1. Diagnóstico
Fazemos entrevistas estruturadas e avaliações técnicas nas disciplinas críticas de segurança, de gestão de identidades a resposta a incidentes.
OITENTA20® | IT RISK ASSESSMENT
Descubra onde investir para mitigar 80% dos seus riscos
O maior risco é aquele que você não conhece. Com o oitenta20®, você enxerga as vulnerabilidades do seu negócio, mede a maturidade de segurança e recebe um plano priorizado, sustentado por dados.
COMO FUNCIONA
Uma radiografia completa do seu ambiente em poucas semanas
Conduzimos entrevistas e avaliações técnicas nas principais disciplinas de segurança da informação e consolidamos tudo em um mapa executivo de decisão.
2. Análise orientada por dados
Damos nota de maturidade e exposição a cada disciplina. Você vê onde a atenção imediata rende a maior redução de risco.
3. Plano priorizado
Você recebe o mapa dos 20 controles de maior impacto, capazes de mitigar cerca de 80% dos riscos do ambiente, com sequência, esforço estimado e argumentos prontos para levar à diretoria.
O que sua empresa ganha
- Visão executiva da exposição a riscos, em linguagem de negócio
- Priorização de investimentos com base em dados
- Maturidade mensurável: compare a evolução a cada ciclo
- Decisões de tecnologia fundamentadas, sem compra por impulso
- Conformidade regulatória endereçada desde o diagnóstico
- Base pronta para o plano de segurança e para o orçamento anual
AUTODIAGNÓSTICO
Você sabe onde está o seu risco?
Perguntas objetivas sobre o que a sua empresa enxerga do próprio ambiente. O resultado mostra em quais frentes a visibilidade é real e em quais o risco está correndo sem dono.
Visibilidade de ativosPergunta 1 de 16
Existe um inventário dos ativos de tecnologia que importam, atualizado nos últimos seis meses?
Servidores, estações, aplicações, nuvem e o que mais processa dado do negócio. Vale planilha, desde que alguém a mantenha.
O que cada resultado significa
A leitura de cada área, nas três faixas de resultado. É o mesmo texto que chega por e-mail a quem se identifica, publicado aqui para quem quer entender o que a nota mede antes de responder.
Visibilidade de ativos
Abaixo de 50
Sem inventário confiável, todo o resto fica sobre areia: não dá para proteger, monitorar nem recuperar o que não se sabe que existe. Comece pelo que processa dado crítico e aceite que a primeira versão será incompleta. Ela já muda as conversas.
De 50 a 79
O inventário existe, mas tem zonas de sombra, e as zonas de sombra são exatamente onde incidentes gostam de nascer. Vale definir um dono e uma cadência de atualização, e cruzar o inventário com o que a rede efetivamente mostra.
80 ou mais
A visibilidade de ativos está entre as melhores frentes das suas respostas. O próximo ganho está em ligar o inventário às decisões: criticidade de negócio por ativo, e não só a lista técnica.
Identidades e acessos
Abaixo de 50
Acesso é a porta preferida do atacante moderno: é mais barato entrar com uma senha válida do que explorar uma falha. Revisão de saída, MFA nas contas administrativas e fim das contas compartilhadas são os três movimentos de maior retorno.
De 50 a 79
O básico existe, mas depende de pessoas lembrarem de fazer. O salto desta faixa é tirar a revisão de acesso da boa vontade: prazo definido, dono definido e verificação de que aconteceu.
80 ou mais
Identidades bem geridas nas suas respostas. O refinamento seguinte costuma ser o acesso privilegiado temporário: ninguém carrega privilégio permanente que só usa uma vez por mês.
Vulnerabilidades e exposição
Abaixo de 50
Sem processo de vulnerabilidades, a empresa descobre as próprias falhas junto com o atacante, e ele procura com mais dedicação. Uma varredura regular com prazo de correção por criticidade é o controle de melhor custo desta lista.
De 50 a 79
Varredura existe, mas a correção anda em ritmo próprio, e a distância entre encontrar e corrigir é exatamente a janela do atacante. Medir essa janela por criticidade, e reportá-la, costuma encurtá-la sozinho.
80 ou mais
Processo maduro nas suas respostas. O próximo passo natural é validar por teste: um pentest confirma se o que o processo diz que está fechado resiste a quem tenta abrir.
Detecção e resposta
Abaixo de 50
Hoje, um incidente na sua empresa provavelmente seria descoberto por um terceiro: um cliente, um banco, o próprio atacante pedindo resgate. Guardar os registros dos sistemas críticos é o primeiro passo, e é mais barato do que parece.
De 50 a 79
Os registros existem, mas resposta é músculo, e músculo sem exercício atrofia. Um exercício de mesa por ano, com a diretoria presente, revela em duas horas o que o plano escrito esconde.
80 ou mais
Detecção e resposta estruturadas. O ganho seguinte é reduzir o tempo entre o sinal e a ação: automatizar o isolamento do óbvio e treinar o julgamento para o resto.
Continuidade e recuperação
Abaixo de 50
Backup não testado e prazo de recuperação desconhecido significam que o custo de um dia ruim é uma incógnita. Antes de qualquer ferramenta nova: restaure um backup crítico de verdade e cronometre. O número que sair define a conversa.
De 50 a 79
A recuperação existe, mas os prazos são estimativa, não medição. Alinhar o que a TI consegue com o que o negócio aguenta, por sistema, é o exercício que falta, e ele costuma surpreender os dois lados.
80 ou mais
Continuidade madura nas suas respostas. Mantenha a restauração de teste em cadência e inclua no exercício os cenários que mais crescem: ransomware com backup alcançável e dependência de terceiro crítico.
Governança e investimento
Abaixo de 50
Sem avaliação de risco, o orçamento de segurança é disputado por quem grita mais alto, e o susto mais recente sempre grita mais alto. Uma fotografia estruturada da exposição muda a natureza da conversa com a diretoria.
De 50 a 79
Existe reporte e existe critério, mas a ponte entre o risco técnico e a decisão de negócio ainda é artesanal. Padronizar essa tradução, exposição em linguagem de impacto, é o que faz o orçamento parar de oscilar.
80 ou mais
Governança funcionando: risco avaliado, diretoria informada, investimento com critério. O desafio é a atualização, porque a avaliação envelhece mais rápido que o relatório dela.
O seu maior risco é o que você não conhece
Agende uma conversa, veja um exemplo real de relatório oitenta20® e descubra o que ele revelaria sobre o seu ambiente.