ISO/IEC 27001, ISO/IEC 42001 e NIST CSF 2.0 partem da avaliação de riscos. O RiskMap entrega essa avaliação em sete dimensões, com RiskScore e prioridades justificadas, para a sua empresa decidir o próximo passo com critério. Feito ao lado do seu TI, não no lugar dele.
*Após o recebimento das evidências.
Não é falta de cuidado. É que ninguém parou para procurar, com método, o que a operação foi criando ao longo dos anos. O risco não aparece porque não existe um lugar onde ele seria registrado.
Acesso que sobrou de quem saiu, sistema contratado direto pela área, planilha de cliente no drive pessoal. Nada disso passou por reunião, e tudo isso está em produção agora. Cada item resolveu um problema real no dia em que nasceu. Nenhum foi revisto depois.
A equipe cola contrato, proposta e planilha em ferramenta de inteligência artificial para ganhar tempo. Sem regra escrita, a boa intenção leva informação da empresa para fora dela, e não fica registro de qual informação saiu, nem quando.
Backup que roda todo dia e nunca foi restaurado em teste. Fornecedor sem plano B. A pessoa que é a única que sabe. O relatório diz que está tudo certo até o dia em que alguém precisa usar de verdade.
Essas três frentes têm algo em comum: nenhuma aparece num relatório de ferramenta. Elas aparecem quando alguém de fora senta com o seu time e pergunta. E quando aparecem tarde, a conta já está formada.
Quero conversar sobre o meu cenárioTrês dados de 2026 dimensionam o tamanho dessa conta.
foi o salto, em um ano, dos incidentes envolvendo IA usada sem governança. Entre eles, 49% causaram perda de dados, 42% pararam a operação e 35% geraram dano de reputação.
Fonte: IBM Cost of a Data Breach 2026 (dado global)
Shadow AI quase nunca começa com má intenção. Começa com alguém querendo resumir um contrato mais rápido.
do custo de uma violação de dados vem de investigação e de perda de negócios, não do conserto do sistema.
Fonte: IBM Cost of a Data Breach 2026 (dado global)
É a parte da conta que não cabe no orçamento de tecnologia, porque ela chega como venda parada e cliente que não renova.
é o teto da multa prevista na LGPD, limitada a R$ 50 milhões por infração.
Fonte: LGPD, Lei 13.709/2018, art. 52
Quando o vazamento envolve dado pessoal, a conta também pode vir da ANPD.
Nenhum desses números diz o que acontece na sua empresa. É exatamente isso que o diagnóstico responde.
Quatro situações construídas a partir de padrões que se repetem nos diagnósticos. Em todas elas a empresa já sabia onde queria investir, e o diagnóstico mostrou que a premissa do investimento estava errada. Nome e dados de cliente são sempre confidenciais.
251 a 500 funcionários · opera carteiras de 6 bancos e financeiras
A premissa: R$ 900 mil reservados para um SOC terceirizado, porque a diretoria assumia que o maior risco vinha de ataque externo.
O que encontramos
Resultado
O SOC foi adiado para o segundo semestre. R$ 180 mil foram realocados para política de uso de IA, ferramenta corporativa aprovada e aditivos de LGPD com 4 fornecedores. O primeiro teste de restauração aconteceu em 30 dias. O argumento que convenceu o CEO não foi técnico: os contratos com os bancos exigem conformidade com a LGPD, e uma falha ali colocava a própria carteira em risco.
501 a 800 funcionários · 2 plantas
A premissa: o orçamento de TI ia para licenças do ERP e equipamentos do escritório. A produção não era tratada como assunto de TI.
O que encontramos
Resultado
Parte da renovação de licenças foi adiada. O dinheiro foi para separar as redes e criar um plano de recuperação da linha crítica, com meta de retorno à operação em até 8 horas. O assunto passou a ser acompanhado pelo diretor industrial, e não só pela TI.
