Programa de segurança da informação
Preparação e sustentação com ISO/IEC 27001 e 27701, NIST CSF 2.0 ou CIS Controls v8.1.
- 01O PROBLEMAPressão de clientes ou contratos por um sistema de gestão de segurança, sem saber por onde começar.
- 02PARA QUEMOrganizações que precisam estruturar controles e produzir evidências de segurança e privacidade.
- 03RESULTADO BUSCADOSistema de gestão implantado, controles com evidência e acompanhamento que sustenta auditorias.
O que muda para quem decide.
- PARA OCEOResponder a clientes e contratos“Clientes e contratos pedem um sistema de gestão de segurança que a empresa não consegue mostrar.”Um sistema de gestão implantado, com evidência para responder a quem pergunta.
- PARA OCFOInvestimento onde importa“Controles comprados sem saber quais riscos eles tratam.”Um plano de tratamento que liga cada controle a um risco.
- PARA OCTOControles que funcionam“Política escrita, prática diferente.”Controles implantados com evidência; os técnicos podem ser operados pela ness.
- PARA OCISOPronto para a auditoria“A auditoria de certificação se aproxima e as evidências estão espalhadas.”Auditoria interna feita pela trustness. e evidências organizadas no n.360.
Um sistema de gestão que se sustenta.
O referencial é escolhido pelo objetivo: certificação, exigência de cliente ou maturidade interna.
Role para o lado para ver o diagrama inteiro
- ISO/IEC 27001
- Segurança da informação
- ISO/IEC 27701
- Privacidade
- NIST CSF 2.0
- Gestão de risco cibernético
- CIS Controls v8.1
- Controles priorizados
Controles e evidências no n.360.
Cada controle com responsável, situação e evidência, acompanhado em tempo real no n.360. Em cada fechamento periódico, a liderança vê a maturidade por domínio e o que falta para a auditoria.
Planejar, fazer, verificar, agir.
Um sistema de gestão não termina na auditoria. Ele se revisa a cada ciclo.
- ETAPA 01PlanejarQual escopo e quais riscos?
- ETAPA 02ImplementarQuem é responsável por cada controle?
- ETAPA 03VerificarO controle funciona e tem evidência?
- ETAPA 04AuditarO que a auditoria interna encontrou?
- ETAPA 05MelhorarO que muda no próximo ciclo?
Como isso acontece na prática.
- Ionic HealthGovernança numa jornada internacional
- SITUAÇÃO
- A Ionic Health desenvolve software como dispositivo médico e conduz uma jornada de expansão internacional.
- ATUAÇÃO
- A trustness. participou da jornada de governança e normas; a ness. apoiou o ciclo de desenvolvimento seguro e a operação de segurança.
- RESULTADO
- Práticas de governança e segurança incorporadas ao ciclo de desenvolvimento.
Preparação e sustentação.
A trustness. prepara e acompanha. A certificação é decisão do organismo certificador.
- RISCOSAnálise e tratamentoMétodo documentado e revisão periódica.
- POLÍTICASDocumentos que se usamPolíticas curtas, com responsável e versão.
- EVIDÊNCIASOrganizadas no n.360Prontas para quem precisar verificar.
- AUDITORIAInterna, se contratadaAntes da auditoria de certificação.
Por que a trustness.
- 01Preparação para certificaçãoA trustness. prepara, implanta e acompanha; a certificação é concedida pelo organismo de certificação.
- 02Auditoria internaA auditoria interna é feita pela trustness., com independência de quem implantou.
- 03Família de normasISO/IEC 27001 e 27701 e as demais normas de segurança da informação, como ISO/IEC 27002, 27005, 27017 e 27018, ISO 22301, NIST CSF 2.0 e CIS Controls v8.1.
- 04Evidência organizadaControles, responsáveis e evidências no n.360, prontos para a auditoria.
- 05Controles técnicos operadosO que é técnico pode ser operado pela ness., no n.infraops e no n.secops.
Etapas do trabalho.
- 01Diagnóstico de maturidade e escopo
- 02Declaração de aplicabilidade e plano de tratamento
- 03Implantação de controles e evidências
- 04Auditoria interna e acompanhamento
O que está incluído.
Como trabalhamos com o que você já tem.
A trustness. prepara e acompanha; a certificação é decisão do organismo certificador. Controles técnicos podem ser operados pela ness.
- 01Sua equipeResponde pelos processos e controles do seu dia a dia; a trustness. conduz o método e a auditoria interna.donos dos controles
- 02As ferramentasAs que vocês já usam viram fonte de evidência; os controles técnicos podem ficar com a ness.mantidas como evidência
- 03Organismo de certificaçãoFaz a auditoria externa e decide a certificação. A trustness. prepara para ela.independente
| Atividade | trustness. | Sua equipe | Terceiros |
|---|---|---|---|
| Diagnóstico e escopo | executa | aprova | — |
| Análise de riscos e aplicabilidade | executa | aprova | — |
| Implantação de controles | coordena | executa | apoia |
| Auditoria interna | executa | apoia | — |
| Auditoria de certificação | apoia | apoia | executa |
Três modelos, conforme o contrato.
- MODELO 01AdequaçãoImplantação do sistema de gestão até a preparação para a auditoria de certificação.
- MODELO 02Avaliação de posturaDiagnóstico de maturidade frente à norma escolhida, com plano priorizado.
- MODELO 03AuditoriaAuditoria interna independente do sistema de gestão.
O que costumam nos perguntar.
Vocês certificam a empresa?
Não. A trustness. prepara para a certificação e faz a auditoria interna; quem concede a certificação é o organismo de certificação.
Qual norma escolher?
Depende do que clientes, contratos e o negócio pedem. ISO/IEC 27001 e 27701 são as mais pedidas; CIS Controls v8.1 e NIST CSF 2.0 são bons pontos de partida em maturidade inicial.
Quanto tempo leva?
Depende do escopo e da maturidade atual. O diagnóstico define o plano e os prazos.
Quem opera os controles técnicos?
A sua equipe, ou a ness., se vocês contratarem n.infraops ou n.secops.
E depois da certificação?
O sistema de gestão precisa de manutenção: a trustness. acompanha e faz as auditorias internas dos ciclos seguintes.
Quer saber se Programa de segurança da informação se aplica ao seu cenário?
- conversa
- diagnóstico
- proposta