O que entregamos
Realizamos uma avaliação abrangente da postura de segurança da organização, cobrindo pessoas, processos e tecnologia. O assessment pode se apoiar em referências como os controles CIS, o framework de cibersegurança do NIST e a norma ISO 27001 sobre gestão da segurança da informação, conforme o contexto. Entregamos uma fotografia clara do estado atual, lacunas identificadas e um roadmap com priorização por risco e esforço, favorecendo previsibilidade para investimento e auditoria.
O problema que resolve
Organizações que não têm visibilidade clara sobre a maturidade de segurança, que precisam priorizar investimentos ou que estão se preparando para auditorias.
CISOs, CTOs e gestores de TI que precisam de uma visão independente e estruturada sobre a postura de segurança da organização.
No início de programas de segurança, antes de auditorias externas, após incidentes ou quando a organização precisa priorizar investimentos em segurança.
Escopo de atuação
Entregáveis
Como o trabalho acontece, na prática
Do que é feita a avaliação
Combina documentos, entrevistas e verificação técnica por amostragem. Pessoas, processos e tecnologia são avaliados juntos, porque muitos incidentes nascem de lacunas de processo e não de falta de ferramenta. Exemplos do que se examina: revisão periódica de acessos e desligamento de usuários, gestão de mudanças, inventário de ativos, gestão de vulnerabilidades e de correções, backup e restauração, conscientização, plano de resposta a incidentes e gestão de fornecedores. Na verificação técnica, amostras de servidores, contas e configurações mostram se o que está escrito na política é o que acontece de fato.
Referenciais usados
Os controles CIS (versão 8) oferecem uma lista priorizada de ações técnicas, organizada em grupos de implementação para organizações de diferentes tamanhos e maturidades; o NIST Cybersecurity Framework (versão 2.0) organiza a gestão de risco em governar, identificar, proteger, detectar, responder e recuperar; a ISO/IEC 27001:2022 define os requisitos do sistema de gestão da segurança da informação, com controles de referência no Anexo A. Nenhum deles é obrigatório por si só: a escolha depende do setor, de exigências de clientes e do que o negócio precisa demonstrar, e os três podem ser mapeados entre si.
O que fazer com o resultado
Um bom assessment termina em decisões: o que corrigir primeiro, o que depende de investimento e o que pode esperar. As lacunas são ordenadas por risco (probabilidade e impacto) e por esforço, de modo que correções simples e de alto efeito, como habilitar MFA ou fechar um serviço exposto, apareçam antes de projetos longos. A leitura executiva é separada do detalhe técnico, com evidência para cada achado, para que a liderança e o time de segurança trabalhem sobre o mesmo roadmap. Repetir a avaliação depois permite comparar a evolução em relação ao ponto de partida.
Diferenciais
- Visão prática, não apenas documental
- Priorização que considera o contexto da operação
- Entregáveis prontos para apresentar à liderança e como evidência em auditoria
Metodologia
Coleta documental e entrevistas
Workshops com times técnicos
Avaliação quantitativa por domínio
Plano de ação com responsáveis
Apresentação de resultados
Destaques
Perguntas frequentes
A autoavaliação mostra, em cerca de 7 minutos, como a organização acredita estar. O assessment técnico mostra o que as evidências demonstram.
Comece pela autoavaliação gratuita de maturidade em cibersegurançaPronto para avançar?
Conte sobre seu contexto e desafios. Respondemos com uma proposta clara.