101 a 250 funcionários · 60% do faturamento anual no último trimestre
A premissa: um teste de intrusão no site antes da Black Friday resolveria a segurança da operação.
O que encontramos
Resultado
Integrações e acessos foram limpos em 2 semanas, antes do pico. O teste de intrusão foi mantido, com escopo menor e focado no checkout, custando menos que o orçamento original. A empresa entrou na Black Friday com um plano de resposta de uma página e responsáveis definidos.
50 a 100 funcionários · vende para redes de clínicas e hospitais
A premissa: começar a certificação ISO/IEC 27001 imediatamente, porque a empresa vinha perdendo contratos nos questionários de segurança dos clientes.
O que encontramos
Resultado
A certificação continuou como meta, mas no plano de 365 dias. Os primeiros 90 dias foram dedicados a governança básica e a regras de uso de IA. Com evidências reais, a empresa voltou a responder questionários com segurança e passou a usar o relatório do RiskMap como anexo nas negociações.
Em nenhum dos quatro a empresa estava parada. Em todos, o dinheiro já tinha destino. O diagnóstico mudou a ordem.
O RiskMap não veio auditar ninguém e não veio avaliar a sua equipe. Ele junta o que o time interno já sabe com um método externo, e põe os dois na mesma mesa. Se o seu TI souber do diagnóstico pelo relatório, nós erramos o processo.
O que sai dali é um documento só, que o TI assina junto e a gestão consegue acompanhar. Quem executa o plano depois continua sendo o time da casa.
Por que isso importa na prática: a equipe que opera o ambiente todo dia acaba avaliando o próprio trabalho, concorrendo com as urgências da semana. Não é falta de competência. É falta de distância, e distância não se contrata internamente.
Avaliar uma norma de cada vez produz um retrato parcial: a conformidade aparece, o risco continua escondido na junção entre as áreas. O RiskMap cruza segurança, privacidade, IA, continuidade e governança numa avaliação única, porque o risco de uma dimensão quase sempre se manifesta no funcionamento de outra.
Controles, acessos, exposição e capacidade de defesa.
Shadow AI, dados em ferramenta não aprovada, política de uso e governança do ciclo de vida, avaliados segundo NIST AI RMF e ISO/IEC 42001.
Proteção, retenção, exposição e tratamento de dados.
Legado, dependências, arquitetura e ausência de controles.
Responsabilidades, políticas, indicadores e decisões.
Backup, recuperação, incidentes e continuidade.
Processos críticos, dependências e falhas de controle.
As sete são avaliadas em conjunto. Pedir só uma economiza pouco e devolve um retrato parcial, que é o problema que o diagnóstico existe para resolver.
O RiskMap não é auditoria de certificação. Ele usa essas referências como critério de avaliação e mostra a distância entre a sua operação e cada uma delas. A certificação formal, quando for o caminho, é um processo à parte, conduzido por organismo certificador.
Cinco entregáveis, todos pensados para circular fora da TI. O destino deles é a reunião de diretoria, o orçamento e, quando necessário, o questionário de segurança de um cliente.
Cada risco com probabilidade, impacto, exposição e prioridade. É o documento que responde “quais são os nossos riscos?” por escrito, que é a pergunta de entrada de qualquer norma e de qualquer auditoria de fornecedor.
Nota por dimensão e maturidade geral, calculada a partir das evidências. Como os critérios são mantidos, a reavaliação em 12 meses compara diretamente com a anterior e mostra o que mudou em cada uma das sete dimensões.
O que merece atenção primeiro e por quê. O critério de cada escolha fica à vista, para que a priorização possa ser discutida, e defendida, dentro da empresa.
Direcionamento para 30, 90, 180 e 365 dias. O que cabe neste orçamento e o que entra no próximo ciclo, separado por horizonte.
Os resultados apresentados à gestão pela DM11, na linguagem da diretoria. Quem precisa justificar o investimento não apresenta sozinho.
