Liderança sênior em segurança e TI, sem contratar um executivo em tempo integral
Assumimos diretamente a função de CISO ou Gerente de TI, com responsabilidade sobre o programa de segurança, a estratégia de TI e os relatórios à diretoria, conforme o escopo acordado. Atuamos de forma interina, por prazo definido, ou fracionada, em um contrato contínuo.
Seu programa de segurança em mãos experientes
CISOs e ISOs experientes exigem altos salários mais benefícios. Muitas organizações carregam riscos reais de segurança e exposição regulatória sem ninguém nessa função, mas não têm orçamento para uma contratação permanente. Assumimos o papel diretamente, gerenciando seu programa de segurança, reportando à diretoria e conduzindo o cumprimento das obrigações regulatórias enquanto sua equipe de TI cuida das operações do dia a dia.
O serviço também é conhecido como CISO as a Service, CISO terceirizado ou CISO sob demanda. Mais do que recomendar melhorias, o CISO Virtual assume a liderança do programa de segurança dentro do escopo acordado, coordena as ações, acompanha os riscos e reporta os resultados à diretoria.
Seja para criar uma função de segurança pela primeira vez, cobrir uma saída ou ter responsabilidade por um projeto ou auditoria: assumimos rapidamente. Atuamos no nível ISO para gestão de segurança do dia a dia ou no nível CISO para relatórios ao conselho e supervisão estratégica. Fazemos uma entrega limpa quando você estiver pronto.
Liderança dedicada em segurança no ritmo que se adapta ao seu negócio. Gerenciamos seu programa, participamos de reuniões do conselho e de auditoria, administramos relacionamentos com fornecedores e mantemos sua postura de segurança evoluindo sem os custos de uma contratação permanente.
CISO Virtual para setores regulados
A Cyvra tem sede em São Paulo e atende principalmente empresas de 50 a 5.000 funcionários em todo o Brasil. Trabalhamos principalmente com organizações que têm obrigações regulatórias reais, mas ainda não justificam um CISO em tempo integral.
A Resolução CMN nº 5.274 (bancos e demais instituições financeiras) e a BCB nº 538 (instituições de pagamento, corretoras e distribuidoras) trazem as mesmas exigências centrais: política de segurança cibernética atualizada, 14 procedimentos e controles mínimos e teste de intrusão anual feito por especialista independente. O vCISO conduz esse programa, prepara a diretoria para as inspeções e organiza as evidências.
Segurança para o setor financeiro →As resoluções não se aplicam diretamente ao fornecedor. A instituição continua responsável pelos serviços que contrata e repassa exigências por contrato e questionários de due diligence. O vCISO responde a esses questionários e monta o programa que o cliente espera ver.
O que a CMN 5.274 exige do fornecedor →Dados de saúde são dados pessoais sensíveis pela LGPD, e operadoras de saúde respondem também às exigências da ANS. O vCISO define quem acessa prontuários e sistemas clínicos, gerencia o risco de fornecedores e sistemas legados e mantém a documentação pronta para auditorias.
Segurança para a saúde →Hotéis processam cartões e guardam dados de hóspedes no PMS, na rede Wi-Fi e nas integrações com OTAs. O vCISO coordena a conformidade com o PCI DSS e a LGPD e cobra segurança dos fornecedores de sistemas.
Segurança para a hotelaria →O que você recebe nos três primeiros meses
O engajamento mínimo de três meses permite compreender o ambiente, avaliar os riscos e estabelecer uma rotina de governança consistente. A atuação começa desde o primeiro dia, com prioridades definidas conforme a urgência e os riscos identificados. Estruturamos esse período em três fases.
Mapeamento de ativos, revisão das políticas existentes, revisão de conformidade com as normas aplicáveis (como LGPD, regras do Bacen ou PCI DSS), entrevistas com as áreas-chave e uma avaliação inicial de risco que aponta as lacunas mais urgentes.
Priorizamos os riscos encontrados e definimos as correções, os responsáveis e os prazos. As correções prioritárias começam nessa fase, com a sua equipe e os seus fornecedores, dentro de um plano alinhado ao apetite ao risco da diretoria.
Acompanhamos a execução do plano e apresentamos o primeiro relatório formal: risco de negócio, status de conformidade e progresso do plano. Depois disso, o relatório acompanha as reuniões da diretoria, normalmente a cada trimestre.
Liderança de TI sob demanda, sem contratar um gerente em tempo integral
Contratar um Gerente de TI sênior leva meses e cria um custo fixo. Organizações de todos os portes frequentemente precisam dessa liderança para conduzir transformações, gerenciar fornecedores ou manter a função durante uma transição. Assumimos o papel diretamente, com responsabilidade sobre estratégia e execução enquanto sua equipe cuida das operações do dia a dia.
Os primeiros 90 dias. No primeiro mês, revisamos o ambiente, os fornecedores, os contratos, os custos, os projetos e os riscos operacionais, e já começamos a tratar os achados de alto risco. No segundo, definimos com a gestão as prioridades, os responsáveis, o impacto no orçamento e o roadmap. No terceiro, a execução avança, os relatórios ficam estabelecidos e revisamos o progresso com a diretoria. São etapas típicas: o ritmo das correções depende do orçamento e de quem executa cada item.
