Curso Cyber Cultura
Cyber GRC: Estrutura, Processos e Indicadores
Governação, riscos e compliance de segurança e privacidade, de ponta a ponta.
Ensina a estruturar a governação, os processos e os indicadores para alinhar a segurança e a privacidade com os objetivos de negócio e com a conformidade.
- Carga horária
- 5 horas
- Formato
- Online ou in-company
- Investimento
- Sob consulta
Respondemos com datas, formato e investimento.
Para quem é
- CISOs, DPOs e gestores que montam ou reorganizam um programa de GRC.
- Analistas de riscos, compliance e auditoria.
- Consultores que estruturam programas de segurança e privacidade.
O que vai desenvolver
- Definir o modelo de governação: comités, RACI, três linhas de defesa e indicadores.
- Operar a gestão de riscos: catálogo, avaliação, tratamento, aceitações e exceções.
- Ligar a GRC às SecOps, aos projetos, aos terceiros e à privacidade (LGPD e ISO/IEC 27701).
- Construir pacotes executivos: one-pager, heatmap e decisões.
- Estabelecer o ciclo de auditorias e de melhoria contínua.
Conteúdo programático
5 horas
01Fundamentos de GRC em segurança
- Conceitos e âmbito da GRC; relação com a governação corporativa e de TI (COBIT)
- Papéis e responsabilidades: gestão de topo, comités, CISO, DPO e proprietários do risco
- Três linhas de defesa aplicadas à segurança e à privacidade
02Normas e frameworks de referência
- ISO/IEC 27001 e 27002 (controlos)
- ISO/IEC 27005 e ISO 31000 (gestão de riscos)
- NIST CSF 2.0 e CIS Controls v8
- ISO/IEC 27701 (privacidade)
- ISO 22301 (continuidade) e ISO/IEC 27031 (prontidão das TIC)
- LGPD e panorama regulatório setorial
03Estrutura de governação de segurança e privacidade
- Políticas, normas, procedimentos e padrões técnicos
- Comités de segurança e privacidade e reporte à gestão de topo
- Papéis (RACI) e accountability
- Cultura, sensibilização e formação contínua
04Gestão de riscos cibernéticos
- Critérios: apetite, tolerância, impacto e probabilidade
- Processo ISO/IEC 27005 e ISO 31000, do contexto ao tratamento
- Catálogo de ameaças, cenários e análise dos controlos existentes
- Risco de terceiros e da cadeia de abastecimento, incluindo a nuvem
- Riscos de privacidade e avaliação de impacto (RIPD)
- Risco operacional e de continuidade (BIA e dependências críticas)
- Priorização e roadmap, qualitativo e semiquantitativo
05Conformidade e auditorias
- Mapeamento de requisitos legais, regulatórios e contratuais
- Declaração de Aplicabilidade e matriz de controlos
- Evidências, pistas de auditoria e gestão de exceções
- Auditoria interna e externa, não conformidades e ações corretivas
06Controlos, métricas e maturidade
- Seleção e priorização de controlos com base no risco (ISO, NIST e CIS)
- KPIs, KRIs e OKRs executivos; painéis e storytelling de risco
- Modelos de maturidade e ciclos de melhoria contínua
- Governação de dados, classificação e ciclo de vida da informação
07Gestão de terceiros e contratos
- Due diligence, critérios de criticidade e avaliações periódicas
- Requisitos contratuais de segurança e privacidade e SLAs
- Monitorização contínua, evidências e offboarding de fornecedores
08Integração entre GRC, SecOps e engenharia
- Gestão de vulnerabilidades e patches orientada pelo risco
- Gestão de incidentes, lições aprendidas e mudanças
- Inventário e CMDB, hardening e DevSecOps
09Continuidade, resiliência e crise
- BIA e estratégias de continuidade (ISO 22301)
- Prontidão das TIC (ISO/IEC 27031), DRP e testes
- Gestão de crises, comunicação e partes interessadas
10Privacidade no programa de GRC
- Programa de privacidade (LGPD): bases legais, direitos e princípios
- Privacy by design e by default, minimização e conservação
- Governação do consentimento, direitos do titular e incidentes com dados pessoais
11Comunicação executiva e envolvimento
- Relatórios ao conselho de administração e à direção, heatmaps e cenários
- Business cases, priorização de investimentos e retorno da segurança
12Formação e sensibilização em segurança e privacidade
- Fundamentos e referências
- Estratégia do programa
- Matriz de percursos por perfil
- Currículo mínimo e conteúdos-chave
- Metodologias e formatos
- Simulações e prática
- Comunicação e envolvimento
- Métricas, eficácia e melhoria contínua
- Governação e evidências
- Implementação e operação
- Artefactos do curso
13Oficina e artefactos práticos
- Construção da matriz de riscos e dos critérios
- Declaração de Aplicabilidade e matriz de conformidade (exemplo guiado)
- Plano de tratamento e roadmap trimestral
- Modelo de painel executivo de riscos e conformidade
- Modelos: Política de Segurança da Informação, Matriz RACI, due diligence de terceiros, checklists de auditoria e RIPD
O que o curso inclui
- Oficina guiada
- Modelos de artefactos
Para a sua equipa
Este curso também está disponível em formato in-company, presencial ou à distância, com turma fechada para a sua empresa.
Curso Cyber Cultura
Cyber GRC: Estrutura, Processos e Indicadores
Respondemos com datas, formato e investimento.
cyber@cyberconsulting.com.br