[
  {
    "categoria": "documental",
    "numero": 1,
    "ponto": "Política de classificação de incidentes escrita e assinada pela direção (matriz severidade para reporting DORA e NIS2)",
    "prioridade": "Crítica",
    "prova_requerida": "Documento PDF assinado pelo COMEX + matriz severidade/reporting versionada"
  },
  {
    "categoria": "documental",
    "numero": 2,
    "ponto": "Procedimento de notificação DORA 4 horas documentado, validado pela direção jurídica, atualizado anualmente",
    "prioridade": "Crítica",
    "prova_requerida": "Runbook DORA + visto da direção jurídica + log de revisão anual"
  },
  {
    "categoria": "documental",
    "numero": 3,
    "ponto": "Procedimento de notificação NIS2 24 horas documentado, alinhado com o portal nacional (MonEspaceNIS2, BSI, ACN)",
    "prioridade": "Crítica",
    "prova_requerida": "Runbook NIS2 + mapping de portal por jurisdição + contas de usuário"
  },
  {
    "categoria": "documental",
    "numero": 4,
    "ponto": "DPA RGPD assinado com o provedor de status page, incluindo a lista de subcontratados",
    "prioridade": "Alta",
    "prova_requerida": "DPA contra-assinado + anexo de subcontratados atualizado"
  },
  {
    "categoria": "documental",
    "numero": 5,
    "ponto": "Registro de fornecedores ICT atualizado, conforme DORA Artigo 28 parágrafo 3",
    "prioridade": "Crítica",
    "prova_requerida": "Registro Excel/SaaS + campo CIFA + data da última revisão"
  },
  {
    "categoria": "documental",
    "numero": 6,
    "ponto": "Exit strategy do provedor de status page testada anualmente e documentada",
    "prioridade": "Alta",
    "prova_requerida": "Plano de saída + ata do teste anual"
  },
  {
    "categoria": "documental",
    "numero": 7,
    "ponto": "Plano de comunicação de crise validado pelo COMEX (papéis, mensagens tipo, canais)",
    "prioridade": "Alta",
    "prova_requerida": "Documento assinado pelo COMEX + RACI + templates de comunicação"
  },
  {
    "categoria": "técnico",
    "numero": 8,
    "ponto": "Status page hospedada fora da infraestrutura aplicacional, com prova de independência testada",
    "prioridade": "Crítica",
    "prova_requerida": "Diagrama de arquitetura + resultado do teste de isolamento (chaos test)"
  },
  {
    "categoria": "técnico",
    "numero": 9,
    "ponto": "Marca temporal RFC 3339 UTC em todo lugar, sem exceção (interface, API, exportações)",
    "prioridade": "Crítica",
    "prova_requerida": "Captura de interface + payload API + exportação JSON/RSS datada UTC"
  },
  {
    "categoria": "técnico",
    "numero": 10,
    "ponto": "Severidade codificada em 4 níveis mínimo (operational, degraded, partial outage, major outage)",
    "prioridade": "Alta",
    "prova_requerida": "Documentação de produto + capturas de estado + tabela de correspondência interna"
  },
  {
    "categoria": "técnico",
    "numero": 11,
    "ponto": "Exportação estruturada disponível em JSON, RSS e Atom, completada por ICS para manutenção",
    "prioridade": "Alta",
    "prova_requerida": "URLs públicos dos feeds + exemplos de payload arquivados"
  },
  {
    "categoria": "técnico",
    "numero": 12,
    "ponto": "Audit trail visível em cada atualização, identificando o autor (papel mínimo)",
    "prioridade": "Crítica",
    "prova_requerida": "Captura de interface + extrato log de auditoria + política de papéis"
  },
  {
    "categoria": "técnico",
    "numero": 13,
    "ponto": "Versionamento das atualizações de incidentes, jamais sobrescrita retroativa",