O relatório é seu. Vários clientes passam a usá-lo como anexo em questionário de segurança e em processo de due diligence, porque ele mostra o cenário avaliado e o plano em andamento, que é exatamente o que o cliente grande quer ver.
As sete dimensões viram um índice executivo e uma ordem de ataque. O objetivo não é produzir uma nota bonita, é separar o que merece atenção agora do que pode esperar, com o critério de cada escolha à vista.
Quero conversar sobre o meu cenárioExemplo ilustrativo. O RiskScore real é calculado a partir das evidências do diagnóstico.
Leia o exemplo acima como a diretoria leria: a empresa investiu em defesa e em backup, e as duas notas mais altas mostram isso. A nota de IA é a mais baixa das sete, e não porque alguém fez algo errado, mas porque ninguém tinha olhado para lá ainda. É essa diferença entre o que recebeu atenção e o que ficou de fora que o índice existe para mostrar.
Quatro etapas. O trabalho pesado é da DM11, e corre sem ocupar o seu time.
Entendemos o cenário, o porte e o que já existe antes de propor qualquer coisa. O acordo de confidencialidade é assinado antes de o diagnóstico começar.
Conversas com TI, operação e diretoria, mais os documentos que sustentam a análise. Agenda combinada com a empresa, sem parar a operação.
7 dias úteis de análise da DM11, com o seu TI à disposição apenas para dúvida de contexto. É a etapa mais longa e a que menos consome o seu time.
Relatório em até 10 dias úteis após o recebimento das evidências, apresentado à gestão com as prioridades e o plano de 30, 90, 180 e 365 dias.
Consumo da sua equipe: 4 a 6 horas de entrevistas no total, com 3 a 5 pessoas-chave, divididas entre TI, operação e diretoria. Remoto por padrão. As evidências ficam em ambiente de acesso restrito e são descartadas 30 dias após a entrega do relatório.
Nenhuma delas é pergunta de vendedor. São as que não se respondem de cabeça, e é justamente por isso que incomodam. Leia devagar e repare em quais você precisaria perguntar para alguém antes de responder.
Se você é dono ou CEO
Se você aprova o orçamento
Se você hesitou em três delas, o diagnóstico já tem para onde olhar na sua empresa. Hesitar não é sinal de descuido, é sinal de que a informação existe espalhada e nunca foi consolidada em um lugar só.
Quero conversar sobre o meu cenárioO diagnóstico vem antes do orçamento de tecnologia e serve para dar critério à decisão. Feito depois das compras do ano, ele vira avaliação do que já foi gasto.
R$20 mil
Investimento único, sem mensalidade, para empresas de até 300 colaboradores.
Quero conversar sobre o investimentoEscopo e condições são confirmados na proposta comercial. Implementação das ações, pentest e módulos adicionais são avaliados à parte, e a DM11 não vende licença de ferramenta dentro deste escopo. Acima de 300 colaboradores, a proposta é dimensionada para a sua operação.
O preço está aqui para você decidir antes da conversa, não durante. Em um orçamento anual de tecnologia, o diagnóstico costuma custar menos que uma linha isolada dele, e é a linha que define se as outras estão no lugar certo.
O RiskMap reúne a experiência acumulada pela DM11 em projetos de segurança da informação, governança, riscos e conformidade, incluindo instituições reguladas pelo Banco Central e pela SUSEP, operações sujeitas ao PCI DSS e organizações submetidas às exigências da LGPD.
Sua metodologia combina essa experiência prática com referências internacionais, como NIST CSF, ISO/IEC 27001 e CIS Controls, para identificar fragilidades, avaliar riscos e estabelecer prioridades que apoiem decisões estratégicas.
A DM11 não atua como revendedora de tecnologias, não mantém vínculos comerciais com fabricantes e não recebe comissões pelas soluções eventualmente recomendadas. Essa independência permite que o RiskMap avalie o que a empresa realmente precisa, sem direcionar suas conclusões para a aquisição de produtos ou tecnologias. Se a prioridade estiver na revisão de processos, no fortalecimento de controles existentes ou na melhoria da governança, essas serão as recomendações apresentadas.
