Avaliação de Cibersegurança
Descubra exatamente como está a segurança da sua empresa.
Uma avaliação estruturada do seu ambiente de TI e segurança, entregue como relatório escrito e plano de ação priorizado. Remoto ou presencial. Adaptado ao seu setor e às suas obrigações de conformidade.
O ponto de partida
As mesmas lacunas estão por trás da maioria dos incidentes.
Antes de corrigir qualquer coisa, precisamos saber onde o seu programa de segurança realmente está. Estas são as lacunas que encontramos em praticamente todas as avaliações.
Sem visibilidade completa
Você não pode proteger o que não sabe que tem. Dispositivos não gerenciados, aplicativos SaaS esquecidos e dados não classificados são as fontes mais comuns de exposição a violações, e as mais difíceis de identificar sem uma avaliação dedicada.
Controles que existem apenas no papel
Políticas, MFA e backups: documentados e implantados, mas nunca testados. Documentação de conformidade sem verificação cria uma falsa sensação de segurança enquanto as lacunas reais permanecem abertas. Auditores e invasores percebem isso.
Sem ponto de partida claro
Quando uma equipe de TI reserva tempo para segurança, o primeiro problema é saber o que abordar primeiro. Sem uma linha de base, o esforço vai para problemas visíveis ou familiares enquanto as lacunas críticas permanecem abertas.
Sem estratégia de segurança
Ferramentas de segurança sem estratégia são ruído caro. A maioria das empresas acumula proteção de endpoint, filtragem de e-mail e MFA sem nunca definir o que estão protegendo, em que ordem de prioridade e com quais recursos. Uma estratégia responde isso.
Sem mapeamento de framework de conformidade
LGPD, ISO 27001, PCI DSS: as regulamentações que se aplicam à sua empresa não esperam que você as perceba. A maioria das organizações descobre a lacuna durante uma auditoria de cliente, um questionário de seguradora ou um incidente. A avaliação mapeia suas obrigações antes que isso aconteça.
Políticas que nunca foram testadas
Um plano de resposta a incidentes, um procedimento de backup, uma política de senhas: tudo documentado, tudo não testado. A lacuna entre o que a política diz e o que realmente acontece sob pressão é o risco mais consistentemente subestimado que encontramos.
Escopo da avaliação
Seis áreas. Cada uma um ponto cego em potencial.
Trabalhamos cada área por meio de entrevistas estruturadas e revisão de documentação. A profundidade por área se adapta ao seu setor, porte e às obrigações de conformidade que se aplicam a você.
Área 01
Gerenciamento de Identidade e Acesso
Quem tem acesso a quais sistemas e em qual nível de permissão. Verificamos a cobertura de MFA, avaliamos contas expiradas e compartilhadas e identificamos escalação desnecessária de privilégios, incluindo acesso administrativo e contas de serviço.
Área 02
Rede e Infraestrutura
O que você expõe à internet, como sua rede interna é segmentada e se as regras de firewall, configurações de DNS e acesso remoto correspondem à sua política de segurança pretendida. Portas de gerenciamento abertas e redes planas sem controles leste-oeste são descobertas comuns.
Área 03
Endpoints e Segurança de Dispositivos
Quais dispositivos se conectam ao seu ambiente, seu status de patch e configuração, e se dispositivos não gerenciados ou pessoais criam lacunas que a sua ferramenta atual de endpoint não detecta. Dispositivos BYOD e de terceiros são consistentemente uma fonte de pontos cegos.
Área 04
Classificação de Dados e Conformidade
Quais dados pessoais e sensíveis você armazena, onde estão localizados, como são protegidos e quais frameworks se aplicam: LGPD, ISO 27001 ou PCI DSS. Mapeamos sua posição atual em relação a cada padrão aplicável, incluindo as obrigações de notificação da ANPD.
Área 05
Prontidão para Resposta a Incidentes
Se você tem um plano de resposta testado, backups verificáveis e recuperáveis, um procedimento de notificação de violação de dados à ANPD e caminhos de escalonamento claros para as primeiras horas de um incidente. Testamos o plano em relação ao ambiente real, não apenas ao documento.
Área 06
Risco de Terceiros e Cadeia de Fornecedores
Quais fornecedores têm acesso aos seus sistemas ou dados, quais requisitos de segurança você exige deles e se seus contratos e acordos de processamento de dados refletem sua exposição real. Ataques à cadeia de fornecedores estão entre os três tipos de violação mais comuns atualmente.
Como funciona
Da primeira conversa ao roadmap em quatro etapas.
A avaliação acontece de forma remota ou presencial, conforme sua preferência. A maioria das organizações conclui o processo em duas a três semanas após a conversa inicial.
1
Etapa um
Conversa inicial
30 minutos. Mapeamos seu ambiente, setor, tamanho da equipe e o que você quer proteger. Adaptamos a avaliação à sua organização, não a um modelo genérico.
2
Etapa dois
Avaliação
Um a dois dias. Entrevistas estruturadas, revisão de documentação e configuração, e coleta de evidências nas seis áreas. Workshops remotos ou visita presencial.