    "prioridade": "Crítica",
    "prova_requerida": "Demonstração de histórico de um incidente + política de modificação"
  },
  {
    "categoria": "técnico",
    "numero": 14,
    "ponto": "Monitoring multirregião em pelo menos 4 zonas (UE, US, APAC, UK)",
    "prioridade": "Alta",
    "prova_requerida": "Lista de sondas por região + relatório de cobertura mensal"
  },
  {
    "categoria": "técnico",
    "numero": 15,
    "ponto": "Notificações multicanal operacionais: email, webhook, RSS, SMS opcional",
    "prioridade": "Média",
    "prova_requerida": "Lista de canais ativos + teste de envio trimestral"
  },
  {
    "categoria": "técnico",
    "numero": 16,
    "ponto": "Arquivamento imutável WORM ou registro assinado durante pelo menos 6 anos",
    "prioridade": "Crítica",
    "prova_requerida": "Estratégia de arquivamento + prova de imutabilidade (hash, S3 Object Lock, Glacier)"
  },
  {
    "categoria": "técnico",
    "numero": 17,
    "ponto": "Segurança do domínio status: DNSSEC ativo, HTTPS estrito, HSTS, CAA, teste HSTS validado",
    "prioridade": "Alta",
    "prova_requerida": "Relatório DNSSEC + captura HSTS preload + registro CAA + scan TLS"
  },
  {
    "categoria": "organizacional",
    "numero": 18,
    "ponto": "Papel DORA Incident Notifier designado por escrito, com backup (equivalente CSSF eDesk role)",
    "prioridade": "Crítica",
    "prova_requerida": "Carta de nomeação + backup + extrato de organograma"
  },
  {
    "categoria": "organizacional",
    "numero": 19,
    "ponto": "Disponibilidade 24/7 no canal status page, com rotação documentada e calendário anual",
    "prioridade": "Crítica",
    "prova_requerida": "Calendário de disponibilidade + ferramenta de paging + política de rotação"
  },
  {
    "categoria": "organizacional",
    "numero": 20,
    "ponto": "Drill 4 horas trimestral em forma de tabletop exercise, seguido de um post-mortem do drill",
    "prioridade": "Alta",
    "prova_requerida": "Ata do drill + plano de ação + post-mortem assinado"
  },
  {
    "categoria": "organizacional",
    "numero": 21,
    "ponto": "Mapping documentado das autoridades nacionais por jurisdição (ACPR / BaFin / ACN / CSSF / Banca d'Italia + CSIRT NIS2 + CNIL e equivalentes RGPD)",
    "prioridade": "Alta",
    "prova_requerida": "Tabela de correspondência + URLs e contatos oficiais por país"
  },
  {
    "categoria": "organizacional",
    "numero": 22,
    "ponto": "KPI delay-to-publish seguido em contínuo, com objetivo inferior a 15 minutos",
    "prioridade": "Alta",
    "prova_requerida": "Dashboard interno + relatório mensal + limiares de alerta"
  },
  {
    "categoria": "organizacional",
    "numero": 23,
    "ponto": "Comunicações a clientes pre-redigidas por cenário, validadas pelo DPO e direção jurídica",
    "prioridade": "Média",
    "prova_requerida": "Biblioteca de mensagens tipo + visto DPO + visto direção jurídica"
  },
  {
    "categoria": "organizacional",
    "numero": 24,
    "ponto": "Formação anual das equipes SRE e comunicação sobre as obrigações DORA e NIS2",
    "prioridade": "Alta",
    "prova_requerida": "Plano de formação + lista de presencas + folha de avaliação"
  },
  {
    "categoria": "organizacional",
    "numero": 25,
    "ponto": "Revisão anual COMEX e conselho de administração sobre os incidentes graves (DORA Artigo 17)",
    "prioridade": "Crítica",
    "prova_requerida": "Ata COMEX + deliberação do conselho + indicadores de incidentes"
  }
]