Preparamos a sua empresa para uma certificação de segurança ou uma regulação: medimos a lacuna contra a norma, planejamos o trabalho, ajudamos a escrever as políticas e reunir as evidências, e ficamos com você até a auditoria.
Em resumo
Uma certificação costuma ser pedida por um cliente grande ou exigida por um regulador, com data marcada. O risco é chegar nessa data com uma pilha de documentos que ninguém segue e reprovar na próxima auditoria ou, pior, sofrer um incidente.
Preparamos você para que os controles funcionem na prática. Cada requisito da norma vira uma tarefa com dono, e cada tarefa produz a evidência que o auditor vai pedir.
Uma visão rápida das quatro normas para as quais preparamos empresas.
| Padrão | Normalmente exigida por | O que você tem no fim |
|---|---|---|
| ISO/IEC 27001 | Clientes internacionais, licitações e setores regulados | Um certificado emitido por um organismo certificador acreditado |
| SOC 2 | Clientes nos Estados Unidos, principalmente de serviços de software | Um relatório Tipo I ou Tipo II emitido por uma firma de auditoria |
| PCI DSS | Bandeiras e adquirentes, para quem trata dados de cartão | Um questionário de autoavaliação ou um relatório de conformidade de um avaliador qualificado |
| LGPD | Lei brasileira, para quem trata dados pessoais no Brasil | Processos e registros que mostram a conformidade à autoridade e aos titulares |
A norma internacional para um sistema de gestão de segurança da informação. Ajudamos a definir o escopo, conduzir a avaliação de riscos, escrever a Declaração de Aplicabilidade e preparar as auditorias de fase 1 e fase 2.
O relatório mais pedido por clientes nos Estados Unidos. Ajudamos a escolher os critérios de confiança, desenhar os controles e preparar as evidências para um relatório Tipo I e depois Tipo II.
Obrigatório para quem armazena, processa ou transmite dados de cartão. Ajudamos a reduzir o escopo, aplicar os requisitos da versão 4.0, inclusive os controles de scripts nas páginas de pagamento, e preparar o questionário de autoavaliação ou a visita do avaliador.
A lei brasileira de proteção de dados. Mapeamos os dados pessoais e os seus usos, revisamos bases legais e contratos, e montamos os processos de atendimento aos titulares e de notificação de incidentes.
O tempo depende da norma e de onde você parte. A avaliação de lacunas dá uma data realista antes de você se comprometer com uma junto a um cliente.
Comparamos o que você tem hoje com cada requisito da norma e listamos o que falta.
Cada lacuna vira uma tarefa com dono, estimativa de esforço e data, na ordem que faz sentido.
Escrevemos políticas e procedimentos com você, revisamos os controles conforme são construídos e organizamos as evidências.
Fazemos uma auditoria interna, corrigimos o que ela encontra e apoiamos o seu time durante a auditoria externa.
Cada requisito, a sua situação atual e o que falta para atendê-lo, com um prazo realista.
Documentos escritos para o jeito que a sua empresa realmente trabalha, aprovados pela liderança.
A evidência de cada controle, organizada do jeito que o auditor vai pedir, e uma rotina para mantê-la atualizada.
Onde os produtos da Vorpcel estão em uso, os relatórios deles podem servir de evidência para alguns controles, como gestão de vulnerabilidades, registro de logs e configuração da nuvem. Usá-los não é obrigatório.
Quais sistemas, dispositivos e dados estão no escopo, e quem é dono de cada um.
Prova de que os acessos são concedidos, revisados e removidos a tempo.
Evidência de que as falhas são encontradas e corrigidas dentro dos prazos combinados.
Registros dos eventos de segurança e prova de que alguém os revisa.
Um plano testado e o registro de como incidentes passados foram tratados.
Como você verifica a segurança dos fornecedores que tratam os seus dados.
Não. O certificado ou relatório é emitido por um organismo certificador, uma firma de auditoria ou um avaliador qualificado independente. Manter preparação e auditoria separadas é o que dá credibilidade ao resultado. Podemos ajudar a escolher e a trabalhar com eles.
A que os seus clientes ou o regulador pedem. Se ninguém pediu ainda, a avaliação de lacunas contra a ISO 27001 é uma boa base, porque a maioria das outras normas compartilha boa parte dos controles dela.
Sim. Mapeamos os requisitos de cada norma num único conjunto de controles, então o mesmo trabalho e as mesmas evidências servem para todas.
Não necessariamente. Muitos controles são processos e evidências. Quando uma ferramenta é necessária, explicamos qual controle ela atende e você escolhe o produto.
Respondemos com algumas perguntas sobre o escopo e depois enviamos uma proposta com datas e preço.