Controlos sem prova
Ferramentas compradas e políticas escritas não bastam quando o cliente, o auditor ou o regulador pedem evidências.
Consultoria
Segurança da Informação
Segurança que se prova em auditoria e se sustenta no dia a dia.
Elevamos a maturidade de segurança da sua empresa, reduzimos a exposição ao risco e preparamos o caminho para certificações como a ISO/IEC 27001 e o SOC 2. Cada controlo implementado já nasce com a evidência que o auditor vai pedir.
- ISO/IEC 27001
- ISO/IEC 27002
- ISO/IEC 27005
- NIST CSF 2.0
- NIST RMF
- CIS Controls v8
- SOC 2
O desafio
Segurança que se prova em auditoria e se sustenta no dia a dia.
Prioridade pelo ruído
Sem um mapa de riscos, o investimento vai para o incidente mais recente, não para o que mais expõe o negócio.
Programa que perde força
Depois da certificação, rotinas, indicadores e responsáveis têm de continuar a funcionar, ou o próximo ciclo começa do zero.
Como ajudamos
Frentes de trabalho
Elevação da Segurança
Objetivo
Elevar rapidamente a maturidade de Segurança da Informação, reduzindo a exposição ao risco e aumentando a resiliência, com base em frameworks reconhecidos (ISO 27001/27002, NIST, CIS Controls e SOC 2) e numa arquitetura de Defesa em Profundidade.
O que fazemos
Avaliação de Segurança
- Diagnóstico de maturidade (pessoas, processos e tecnologia).
- Mapa de riscos, ativos críticos e terceiros.
- Lacunas de controlos, evidências e plano de ação.
ISO/IEC 27001 e 27002
- Âmbito e desenho do SGSI (Sistema de Gestão de Segurança da Informação), com o desenvolvimento da governação, das políticas e dos processos.
- SoA e plano de implementação por risco.
- Controlos implementados com evidências prontas para auditoria.
NIST
- Plano por funções (Governar, Identificar, Proteger, Detetar, Responder e Recuperar).
- Controlos priorizados por criticidade e ambiente.
- Métricas e rotinas de governação para a sustentação.
CIS Controls
- Avaliação por controlos, salvaguardas e nível de implementação.
- Ganhos rápidos e execução incremental com resultados mensuráveis.
- Responsáveis, métricas e auditabilidade.
SOC 2 Readiness
- Análise de lacunas por Trust Services Criteria.
- Controlos operacionais e repositório de evidências.
- Preparação para a auditoria e para o período de observação.
Defesa em Profundidade
- Arquitetura por camadas.
- Especificação das ferramentas de cada camada.
- Elaboração das políticas, processos e controlos.
Preparação para certificações
Objetivo
Preparar a empresa para obter a ISO/IEC 27001 e/ou o SOC 2 com o mínimo de retrabalho, estruturando governação, controlos e evidências auditáveis, com prontidão para a auditoria externa e sustentação do programa no dia a dia.
O que fazemos
ISO/IEC 27001: readiness e implementação
- Definição do âmbito, do contexto, das partes interessadas e dos objetivos do SGSI.
- SoA (Declaração de Aplicabilidade) e plano de tratamento de riscos.
- Políticas, normas e processos essenciais, com papéis e responsabilidades.
- Biblioteca de evidências e preparação para auditoria (interna e apoio na auditoria externa).
SOC 2: readiness e evidências
- Diagnóstico por Trust Services Criteria (Segurança e critérios adicionais, quando aplicável).
- Desenho e operacionalização de controlos (políticas, procedimentos e rotinas).
- Repositório de evidências, testes de controlo e apoio ao período de observação.
- Preparação do "audit pack" e alinhamento com o auditor independente.
ISO 27001 e SOC 2 em simultâneo
- Mapa de convergência: controlos comuns e requisitos específicos de cada referencial.
- Um único modelo de governação, risco e evidências para responder aos dois.
- Roadmap integrado (ganhos rápidos e percurso de maturidade), com redução de custos e de duplicação.
- Gestão de projeto de ponta a ponta: cronograma, responsáveis, pontos de controlo e readiness final.
Gestão de Riscos
Objetivo
Implementar e operacionalizar um processo contínuo de Gestão de Riscos Cibernéticos e de Segurança da Informação, integrando negócio e tecnologia para identificar, avaliar, tratar e monitorizar riscos, com critérios claros, evidências e governação, alinhado com a ISO/IEC 27005 e o NIST RMF.
O que fazemos
Programa de riscos cibernéticos e de SI
- Definição do âmbito, ativos, processos críticos e dependências (incluindo terceiros).
- Critérios de risco: impacto, probabilidade, apetite, tolerância e escalas.
