Metodologia do iLGPD

O iLGPD (índice de maturidade em proteção de dados) vai de 0 a 100. Cada resposta vale de 0 a 1 e só conta quando confirmada pela evidência exigida. Perguntas críticas pesam 2,0; altas, 1,5; médias, 1,0. As dimensões têm pesos próprios.

Redutor: cada pergunta crítica não atendida reduz o índice em 10%: iLGPD final = iLGPD × (1 − 0,10 × n).

Faixas: Adequada (80 a 100), Em adequação (50 a 79,9) e Crítica (abaixo de 50).

O diagnóstico de segurança da informação (35 itens) não entra no iLGPD: cada item ausente gera uma medida, e os 19 itens essenciais são acompanhados à parte.

A segurança da informação é medida pela aderência aos 18 controles do CIS Controls v8. A pontuação de cada controle é a média das respostas dos itens a ele ligados; a aderência geral é a média simples dos controles. Itens sem correspondência no CIS (segurança física, políticas e governança) não entram na média, mas geram medidas.

Grupos de Implementação: o resultado também é apresentado por IG1 (higiene básica), IG2 (organizações com equipe de TI) e IG3 (organizações com dados sensíveis em maior escala). Os grupos são cumulativos: o IG2 inclui os itens do IG1, e o IG3 inclui os dois.

Faixas do ranking de segurança: Avançado (80 a 100), Intermediário (60 a 79,9), Básico (40 a 59,9) e Inicial (abaixo de 40). O ranking divulga apenas pontuações e faixas, nunca detalhes de vulnerabilidades.

A publicação é opcional e decidida por cada autoridade, que pode ativá-la ou não. Quando ativa, o membro publica ciclo a ciclo, com autenticação em dois fatores, uma fotografia dos resultados de um ciclo encerrado. Só entram entidades com análise aprovada.

Ciclos com questionário personalizado não são comparáveis com os demais e recebem essa marcação. A autoridade pode retirar um resultado, com motivo registrado, e a entidade é informada.

Somente o Ministério Público mantém a lista. Torna-se elegível a entidade com TAC descumprido, com execução de TAC protocolada ou com ação civil pública protocolada. A inclusão exige ato do membro, com autenticação em dois fatores.

A entidade pode pedir a saída ao regularizar a situação; a autoridade decide em até 5 dias úteis. Entidades regularizadas permanecem visíveis, com essa marcação, por 12 meses.