Documento partilhado
Relatório de progresso em revisão de código
Sociedade Exemplo
Agregados de empresa — sem dados pessoais.
- Período abrangido
- novembro de 2025 → outubro de 2026
- Gerado a
- 11 de outubro de 2026
- Identificador do documento
- DEMO-0000-0000
Âmbito
A conta proprietária não é contabilizada: não ocupa um lugar de programador.
Envolvimento
Nos últimos três meses: 26 participantes ativos, 148 avaliações.
Regularidade
A regularidade é literalmente o que os textos exigem: formação «contínua» (DORA), «regular» (NIS2), «pelo menos de doze em doze meses» (PCI-DSS).
Progresso
| Mês | Índice |
|---|---|
| nov. de 25 | 100 |
| dez. de 25 | 103 |
| jan. de 26 | 101 |
| fev. de 26 | 106 |
| mar. de 26 | 109 |
| abr. de 26 | sem dados |
| mai. de 26 | 108 |
| jun. de 26 | 112 |
| jul. de 26 | 110 |
| ago. de 26 | 115 |
| set. de 26 | 114 |
| out. de 26 | 118 |
Os meses sem dados publicáveis aparecem como interrupções: ou não houve atividade, ou houve poucos participantes para publicar uma média.
O primeiro mês do período com dados vale 100. Os níveis absolutos não são publicados.
Famílias revistas, em dez
O que a equipa reviu, distribuído pelas dez famílias do OWASP Top 10:2025.
- A01 Controlo de acesso deficiente revista
- A02 Configuração incorreta revista
- A03 Cadeia de fornecimento de software não revista
- A04 Falhas criptográficas revista
- A05 Injeção revista
- A06 Design inseguro revista
- A07 Falhas de autenticação revista
- A08 Integridade de software e dados pouco revista
- A09 Registo e alertas de segurança revista
- A10 Tratamento de condições excecionais não revista
Trata-se de uma cobertura, não de uma taxa de acerto: este bloco diz que famílias foram revistas, nunca até que ponto.
Correspondência regulamentar
Este documento é um elemento probatório entre outros. Cada linha indica também o que não estabelece.
| Referencial | O que exige | O que este relatório traz | O que não traz |
|---|---|---|---|
| PCI-DSS 4.0 req. 6.2.2 | Os programadores recebem formação pelo menos de doze em doze meses sobre segurança de software relevante para a sua função, incluindo conceção e codificação seguras. | Um registo datado de atividade formativa em doze meses móveis, por família OWASP, com a taxa de participação da equipa. | A formação em si, nem a prova nominal de que cada programador foi formado: o relatório é agregado. |
| DORA (UE 2022/2554) art. 13(6) | Programas de sensibilização para a segurança das TIC e formação em resiliência operacional digital, obrigatórios para o pessoal. | A prova de que existe um programa e de que é seguido ao longo do tempo, com a sua regularidade medida. | O carácter obrigatório dos módulos, nem a cobertura de todo o pessoal e da direção. |
| NIS2 (UE 2022/2555) art. 21(2)(g) | Práticas básicas de higiene informática e formação em cibersegurança. | Um elemento probatório da formação em cibersegurança das equipas de desenvolvimento, datado e verificável. | A cobertura de outros grupos, nem as outras nove medidas do artigo 21.º. |
| ISO/IEC 27001:2022 A.6.3 · art. 7.2 | A.6.3: sensibilização, educação e formação. Cláusula 7.2: competência e conservação de informação documentada como prova. | Informação documentada, datada e verificável, pronta para o processo de auditoria. | A matriz de competências, nem a avaliação de eficácia exigida pela cláusula 7.2. |
Estas referências situam o relatório nas suas obrigações. A NakamaCyber não atesta qualquer conformidade: a apreciação cabe ao seu auditor.
Maturidade OWASP SAMM
Governação › Educação e orientação › fluxo A (formação e sensibilização)
- 1Sensibilização geral
- 2Formação adaptada à função
- 3Eficácia medida
Critérios cumpridos
- Pelo menos metade dos inscritos participa
- Atividade em pelo menos seis meses
- Pelo menos seis famílias OWASP abordadas
- Pelo menos 80 % dos inscritos participa
- Atividade em pelo menos dez meses
- Progresso mensurável (índice ≥ 105)
- Pelo menos quatro avaliações medianas por participante
Critérios em falta
- Pelo menos nove famílias OWASP abordadas
O OWASP SAMM abrange quinze práticas; este relatório documenta apenas uma.
O SAMM é um modelo de autoavaliação. A NakamaCyber não a valida.
Como este documento é elaborado
- As avaliações são realizadas em linha e repetem-se ao longo do tempo.
- A medição assenta na repetição: vinte perguntas sorteadas em cada avaliação, nunca a mesma série, e uma progressão acompanhada ao longo de vários meses.
- O documento atesta o empenho dos programadores da empresa e a sua progressão: avaliações de segurança realizadas com regularidade, sobre um referencial reconhecido, com resultados que melhoram ao longo do tempo.
- O documento contém apenas agregados de empresa: nenhum nome, nenhum endereço de correio eletrónico, nenhum resultado individual. Abaixo de 5 participantes ativos, as taxas e a curva não são publicadas.
- Os números são calculados automaticamente a partir dos dados da plataforma. A empresa desencadeia a partilha; não introduz qualquer número.
- O banco de perguntas é atualizado regularmente, ao ritmo da nossa vigilância; último enriquecimento a 17 de setembro de 2026.
Identificador do documento: DEMO-0000-0000 · gerado automaticamente pela NakamaCyber