- Registo de riscos, priorização e plano de tratamento com responsáveis e prazos.
- KPIs e KRIs, reuniões de comité e acompanhamento recorrente.
ISO/IEC 27005: método e operação
- Metodologia completa: identificação, análise, avaliação e tratamento de riscos.
- Ligação entre risco, controlo e evidência, para auditoria e melhoria contínua.
- Modelo de aceitações, exceções, revisão periódica e lições aprendidas.
- Integração com o SGSI da ISO 27001, quando aplicável.
NIST RMF: governação e controlos
- Estrutura RMF: categorizar, selecionar, implementar, avaliar, autorizar e monitorizar.
- Seleção de controlos e baseline de acordo com a criticidade e o contexto do ambiente.
- Apoio a pacotes de autorização, aceitação e trilhos de evidência, quando exigido.
- Monitorização contínua e gestão de alterações baseada no risco.
CISO as a Service e GRC
Objetivo
Oferecer apoio contínuo para sustentar e fazer evoluir o programa de Segurança da Informação, com governação, priorização pelo risco, execução disciplinada e evidências consistentes, numa atuação estratégica e operacional através de CISO as a Service e de suporte recorrente em GRC (Governação, Riscos e Compliance).
O que fazemos
CISO as a Service
- Orientação executiva: estratégia, roadmap, orçamento e prioridades por risco.
- Governação: comités, reuniões regulares, reporte à liderança e indicadores (KPIs e KRIs).
- Supervisão de controlos críticos (IAM, logging, vulnerabilidades, incidentes e cópias de segurança).
- Apoio a decisões e crises: resposta a incidentes, comunicação e lições aprendidas.
- Preparação e acompanhamento de auditorias e certificações (ISO 27001 e SOC 2).
GRC recorrente
- Operação do GRC: registo de riscos, aceitações, exceções e plano de tratamento.
- Gestão de políticas, normas e evidências, com controlo de versões e auditabilidade.
- Avaliação de alterações (projetos e fornecedores) e do seu impacto em riscos e controlos.
- Auditorias internas ligeiras (health checks) e verificação da eficácia das ações.
- Integração com as áreas-chave (TI, Desenvolvimento, Infraestrutura, Jurídico, Compras e RH) para a execução.
Auditorias
Objetivo
Avaliar, com independência e evidências, a eficácia dos controlos e a aderência aos requisitos da ISO/IEC 27001/27002 e do SOC 2, identificando não conformidades, riscos e oportunidades de melhoria, com um plano de ação objetivo para elevar a maturidade antes das auditorias externas.
O que fazemos
Auditoria interna ISO 27001/27002
- Planeamento anual e definição do âmbito, dos critérios e da amostragem.
- Entrevistas, testes de controlos, revisão documental e validação de evidências.
- Avaliação da aderência ao SGSI (contexto, liderança, risco, operação e melhoria).
- Relatório de não conformidades, observações e recomendações priorizadas.
- Apoio ao plano de ação: responsáveis, prazos e verificação da eficácia.
Auditoria interna SOC 2
- Avaliação do desenho e da operação dos controlos por Trust Services Criteria.
- Testes de controlos e verificação de evidências para o período de observação.
- Identificação de lacunas de auditabilidade (rastreabilidade e consistência).
- Relatório executivo, plano de remediação e preparação do "audit pack".
- Novo teste dos controlos críticos para confirmar as correções antes do auditor externo.
Referências
Normas, leis e frameworks que orientam o trabalho e as evidências.
- ISO/IEC 27001
- Requisitos do Sistema de Gestão de Segurança da Informação. Certificável.
- ISO/IEC 27002
- Guia de implementação dos controlos de segurança da informação.
- ISO/IEC 27005
- Orientações para a gestão de riscos de segurança da informação.
- NIST CSF 2.0
- Framework de cibersegurança organizado em seis funções, de Governar a Recuperar.
- NIST RMF
- Framework de gestão de riscos com um ciclo de seleção, avaliação e autorização de controlos.
- CIS Controls v8
- Controlos priorizados por grupo de implementação, com salvaguardas mensuráveis.
- SOC 2
- Relatório de auditoria independente sobre os Trust Services Criteria.
Formação relacionada
Para a equipa que vai operar o programa depois do projeto.
Na Galáxia
Os sistemas da Galáxia que sustentam este trabalho depois da consultoria, com o mesmo método.
Pedido de proposta
Vamos medir a maturidade de segurança da sua empresa?
Conte-nos o seu contexto e o seu objetivo, seja certificação, exigência de um cliente ou redução de risco. Respondemos com um primeiro desenho do âmbito.
cyber@cyberconsulting.com.br