Quando seu Gerente de TI sai, uma grande migração está em andamento ou um projeto precisa de propriedade sênior, assumimos a função em poucos dias. Mantemos a continuidade com sua equipe e fornecedores e fazemos uma transferência limpa quando você contratar permanentemente ou o projeto for concluído.
Dedicação mensal acordada para gerenciar sua função de TI de forma estratégica. Gerenciamos seu roadmap, mantemos o relacionamento com fornecedores, conduzimos as reuniões de governança e acompanhamento e mantemos sua infraestrutura alinhada às prioridades do negócio, sem compromisso de salário integral.
Certificações em segurança e TI em nossa equipe
Da primeira conversa ao exercício da função
30 minutos para entender sua situação, lacunas e cronograma. Sem necessidade de preparação da sua parte.
Propomos uma estrutura, nível e data de início em até 48 horas. Você decide o que se encaixa.
A maioria dos engajamentos começa em até duas semanas após o acordo. Coberturas interinas urgentes podem começar em poucos dias, conforme o escopo e a disponibilidade acordada.
CISO Virtual: perguntas frequentes
O que é um CISO Virtual (vCISO)?
Um CISO Virtual assume a função de Chief Information Security Officer, ou de Information Security Officer, sem ser funcionário da empresa. Ele gerencia o programa de segurança da informação, reporta riscos à diretoria e conduz a conformidade regulatória, em regime de contrato e com a dedicação que a operação realmente precisa. O serviço também é chamado de CISO as a Service, CISO terceirizado ou CISO fracionado.
Quanto custa um CISO Virtual?
Não trabalhamos com tabela fixa. O valor depende do porte e da complexidade da empresa, da carga regulatória do setor, do nível de cobertura (ISO ou CISO), do formato do contrato e da maturidade atual do programa de segurança. Depois de uma conversa inicial de 30 minutos, enviamos uma proposta de escopo e valor em até 48 horas. Explicamos cada fator no guia CISO Virtual: o que define o preço e como funciona o contrato.
Qual é o prazo mínimo de contrato?
Três meses. Depois desse período, o engajamento pode seguir como contrato contínuo em regime fracionado, com dias fixos por mês, ou terminar com uma entrega organizada para um CISO interno ou para a sua equipe.
Qual a diferença entre CISO interino e CISO fracionado?
O CISO interino tem prazo definido: cobre uma saída, monta a função de segurança pela primeira vez ou conduz um projeto ou auditoria específica. O CISO fracionado é contínuo, com dias reservados todo mês para reuniões de diretoria e auditoria, gestão de fornecedores de segurança e evolução do programa.
Um vCISO substitui um CISO interno?
Pode assumir as mesmas responsabilidades estratégicas de um CISO interno. O escopo, a autoridade e a dedicação ficam definidos em contrato, e a dedicação é dimensionada ao que a operação exige. Se o modelo é suficiente depende da complexidade e dos riscos da empresa. Muitas empresas começam com um vCISO fracionado e contratam um CISO interno quando atingem escala, com o vCISO apoiando a transição e a transferência de conhecimento.
O que está incluído no serviço de vCISO?
O escopo é definido em contrato e inclui governança, gestão de riscos, conformidade, coordenação de fornecedores e acompanhamento das medidas de segurança. Monitoramento contínuo, testes de intrusão, resposta a incidentes e auditorias independentes são contratados à parte, e o vCISO coordena esses serviços quando necessário.
O vCISO pode ser também o encarregado (DPO) da LGPD?
São funções diferentes. O encarregado é o canal de comunicação entre a empresa, os titulares de dados e a ANPD; o vCISO responde pelo programa de segurança. A Resolução CD/ANPD 18/2024 permite que o encarregado seja pessoa física ou jurídica, interna ou externa, e que acumule outras funções desde que não haja conflito de interesse. Por isso, a combinação dos dois papéis precisa ser avaliada caso a caso. Se a sua empresa precisa das duas funções, conte isso na conversa inicial e indicamos a estrutura mais adequada.
Quem responde legalmente pela conformidade?
A responsabilidade legal pela conformidade e pela proteção de dados continua com a sua organização, que é a controladora. Por isso o contrato do vCISO deve definir com precisão o escopo, os limites de responsabilidade e a cobertura de seguro profissional. Recomendamos revisão jurídica independente antes da assinatura.
Vocês atendem empresas fora de São Paulo?
Sim. Nossa sede no Brasil fica em São Paulo e atendemos empresas em todo o país. Como também temos escritórios no Reino Unido e nos Países Baixos, apoiamos empresas brasileiras com operações na Europa que precisam cumprir a NIS2 ou o DORA além da LGPD.
Para aprofundar: preço e modelos de contrato de um vCISO e o guia de liderança virtual de TI e segurança.
Pronto para conversar?
Diga-nos o que precisa cobrir. Confirmaremos se somos o parceiro certo e apresentaremos uma estrutura de engajamento em até 48 horas.