-requisito, SOC 2 até o critério, ISO 27701 até os controles dos anexos, ISO 42001 até os controles do Anexo A, ISO 37001 e ISO 37301 até a subcláusula, ISO 20022 pelas partes e áreas de negócio das mensagens, IEC 62443 até o requisito de sistema, LGPD e GDPR até o inciso e a alínea.

O nível seguinte de algumas delas — o terceiro nível do PCI, os requisitos de melhoria da 62443, as práticas de APO, BAI, DSS e MEA do COBIT — é conteúdo licenciado que não se deduz da estrutura pública. Ele entra por manifesto derivado do documento que o cliente licenciou. Inventar o identificador seria pior do que não tê-lo: um identificador errado é indistinguível de um certo para quem lê.

Uma lista cadastrada uma vez e usada por várias perguntas — por exemplo, a lista de sistemas ou de unidades. Vinte cópias da mesma lista envelhecem em ritmos diferentes; uma só muda para todas as perguntas que a usam.

1.     Nova lista (no alto da tela) → Código e Nome → Criar.

2.     Clique na lista para abri-la → Valor e Rótulo → Acrescentar.

3.     Valor não se apaga: o ícone do olho desativa — sai do formulário e continua valendo no que já foi respondido — e reativa.

4.     Para usar a lista numa pergunta, abra a pergunta em Perguntas e escolha a lista em De onde vêm as opções. A lista aberta mostra Perguntas que usam esta lista.

5.     A lixeira exclui a lista, e é recusada enquanto alguma pergunta a usar: troque antes a origem das opções dessas perguntas.

Criar e editar exige catalogo:escrever. Lista de fábrica é somente leitura. Valor de lista não pontua nem abre achado.

Quanto cada pergunta vale na nota do ciclo, e quão grave é o achado quando ela falha. O peso muda a conta do score; a gravidade muda a severidade da não conformidade que nasce da resposta.

1.     Escolha o recorte: Framework ou Tema (escolher um limpa o outro) e, se quiser, Procurar no enunciado ou no código.

2.     Na linha da pergunta, mude o Peso (de 0 ao teto que a tela mostra, em passos de 0,25) e a Criticidade.

3.     Clique gravar, que aparece quando algo mudou. de fábrica volta ao valor que veio na caixa.

Editar exige catalogo:escrever; sem ela, os campos ficam travados. O peso novo vale do próximo ciclo em diante — a marca em N ciclo(s) avisa que a pergunta já está em ciclo aberto, e a nota desses ciclos não muda. A marca capacidade indica pergunta que não entra na média de implantação.

1.     Novo → Código, Nome e Objetivo → Criar. Clique nele na lista à esquerda para abrir.

2.     Do catálogo: procure e filtre, marque as perguntas → Incluir. Pergunta de fábrica entra por referência.

3.     Pergunta nova: Código, Tipo de resposta, Enunciado, Evidência esperada, Só perguntar quando (em branco, pergunta sempre) e Exigir evidência → Criar pergunta.

4.     Editar a pergunta (lápis): numa pergunta de fábrica, salvar cria uma cópia sua, marcada derivada de …; a original não muda. Trocar o tipo troca a escala de resposta.

5.     Remover do framework (lixeira da linha) tira a pergunta só deste framework, depois de perguntar — com o foco no Cancelar e o Esc para desistir. A pergunta continua no catálogo.

6.     Publicar (exige ao menos uma pergunta). Mexeu depois? A tela avisa Alterado depois de publicado e o botão vira Republicar. Ciclos já abertos não mudam: a auditoria copia as perguntas na abertura.

7.     Desativar tira das listas e da abertura de auditoria sem apagar nada; Reativar traz de volta, e Mostrar N desativados os põe à vista.

8.     Excluir só vale para framework sem proteção e nunca usado em auditoria. A confirmação é Excluir mesmo assim, e as perguntas próprias criadas dentro dele saem junto. Protegido / Sem proteção alterna a trava.

Podem ser apagados, e podem ser protegidos contra exclusão acidental. A proteção não proíbe apagar: obriga a passar pela edição antes, o que troca um clique por engano por um gesto deliberado. O que se perde num tema montado à mão não é o registro — é o trabalho de seleção, e ele some com a mesma facilidade do que foi criado há um minuto.

Um tema de fábrica pode ser adotado como tema próprio: nasce com os mesmos vínculos, editável, sem copiar pergunta nenhuma.

Em Administração ▸ Normas disponíveis, marque quais frameworks do catálogo aparecem para este cliente. O catálogo de fábrica continua inteiro; o que muda é o que as telas oferecem — quem só audita LGPD e ISO 27001 não precisa escolher entre quarenta normas a cada auditoria.