O resultado do RiskMap é um diagnóstico técnico e executivo, acompanhado de um plano de ação estruturado por criticidade, impacto no negócio e prioridade de tratamento.
Mais do que identificar fragilidades, o RiskMap oferece à gestão informações fundamentadas para decidir onde agir, o que priorizar e como direcionar seus investimentos em segurança e gestão de riscos.
Como dito acima, o RiskMap não vem com nada embutido. Estas três frentes existem porque alguns cenários pedem uma profundidade que o diagnóstico sozinho não alcança, e nenhuma delas é proposta antes de o relatório indicar necessidade.
Phishing, engenharia social, conscientização e comportamento de risco. Entra quando o diagnóstico aponta que o caminho mais curto para dentro da empresa é a pessoa, não o sistema.
Fornecedores, SaaS, terceiros, contratos e cadeia de dependência. Entra quando o número de terceiros com acesso ao ambiente é alto ou desconhecido.
VA, pentest e avaliações específicas. Entra quando a análise indica que uma exposição precisa ser confirmada na prática, e não apenas avaliada por evidência documental.
Nada disso é pré-requisito do RiskMap, e nada disso é vendido junto com ele. O diagnóstico das sete dimensões é completo por si. Os módulos existem para quando o relatório apontar uma frente que merece aprofundamento, com escopo e preço próprios.
Não. O RiskMap é um diagnóstico feito ao lado do seu TI. A equipe interna entra com o contexto da operação e participa da discussão das prioridades. A DM11 entra com método, distância e análise, e quem executa o plano depois é o time da casa.
Pode, e muita empresa tenta. O que costuma faltar não é competência, é tempo livre e distância: a equipe que opera o ambiente acaba avaliando o próprio trabalho, concorrendo com as urgências do dia. O RiskMap entra com um método já pronto e com o seu TI participando do começo ao fim.
Faz, e as ferramentas entram na análise. O diagnóstico olha evidências de controles, processos, dependências e governança para montar uma visão consolidada, o que inclui reconhecer o que já funciona bem. Ferramenta instalada e risco tratado não são a mesma coisa, e a diferença entre as duas é parte do que o relatório mostra.
O escopo do RiskMap é diagnóstico e priorização, e a DM11 não vende licença de ferramenta dentro dele. Implementação, pentest e módulos adicionais, quando fizerem sentido, são avaliados e contratados separadamente, e essa separação está na proposta.
Não. É um diagnóstico executivo de riscos e maturidade. Ele usa referências reconhecidas, mas não substitui auditoria formal de certificação.
Os dois, e eles respondem perguntas diferentes. O mapeamento diz o que pode dar errado e o que isso significa para a operação. A maturidade diz o quanto a empresa já está preparada em cada frente. As sete dimensões recebem as duas leituras, e é por isso que o RiskScore funciona como linha de base: repetido em 12 meses com os mesmos critérios, ele mostra evolução medida, e não impressão.
Serve como avaliação independente, e não como auditoria de certificação. A DM11 não opera o seu ambiente, não vende licença de ferramenta e não avalia o próprio trabalho, que é o que dá a distância de uma terceira parte. O que ela não faz: certificar, emitir selo e assinar parecer de conformidade. O relatório e o RiskScore podem ser apresentados a banco, cliente ou seguradora como evidência de que a empresa mapeou seus riscos com método; quem pede decide o que aceita, e nenhum deles substitui certificado.
Sim. O uso de IA fora da governança corporativa é uma das sete dimensões do diagnóstico, avaliada segundo NIST AI RMF e ISO/IEC 42001.
