Os necessários fazem o site funcionar. Os outros medem quais páginas ajudam e quais anúncios trazem quem precisa da DM11. Você escolhe, e pode rever pelo rodapé.
Governança e conformidade
Pare de discutir segurança por impressão. Meça.
Medimos a sua segurança contra os CIS Controls, a referência que o mercado usa para descrever estado real. A conferência é salvaguarda a salvaguarda, contra o que está configurado de fato e não contra o que a política diz, e cada nota sai com a evidência anexada. É essa evidência que sustenta o pedido de orçamento na diretoria e resiste a contestação.
O trabalho começa pelo inventário de ativos e software, porque não dá para medir o que ninguém sabe que existe. Quase toda empresa descobre nessa etapa equipamento e software sem registro, e esse achado sozinho já paga a etapa. Depois vem a medição e o plano na ordem que reduz risco mais rápido, com o porquê de cada posição.
A escolha do grupo de implementação define até onde a régua alcança, da higiene essencial que barra a maior parte dos ataques reais ao escopo de quem tem ambiente crítico e adversário dedicado. Nos grupos maiores entram a análise de maturidade, a apresentação à diretoria e, no terceiro, a implantação e o roteiro de evolução com prazo por controle.
Pedimos acesso a quem administra o ambiente, às configurações e aos registros que sustentam cada nota. O que sai daqui não morre no relatório: a evidência entra inteira num projeto de ISO 27001 ou SOC 2 depois, e a medição é comparável na rodada seguinte, para a evolução aparecer em número e não em percepção.
As etapas e os entregáveis abaixo descrevem a modalidade Grupo 2: quando existe time e existe dado de terceiro. As outras modalidades aparecem quando você pede a proposta.
Diagnóstico inicial
Retrato do ponto de partida: o que existe, o que está escrito e o que funciona de fato. É contra ele que a evolução vai ser medida no fim do período, por isso registramos com método, e não de memória.
Inventário de ativos
Levantamos o que existe antes de medir qualquer coisa. Quase toda empresa descobre aqui equipamento e software que ninguém tinha registrado, e esse achado sozinho já paga a etapa.
Medição dos controles
Conferimos cada salvaguarda contra o que está de fato configurado, e não contra o que a política diz. Cada nota vem com a evidência que a sustenta.
Análise de maturidade
Comparamos a prática com o que se espera de cada disciplina e atribuímos a nota, com o critério aberto.
Apresentação
Reunião com a diretoria traduzindo o resultado técnico em risco de negócio e decisão de investimento. Chegamos com a resposta para as perguntas que a mesa sempre faz: o que atacar primeiro, quanto esforço isso pede e o que acontece se nada for feito.
Costuma vir junto
Não é pacote e não muda o que você já escolheu. É o que costuma aparecer logo depois, na experiência de quem já passou por isso.