Consultoria

Segurança da Informação

Segurança que se prova em auditoria e se sustenta no dia a dia.

Elevamos a maturidade de segurança da sua empresa, reduzimos a exposição a riscos e preparamos o caminho para certificações como ISO/IEC 27001 e SOC 2. Cada controle implantado já nasce com a evidência que o auditor vai pedir.

ISO/IEC 27001
ISO/IEC 27002
ISO/IEC 27005
NIST CSF 2.0
NIST RMF
CIS Controls v8
SOC 2

Pedido de proposta Conversar no WhatsApp(abre em nova aba)

O desafio

Segurança que se prova em auditoria e se sustenta no dia a dia.

Controles sem prova

Ferramentas compradas e políticas escritas não bastam quando o cliente, o auditor ou o regulador pedem evidência.

Prioridade pelo barulho

Sem um mapa de riscos, o investimento vai para o incidente mais recente, não para o que mais expõe o negócio.

Programa que perde força

Depois da certificação, rotinas, indicadores e responsáveis precisam continuar funcionando, ou o próximo ciclo começa do zero.

Como ajudamos

Frentes de trabalho

Elevação de Segurança

Objetivo

Elevar rapidamente a maturidade de Segurança da Informação, reduzindo a exposição a riscos e aumentando a resiliência, com base em frameworks reconhecidos (ISO 27001/27002, NIST, CIS Controls e SOC 2) e uma arquitetura de Defesa em Profundidade.

O que fazemos

Assessment de Segurança

Diagnóstico de maturidade (pessoas, processos e tecnologia).
Mapa de riscos, ativos críticos e terceiros.
Gaps de controles, evidências e plano de ação.

ISO/IEC 27001 e 27002

Escopo e desenho do SGSI (Sistema de Gestão de Segurança da Informação), com o desenvolvimento da governança, das políticas e dos processos.
SoA e plano de implementação por risco.
Controles implantados com evidências prontas para auditoria.

NIST

Plano por funções (Governar, Identificar, Proteger, Detectar, Responder e Recuperar).
Controles priorizados por criticidade e ambiente.
Métricas e rotinas de governança para sustentação.

CIS Controls

Avaliação por controles, salvaguardas e nível de implementação.
Quick wins e execução incremental com ganhos mensuráveis.
Responsáveis, métricas e auditabilidade.

SOC 2 Readiness

Gap analysis por Trust Services Criteria.
Controles operacionais e repositório de evidências.
Preparação para a auditoria e o período de observação.

Defesa em Profundidade

Arquitetura por camadas.
Especificação das ferramentas de cada camada.
Elaboração das políticas, processos e controles.

Preparação para certificações

Objetivo

Preparar a empresa para conquistar a ISO/IEC 27001 e/ou o SOC 2 com o mínimo de retrabalho, estruturando governança, controles e evidências auditáveis, com prontidão para a auditoria externa e sustentação do programa no dia a dia.

O que fazemos

ISO/IEC 27001: readiness e implementação

Definição de escopo, contexto, partes interessadas e objetivos do SGSI.
SoA (Declaração de Aplicabilidade) e plano de tratamento de riscos.
Políticas, normas e processos essenciais, com papéis e responsabilidades.
Biblioteca de evidências e preparação para auditoria (interna e apoio na auditoria externa).

SOC 2: readiness e evidências

Diagnóstico por Trust Services Criteria (Segurança e critérios adicionais, quando aplicável).
Desenho e operacionalização de controles (políticas, procedimentos e rotinas).
Repositório de evidências, testes de controle e apoio ao período de observação.
Preparação do "audit pack" e alinhamento com o auditor independente.

ISO 27001 e SOC 2 simultâneos

Mapa de convergência: controles comuns e requisitos específicos de cada referencial.
Um único modelo de governança, risco e evidências para atender aos dois.
Roadmap integrado (quick wins e trilha de maturidade), com redução de custos e duplicidade.
Gestão de projeto de ponta a ponta: cronograma, responsáveis, checkpoints e readiness final.

Gestão de Riscos

Objetivo

Implantar e operacionalizar um processo contínuo de Gestão de Riscos Cibernéticos e de Segurança da Informação, integrando negócio e tecnologia para identificar, avaliar, tratar e monitorar riscos, com critérios claros, evidências e governança, alinhado à ISO/IEC 27005 e ao NIST RMF.

