O que entregamos
Revisamos a postura de compliance da organização contra frameworks e regulamentações aplicáveis ao setor, como a ISO 27001 (gestão da segurança da informação), relatórios SOC 2, a LGPD e outros marcos quando couber. O entregável é uma visão clara do estado atual, lacunas identificadas e um plano de ação priorizado com responsáveis e prazos, favorecendo governança e evidência para terceiros.
O problema que resolve
Organizações que precisam demonstrar conformidade a clientes, parceiros ou reguladores, mas não têm visibilidade sobre lacunas ou não sabem como priorizar a adequação.
Responsáveis por compliance, CISOs e líderes de TI que precisam demonstrar conformidade a stakeholders internos e externos.
Quando a organização precisa se preparar para certificações, responder a questionários de clientes, atender requisitos regulatórios ou entender o estado atual de conformidade com clareza.
Escopo de atuação
Entregáveis
Como o trabalho acontece, na prática
Qual referencial se aplica
A ISO/IEC 27001:2022 certifica um sistema de gestão de segurança da informação e traz 93 controles em seu Anexo A, agrupados em quatro temas (organizacionais, pessoas, físicos e tecnológicos); o SOC 2 é um relatório de atestação que avalia controles segundo os critérios de serviços de confiança (segurança, disponibilidade, integridade de processamento, confidencialidade e privacidade), sendo a segurança o critério comum a todos; a LGPD (Lei 13.709/2018) trata da proteção de dados pessoais. Normas setoriais podem se somar a elas. Cada um responde a perguntas diferentes: certificação do sistema de gestão, confiança entre prestador e cliente e obrigação legal.
Como a revisão é feita
Mapeia-se cada requisito aplicável a um controle existente, a uma evidência e a um responsável. As lacunas aparecem de três formas: controle que não existe, controle que existe mas não é praticado, e controle praticado sem evidência. Cada caso pede uma ação diferente: desenhar o controle, treinar e acompanhar a execução, ou passar a registrar a prova. Exemplos de evidência são atas de revisão de acessos, registros de treinamento, relatórios de varredura de vulnerabilidades, testes de restauração de backup e o registro das operações de tratamento de dados pessoais, previsto na LGPD.
De lacuna a plano de ação
O resultado é uma lista priorizada de lacunas, cada uma com responsável e prazo sugerido, que serve a duas audiências: o time que implementa e a liderança que precisa acompanhar o risco. Quando há mais de um referencial, um mapeamento único de controles evita trabalho duplicado, já que um mesmo controle, como gestão de acessos ou resposta a incidentes, costuma atender à ISO 27001, ao SOC 2 e à LGPD. O objetivo é governança contínua, com revisões periódicas e métricas, não um esforço concentrado apenas antes da auditoria.
Diferenciais
- Visão técnica integrada à operação
- Foco em implementação real, não apenas papel
- Conexão com segurança e infraestrutura para fechar lacunas técnicas
Metodologia
Mapeamento de requisitos aplicáveis
Coleta de evidências e entrevistas
Análise de lacunas
Plano de ação e priorização
Acompanhamento de implementação
Destaques
Perguntas frequentes
Pronto para avançar?
Conte sobre seu contexto e desafios. Respondemos com uma proposta clara.