Plano de trabalho Orientação à equipe Documentação do projeto
Valor para sua empresa
Quando contratar esta consultoria?
Se um cliente pede comprovações de segurança, sua empresa precisa mostrar como avalia riscos, controla acessos e acompanha incidentes. Esse trabalho envolve TI, áreas de negócio e liderança.
01
Fortaleça a qualificação comercial Prepare informações e controles para clientes que avaliam a segurança dos seus fornecedores.
02
Direcione o investimento em segurança Avalie riscos para priorizar o que precisa de proteção e quais medidas adotar.
03
Envolva a empresa inteira Conecte tecnologia, pessoas, fornecedores e liderança às responsabilidades de segurança.
Apoio para executar
O que sua empresa recebe da consultoria.
Definimos com sua equipe as atividades, os documentos e os registros necessários ao projeto. A proposta especifica as entregas e as responsabilidades.
Tratamento de riscosExemplo ilustrativo
Proteja o acesso às informações.
Contexto mapeado
Impacto ↑
ABC
Probabilidade →
AAcesso
BInformação
CContinuidade
Registro do exemploControle de acesso
Exemplo de controle
01 / Frente de trabalho
Escopo e avaliação de riscos
Definimos os limites do sistema de gestão e organizamos a análise dos riscos à informação.
02 / Frente de trabalho
Políticas e plano de tratamento
Estruturamos os documentos de gestão, as responsabilidades e o acompanhamento das medidas selecionadas.
03 / Frente de trabalho
Controles e evidências
Organizamos a Declaração de Aplicabilidade, com os controles necessários e suas justificativas, e os registros do sistema.
Seu projeto de ISO 27001
Como o trabalho é conduzido.
As etapas consideram o que já existe, as lacunas e o objetivo do projeto. Atividades, prazo e participação da equipe são definidos na proposta.
Tratamento de riscosExemplo ilustrativo
Entender o negócio
Contexto mapeado
Impacto ↑
ABC
Probabilidade →
AAcesso
BInformação
CContinuidade
Registro do exemploControle de acesso
Exemplo de controle
Nesta etapa / 01
Identificamos serviços, informações, sistemas e partes envolvidas.
Tratamento de riscosExemplo ilustrativo
Avaliar os riscos
Responsáveis definidos
Impacto ↑
ABC
Probabilidade →
AAcesso
BInformação
CContinuidade
ResponsávelSegurança
Exemplo de controle
Nesta etapa / 02
Definimos critérios e prioridades de tratamento com os responsáveis.
Tratamento de riscosExemplo ilustrativo
Implantar a gestão
Em implementação
Tratamento de risco · exemplo
Controle de acesso
ObjetivoAcesso coerente com a atividade
ResponsávelSegurança e liderança do processo
EvidênciaRevisão de permissões
Verificar aplicação
Próxima açãoConferir o controle na operação
Exemplo de controle
Nesta etapa / 03
Orientamos políticas, controles e acompanhamento das ações.
Tratamento de riscosExemplo ilustrativo
Conferir a preparação
Em revisão
Impacto ↑
ABC
Probabilidade →
AAcesso
BInformação
CContinuidade
EvidênciaRevisão de permissões
Verificar a prática
Nesta etapa / 04
Revisamos os registros e as pendências para a avaliação externa.
Sua equipe com orientação para executar.
A Conforma conduz a estruturação do sistema de gestão. TI e as áreas de negócio executam as mudanças técnicas e operacionais; a liderança valida os riscos, as prioridades e os recursos.
A consultoria de gestão não substitui testes de segurança ou implantação técnica. Esses serviços precisam constar da contratação quando necessários.
Gestão que você demonstra
Tenha evidências do trabalho realizado.
Revisões de acesso, incidentes, fornecedores e decisões de risco precisam ser demonstráveis. Ajudamos a organizar o histórico que conecta as políticas de segurança à sua aplicação.
Aproveitamos documentos, planilhas e sistemas existentes. O importante é que os responsáveis consigam registrar o trabalho e encontrar as informações quando precisarem.
