Gobierno de seguridad · Cibersegurança

Implementação da ISO/IEC 27001:2022

Levamos sua organização do estado atual até um Sistema de Gestão de Segurança da Informação pronto para ser auditado e certificado.

Norma: ISO/IEC 27001:2022 e Anexo A
Duração: 8 a 14 meses conforme o escopo
Equipe: Senior Lead Implementer certificado
Saída: SGSI pronto para auditoria de certificação

O problema

Certificar a ISO 27001 deixou de ser enfeite: cada vez mais clientes corporativos e licitações exigem isso como condição para contratar. A versão 2022 reorganizou os controles do Anexo A em quatro temas e somou onze controles novos, então uma implementação baseada na edição antiga já não serve.

O que inclui

Análisis de brechas

Contraste del estado actual contra cada requisito de la norma y cada control del Anexo A, con el porcentaje de cumplimiento real por cláusula.

Alcance y contexto

Definición del alcance del SGSI, las partes interesadas y sus requisitos, que es donde se decide cuánto costará todo lo demás.

Gestión de riesgos

Metodología de evaluación y tratamiento, inventario de activos, riesgos valorados con dueños asignados y Declaración de Aplicabilidad.

Cuerpo documental

Política del SGSI, procedimientos obligatorios, registros y evidencia, redactados para tu operación y no copiados de una plantilla.

Implementación de controles

Acompañamiento técnico en los controles del Anexo A que exigen trabajo real: accesos, criptografía, respaldo, registro, desarrollo seguro y proveedores.

Concientización y competencias

Formación al personal y a la alta dirección, con la evidencia que el auditor pedirá.

Auditoría interna y revisión

Ejecución de la auditoría interna, tratamiento de no conformidades y revisión por la dirección antes de convocar al ente certificador.

Acompañamiento en certificación

Preparación de la etapa 1 y la etapa 2, y apoyo durante la auditoría del organismo certificador.

Como trabalhamos

01
Diagnóstico
Brecha contra la norma, alcance propuesto y estimación de esfuerzo.
02
Diseño
Metodología de riesgos, política, roles y plan de tratamiento aprobados por la dirección.
03
Implementación
Despliegue de controles y generación de evidencia, con seguimiento quincenal.
04
Verificação
Auditoría interna, no conformidades y revisión por la dirección.
05
Certificação
Acompañamiento en las etapas 1 y 2 con el organismo certificador.

Entregáveis

Documento	Extensão
Manual del SGSI Alcance, política, roles y procesos.	incluído
Declaración de Aplicabilidad Control por control, con justificación.	incluído
Matriz de riesgos Valorada, con dueños y plan de tratamiento.	incluído
Cuerpo documental Procedimientos y registros obligatorios.	incluído
Informe de auditoría interna Con no conformidades y acciones.	incluído

Nota

A certificação é emitida por um organismo independente, não por nós. Nosso trabalho é deixar o sistema em condições de aprovar: preparamos, acompanhamos e respondemos durante a auditoria, mas o parecer é de um terceiro acreditado, e é justamente isso que dá valor ao certificado.

Outros serviços desta área

Avaliação da postura de cibersegurançaAnálise detalhada do estado real da sua segurança: vulnerabilidades, ameaças e nível de conformidade, com uma visão clara dos riscos e de como mitigá-los.Ethical HackingAnálise de segurança ofensiva sobre o alvo que você definir, executada segundo o OWASP Testing Guide e classificada com OWASP Top 10, CWE e CVSS 3.1.Teste de intrusão de aplicações web e APIsAtacamos sua aplicação como faria um adversário real, com autorização e escopo por escrito, e entregamos cada achado com sua prova de conceito reproduzível.Auditoria de aplicações móveis (APK)Descompilamos, instrumentamos e atacamos sua aplicação Android para encontrar o que uma análise de loja jamais veria.Red Team e Purple TeamAvaliação adversarial completa e trabalho colaborativo com sua equipe defensiva, mapeado ao MITRE ATT&CK, para fortalecer as defesas onde elas de fato cedem.Exercícios do tipo APTSimulação de ameaças avançadas e persistentes para medir como sua organização resiste aos cenários mais sofisticados, em caixa branca ou caixa preta.Phishing simulado e conscientizaçãoMedimos como sua gente responde, não seu software: campanhas controladas de engenharia social que terminam em capacitação com os casos reais do exercício.Análise forense digitalRespostas rápidas e precisas quando algo já ocorreu: o que entrou, por onde, quando e o que levou, com evidência válida para um processo legal.Resposta a incidentes e análise forenseQuando algo já aconteceu, contemos, investigamos o que ocorreu e deixamos você com o necessário para que não se repita.Criação do seu CSIRTProjetamos, implementamos e treinamos a equipe de resposta a incidentes de segurança da informação da sua organização, para que a capacidade fique dentro de casa.Security Operation CenterCriação e implantação de uma unidade centralizada que monitora, detecta, responde e mitiga ameaças em tempo real, nas suas dependências e com seu pessoal capacitado.Monitoramento de segurança digitalSupervisão constante de todos os seus ativos digitais, com defesa proativa contra as ameaças do ambiente e relatórios que se entendem.Hardening de servidoresEndurecimento integral dos seus servidores: configuração otimizada, gestão de atualizações e auditorias periódicas para fechar a porta antes que alguém a teste.Hardening de nuvem: GCP, AWS e AzureRevisamos sua conta inteira contra o benchmark CIS, corrigimos o que você autorizar e mostramos o antes e o depois com uma pontuação de postura.Serviços em nuvem: migração e arquiteturaMigração, desenho de arquitetura, implementação, otimização de recursos e gestão de contas na AWS, Google Cloud e Azure, com a segurança presente desde o primeiro dia.Conectividade e redesInterligamos sua organização ao mundo de forma segura: cabeamento estruturado, segurança de rede e estações de trabalho organizadas.Plano de segurança da informaçãoUm plano próprio, alinhado aos seus objetivos de negócio: riscos avaliados, políticas escritas sob medida e uma cultura de segurança que alcança todos os colaboradores.Roadmap de cibersegurançaUm plano estratégico de curto, médio e longo prazo que estabelece prioridades, define ações concretas e aloca recursos, alinhado aos objetivos do negócio.vCISO: seu chefe de segurança, sem contratá-loUm oficial de segurança da informação com horas comprometidas por mês, que responde pela governança, pelo risco e pela conformidade da sua empresa perante o conselho e os clientes.Auditoria interna ISO/IEC 27001:2022Auditamos seu Sistema de Gestão de Segurança da Informação com o mesmo rigor do organismo certificador, para que não apareçam surpresas no dia da auditoria real.Conformidade com as Leis 21.719 e 21.595Preparamos sua empresa para a lei chilena de dados pessoais antes que a fiscalização chegue, com documentação confrontada com o texto oficial.Ferramentas de segurançaLicenciamento e implantação das ferramentas ofensivas e defensivas mais usadas do mercado, com o apoio técnico para que rendam de verdade.Equipamento tecnológicoComputadores, servidores e ferramentas especializadas para hacking físico, com assessoria de arquitetura incluída.

Todas as áreas

Inteligência Artificial Desenvolvimento sob medida Consultoria