3
Etapa três
Relatório escrito
Descobertas por área de avaliação, classificadas por probabilidade e impacto. Cada descoberta inclui o que encontramos, por que isso importa e o que fazer a respeito. Sem jargão técnico desnecessário.
4
Etapa quatro
Roadmap e apresentação
Um plano de ação priorizado que sua equipe de TI ou liderança pode executar imediatamente. Apresentamos as descobertas e próximos passos com a sua liderança em uma reunião de encerramento.
O que você recebe
Dois documentos com os quais você pode agir imediatamente.
O resultado é prático, não decorativo. Sua equipe de TI pega o roadmap e começa. Sua liderança lê o relatório sem precisar de formação técnica em segurança.
Entrega 1
Relatório de Avaliação de Segurança
Um documento escrito cobrindo todas as seis áreas de avaliação. Cada seção inclui o que encontramos, a classificação de risco e a justificativa. Escrito tanto para o leitor técnico quanto para o membro da liderança que quer entender a exposição sem conhecimento técnico aprofundado.
Descobertas cobrindo as seis áreas de avaliação
Classificação de risco por probabilidade e impacto no negócio
Mapeamento de gaps de conformidade (LGPD, ISO 27001, PCI DSS)
Escrito para equipes técnicas e membros da liderança
Entrega 2
Roadmap de Cibersegurança Priorizado
Um roadmap de cibersegurança estruturado: o que abordar primeiro, qual esforço isso exige e quais riscos cada ação fecha. Organizado para gerar o maior impacto cedo, independentemente do orçamento. Sua equipe de TI pega o roadmap e começa imediatamente.
Ações classificadas por redução de risco e esforço de implementação
Adaptado ao seu orçamento, equipe e contexto de conformidade
Ganhos rápidos separados dos itens de programa de longo prazo
Pronto para ser entregue à sua equipe de TI ou parceiro externo de execução
O que diferencia a Cyvra
Toda empresa é atacada eventualmente. As que se recuperam rápido se prepararam antes.
A maioria das empresas de cibersegurança foca inteiramente na prevenção. Prevenção importa, e investimos muito nisso. Mas as empresas que sofrem menos danos em um incidente não são as que têm mais ferramentas. São as que construíram um plano de prontidão antes de precisar.
Toda avaliação que realizamos inclui uma revisão de prontidão para incidentes. Onde existem lacunas, construímos o plano. Isso significa que sua equipe sabe exatamente o que fazer na primeira hora de um incidente: quem liga para quem, o que comunicar e para quem, e com que rapidez você pode voltar a operar.
Sem um plano de resposta, o tempo médio para identificar uma violação é de 194 dias. Com um procedimento testado, o mesmo incidente é contido em horas.
O que um plano de prontidão para incidentes cobre
Playbook de resposta passo a passo
Procedimentos documentados para os tipos de incidente mais prováveis: ransomware, violação de dados, comprometimento de contas e ataque à cadeia de fornecedores.
Caminhos de escalonamento e listas de contato
Quem liga para quem, em qual ordem, a qualquer hora. Liderança, TI, jurídico, seguradoras e reguladores: tudo definido antes do incidente.
Prazos de notificação regulatória
A LGPD exige notificação à ANPD em prazo razoável (conforme orientação da ANPD, em até 2 dias úteis). Documentamos suas obrigações para que você não precise pesquisá-las durante um incidente ativo.
Procedimentos de backup e recuperação verificados
Metas de RTO e RPO documentadas, procedimentos de restauração testados e verificação de backups imutáveis. Testado, não presumido.
Comunicações pré-elaboradas
Avisos internos a funcionários, notificações de violação a titulares de dados, declarações à ANPD e notas à imprensa: elaboradas e aprovadas antes que um incidente obrigue você a escrevê-las sob pressão.
Esta avaliação é para você?
Você provavelmente precisa desta avaliação se…
Estas são as oito situações que ouvimos com mais frequência das organizações que chegam até nós. Uma delas já é suficiente. Várias juntas significam que a avaliação deveria ter sido feita há mais tempo.
Sua última revisão formal de segurança foi há mais de 12 meses, ou nunca aconteceu.
Você não tem um inventário confirmado e completo dos seus sistemas, dispositivos e dados.
MFA não está verificado em todas as contas de funcionários e no acesso a sistemas críticos.
Você tem backups, mas não testou uma restauração nos últimos seis meses.
Você não tem certeza de quais regulamentações se aplicam à sua empresa: LGPD, ISO 27001, PCI DSS ou requisitos setoriais.
Um cliente, seguradora ou parceiro pediu evidências dos seus controles de segurança e você não sabe o que enviar.
Você teve um incidente de segurança ou uma quase-falha e não entende completamente como aconteceu.
A segurança é tratada de forma reativa pela sua equipe de TI: recebe atenção após incidentes, mas raramente recebe tempo agendado ou orçamento dedicado.
Pronto para começar
Agende uma conversa para iniciar sua avaliação.
Conte-nos sobre o seu ambiente e explicamos como a avaliação funciona, como ela acontece e o que você terá em mãos ao final.