Exemplo hipotético: acessos permanecem ativos depois da mudança de função. O tratamento liga a decisão de risco à aplicação e à evidência.
01 / Tratamento de riscos
Delimitar a informação e os acessos
Identifique os sistemas do escopo, os perfis existentes e quem aprova o acesso às informações. Considere fornecedores e usuários externos.
Tratamento de riscosExemplo ilustrativo
Proteja o acesso às informações.
Contexto mapeado
Impacto ↑
ABC
Probabilidade →
AAcesso
BInformação
CContinuidade
Registro do exemploControle de acesso
Exemplo de controle
02 / Tratamento de riscos
Avaliar o risco e decidir o tratamento
Analise as consequências de acessos incompatíveis com a função e registre a decisão, os controles escolhidos e as responsabilidades.
Tratamento de riscosExemplo ilustrativo
Proteja o acesso às informações.
Responsáveis definidos
Impacto ↑
ABC
Probabilidade →
AAcesso
BInformação
CContinuidade
ResponsávelSegurança
Exemplo de controle
03 / Tratamento de riscos
Aplicar a rotina de revisão
A equipe responsável compara os acessos com as funções, trata exceções e registra as aprovações. Mudanças técnicas ficam com os responsáveis pelos sistemas.
Acompanhamento de açõesExemplo ilustrativo
Trate a causa. Confira o resultado.
Em implementação
Leitura de indicador · exemploAnalisar o retrabalho.
Compare períodos com o mesmo critério de cálculo.
Observações do processo →
Próxima açãoConferir o controle na operação
Exemplo de controle
04 / Tratamento de riscos
Examinar a evidência
Confira a lista analisada, as decisões e o tratamento das exceções. A verificação avalia se a rotina foi executada e se precisa de ajuste.
Trilha de auditoria internaExemplo ilustrativo
Encontre o que precisa de atenção.
Em revisão
01
Critério definidoO que precisa ser verificado
02
Evidência examinadaO que a prática demonstra
03
Achado fundamentadoRelação entre critério e evidência
EvidênciaAchado fundamentado
Verificar a prática
DA ATIVIDADE AO REGISTRO01 / 04
Tratamento de riscosExemplo ilustrativo
Proteja o acesso às informações.
Contexto mapeado
Impacto ↑
ABC
Probabilidade →
AAcesso
BInformação
CContinuidade
Registro do exemploControle de acesso
Exemplo de controle
Tratamento de riscosExemplo ilustrativo
Proteja o acesso às informações.
Responsáveis definidos
Impacto ↑
ABC
Probabilidade →
AAcesso
BInformação
CContinuidade
ResponsávelSegurança
Exemplo de controle
Acompanhamento de açõesExemplo ilustrativo
Trate a causa. Confira o resultado.
Em implementação
Leitura de indicador · exemploAnalisar o retrabalho.
Compare períodos com o mesmo critério de cálculo.
Observações do processo →
Próxima açãoConferir o controle na operação
Exemplo de controle
Trilha de auditoria internaExemplo ilustrativo
Encontre o que precisa de atenção.
Em revisão
01
Critério definidoO que precisa ser verificado
02
Evidência examinadaO que a prática demonstra
03
Achado fundamentadoRelação entre critério e evidência
EvidênciaAchado fundamentado
Verificar a prática
Perguntas frequentes
Antes de começar com ISO 27001.
Entenda as entregas e a participação de cada parte.
Não. Ela pode ser aplicada por organizações que precisam proteger informações de clientes, colaboradores e parceiros, em diferentes setores.
Já temos ferramentas de segurança. Isso ajuda?+
Sim. Avaliamos os controles existentes e como eles se conectam à gestão de riscos, às responsabilidades e aos registros exigidos pelo sistema.
A consultoria executa pentest e configura os sistemas?+
Essas atividades técnicas não estão automaticamente incluídas. A proposta distingue o trabalho de gestão dos testes, configurações e serviços especializados necessários.
A ISO 27001 resolve a LGPD?+
Os temas se complementam, mas têm objetivos distintos. Segurança da informação ajuda na proteção dos dados; a adequação à LGPD também envolve bases legais, direitos dos titulares e outras decisões.