Cobre, e é uma das sete dimensões. A avaliação olha onde a IA já é usada na empresa, com ou sem aprovação, que dados saem nessas ferramentas, quais decisões já dependem de um modelo e o que existe de política, registro e responsável. Os critérios vêm do NIST AI RMF e da ISO/IEC 42001, que é a norma certificável de gestão de IA. A certificação em si é trabalho à parte, e a DM11 prepara para ela sem certificar.
Avaliamos no que o diagnóstico alcança: se existe revisão humana do código que o assistente escreve, se segredo e credencial entram no prompt, que dependências entraram no projeto sem passar por avaliação e quem responde pelo que foi gerado. A validação técnica do sistema em si, com teste de intrusão e análise de código, é escopo próprio e contratado à parte.
Não no escopo principal. Se a análise indicar necessidade de validação técnica, a DM11 pode propor uma avaliação específica.
O escopo principal não aprofunda terceiros. Esse trabalho pode ser contratado como módulo adicional.
Como escopo próprio, sim, e não dentro do RiskMap. O diagnóstico mapeia a dependência: qual processo crítico depende de qual fornecedor, quem de fora tem acesso a quê e o que está previsto em contrato. Avaliar um fornecedor específico, com questionário, evidências e parecer por fornecedor, é um trabalho de outro tamanho, dimensionado pela quantidade de fornecedores e contratado à parte.
As sete dimensões são avaliadas em conjunto porque o risco de uma aparece no funcionamento da outra. Escopo reduzido ou dividido em etapas pode ser discutido na conversa inicial, e o que for possível fica registrado na proposta comercial.
Empresas de 50 a 800 funcionários que já usam tecnologia em processos críticos e precisam justificar investimentos em TI, segurança e IA com base em risco.
Em média, 4 a 6 horas de entrevistas com 3 a 5 pessoas-chave, divididas entre TI, operação e diretoria, além do envio dos documentos solicitados. Os 7 dias úteis de análise são trabalho da DM11, e correm sem ocupar o seu time.
O prazo vale para a entrega do relatório e começa a contar quando as evidências necessárias chegam. As entrevistas e o envio dos documentos são combinados antes, junto com a empresa. Agenda, escopo e marcos de entrega ficam confirmados na contratação.
Remoto por padrão. Reuniões presenciais podem ser combinadas quando necessário.
Assinamos acordo de confidencialidade antes do início. As evidências são usadas apenas para o diagnóstico, ficam em ambiente com acesso restrito e são descartadas 30 dias após a entrega do relatório.
O valor cobre o diagnóstico completo das sete dimensões em empresas de até 300 colaboradores, com relatório, RiskScore, plano de 30, 90, 180 e 365 dias e apresentação à gestão. Acima desse porte, ou com módulos adicionais, a proposta é dimensionada à parte.
Isso também é informação, e vira documento. O diagnóstico reconhece o que já funciona, e a avaliação das sete dimensões mostra onde a atenção está menor. Saber que uma frente está estável muda onde você investe na seguinte.
A DM11 comunica a gestão assim que a análise identificar, sem esperar o fechamento do relatório. O tratamento de uma situação dessas é discutido com a empresa e pode exigir escopo próprio, contratado à parte.
Sim. Recomendamos uma nova análise em 12 meses, ao final do plano de ação. Os critérios de cada dimensão são mantidos, então o novo RiskScore é comparado diretamente ao anterior e mostra a evolução em cada uma das sete dimensões.
Quem decide é você. O ponto prático é a ordem: feito antes do orçamento de tecnologia, o diagnóstico dá critério para a decisão; feito depois das compras do ano, ele vira avaliação do que já foi gasto.
A conversa inicial é sobre o seu cenário, o escopo e o investimento. Dura cerca de 40 minutos, é conduzida por quem executa o diagnóstico, e seu TI pode participar desde o primeiro contato.
Você sai da conversa sabendo se o RiskMap faz sentido para a sua empresa agora. Se a resposta for não, a gente diz na hora, porque é mais barato para os dois lados que descobrir isso depois.