O que fazemos

Programa de riscos cibernéticos e de SI

Definição de escopo, ativos, processos críticos e dependências (incluindo terceiros).
Critérios de risco: impacto, probabilidade, apetite, tolerância e escalas.
Registro de riscos, priorização e plano de tratamento com responsáveis e prazos.
KPIs e KRIs, ritos de comitê e acompanhamento recorrente.

ISO/IEC 27005: método e operação

Metodologia completa: identificação, análise, avaliação e tratamento de riscos.
Vínculo entre risco, controle e evidência, para auditoria e melhoria contínua.
Modelo de aceites, exceções, revisão periódica e lições aprendidas.
Integração com o SGSI da ISO 27001, quando aplicável.

NIST RMF: governança e controles

Estrutura RMF: categorizar, selecionar, implementar, avaliar, autorizar e monitorar.
Seleção de controles e baseline conforme a criticidade e o contexto do ambiente.
Apoio a pacotes de autorização, aceite e trilhas de evidência, quando exigido.
Monitoramento contínuo e gestão de mudanças baseada em risco.

CISO as a Service e GRC

Objetivo

Oferecer apoio contínuo para sustentar e evoluir o programa de Segurança da Informação, com governança, priorização por risco, execução disciplinada e evidências consistentes, em atuação estratégica e operacional via CISO as a Service e suporte recorrente em GRC (Governança, Riscos e Compliance).

O que fazemos

CISO as a Service

Direcionamento executivo: estratégia, roadmap, orçamento e prioridades por risco.
Governança: comitês, ritos, reporte para a liderança e indicadores (KPIs e KRIs).
Supervisão de controles críticos (IAM, logging, vulnerabilidades, incidentes e backups).
Apoio a decisões e crises: resposta a incidentes, comunicação e lições aprendidas.
Preparação e acompanhamento de auditorias e certificações (ISO 27001 e SOC 2).

GRC recorrente

Operação do GRC: registro de riscos, aceites, exceções e plano de tratamento.
Gestão de políticas, normas e evidências, com controle de versão e auditabilidade.
Avaliação de mudanças (projetos e fornecedores) e do impacto em riscos e controles.
Auditorias internas leves (health checks) e verificação da eficácia das ações.
Integração com as áreas-chave (TI, Desenvolvimento, Infraestrutura, Jurídico, Compras e RH) para a execução.

Auditorias

Objetivo

Avaliar, com independência e evidências, a eficácia dos controles e a aderência aos requisitos da ISO/IEC 27001/27002 e do SOC 2, identificando não conformidades, riscos e oportunidades de melhoria, com um plano de ação objetivo para elevar a maturidade antes das auditorias externas.

O que fazemos

Auditoria interna ISO 27001/27002

Planejamento anual e definição de escopo, critérios e amostragem.
Entrevistas, testes de controles, revisão documental e validação de evidências.
Avaliação de aderência ao SGSI (contexto, liderança, risco, operação e melhoria).
Relatório de não conformidades, observações e recomendações priorizadas.
Suporte ao plano de ação: responsáveis, prazos e verificação de eficácia.

Auditoria interna SOC 2

Avaliação de desenho e operação de controles por Trust Services Criteria.
Testes de controles e checagem de evidências para o período de observação.
Identificação de gaps de auditabilidade (rastreabilidade e consistência).
Relatório executivo, plano de remediação e preparo do "audit pack".
Reteste de controles críticos para confirmar as correções antes do auditor externo.

Referências

Normas, leis e frameworks que orientam o trabalho e as evidências.

ISO/IEC 27001: Requisitos do Sistema de Gestão de Segurança da Informação. Certificável.
ISO/IEC 27002: Guia de implementação dos controles de segurança da informação.
ISO/IEC 27005: Diretrizes para a gestão de riscos de segurança da informação.
NIST CSF 2.0: Framework de cibersegurança organizado em seis funções, de Governar a Recuperar.
NIST RMF: Framework de gestão de riscos com ciclo de seleção, avaliação e autorização de controles.
CIS Controls v8: Controles priorizados por grupo de implementação, com salvaguardas mensuráveis.
SOC 2: Relatório de auditoria independente sobre os Trust Services Criteria.