Respostas diretas para as suas dúvidas.

Estruturamos nosso portfólio em quatro pilares estratégicos:

Segurança Cibernética (Cybersecurity): Avaliações de risco (Risk Assessments), testes de intrusão (Pentests), desenho de frameworks de segurança, gestão de identidade e acesso (IAM), resposta a incidentes e programas de conscientização corporativa.

Gestão e Operações de TI: Planejamento estratégico de TI, arquitetura de infraestrutura em nuvem (Azure, AWS, GCP, Microsoft 365), reestruturação de Service Desks, gestão de fornecedores de tecnologia, otimização contínua de custos de nuvem, além de estratégias de backup e recuperação de desastres (DRP).

Inteligência Artificial (IA): Avaliação de prontidão tecnológica (AI Readiness), mapeamento de casos de uso com ROI claro, automação de processos via IA, implementação segura do Microsoft Copilot e desenho de políticas de governança e proteção de dados para IA.

Auditorias e Conformidade Legal: Preparação integral para a certificação ISO 27001, adequação à LGPD (e suporte consultivo de DPO), conformidade com padrões internacionais (GDPR, PCI DSS, DORA, NIS2) e auditorias internas contínuas.

Oferecemos ambas as modalidades de contratação. Dependendo do momento da sua empresa, podemos atuar em formato de consultoria estratégica de escopo fechado (entregando diagnósticos, gap analysis e roadmaps de remediação) ou assumir a execução prática e o gerenciamento contínuo da sua TI e segurança operacional. Não empurramos contratos recorrentes se o que você precisa é de uma solução pontual. Avaliamos e recomendamos o modelo ideal para a maturidade atual do seu negócio.

Sim. Nossa equipe de resposta a incidentes cibernéticos está preparada para atuar em caráter de urgência no suporte a contenções de ataques, análise forense digital e recuperação de ambientes comprometidos (como incidentes de Ransomware). Também auxiliamos empresas a criarem playbooks de resposta a incidentes e a realizarem simulações práticas de mesa (tabletop exercises) para que o time saiba exatamente como agir sob pressão.

Caso sua organização esteja sofrendo um ataque cibernético ativo neste exato momento, entre em contato imediatamente por nossos canais diretos para priorização da chamada.

Sim. Atendemos desde pousadas independentes até redes com dezenas de unidades, em qualquer estado, com trabalho majoritariamente remoto e visitas presenciais quando o escopo exige, como auditorias físicas ou segmentação de rede. Conhecemos os sistemas visados na hotelaria: PMS, motor de reservas, channel manager, Wi-Fi de hóspedes e os meios de pagamento, incluindo golpes com Pix em reservas.

Veja a página de cibersegurança para hotelaria, o Relatório de Risco de Segurança Cibernética de Hotéis 2026 e o artigo sobre LGPD para hotéis.

Sim. Atuamos como CISO Virtual (vCISO) e como Gerente de TI Virtual, assumindo a liderança do programa de segurança ou de TI sem a sua empresa precisar contratar um executivo de tempo integral. Existem dois formatos de contrato: interim, de prazo definido, para cobrir uma lacuna ou conduzir um projeto específico, e fracionado, contínuo, com dias fixos reservados por mês para supervisão permanente e relatórios à diretoria.

Veja a página de CISO Virtual e Gerente de TI Virtual e o artigo sobre o que define o preço de um vCISO e como funciona o contrato.

Com certeza. Cobrimos toda a jornada necessária para a conquista e manutenção da ISO 27001:2022. Realizamos a análise inicial de lacunas (Gap Analysis), avaliação estruturada de riscos, desenho e implementação dos controles técnicos e organizacionais necessários, redação de políticas, execução da auditoria interna obrigatória e o acompanhamento completo durante os Estágios 1 e 2 da auditoria externa conduzida pelo organismo certificador. Não entregamos uma pasta cheia de templates genéricos para você tentar resolver sozinho; nós executamos o projeto lado a lado com o seu time.

Tratamos a privacidade e a proteção de dados como processos que devem ser organicamente incorporados à operação do negócio, recusando abordagens superficiais de "marcar caixas". Nosso escopo de adequação engloba o mapeamento completo dos fluxos de dados, estruturação do Registro de Operações de Tratamento (RoPA), elaboração de Relatórios de Impacto à Proteção de Dados (RIPD/DPIA), revisão de contratos e termos legais, desenho de fluxos para atendimento aos direitos dos titulares de dados e suporte consultivo especializado focado na função do Encarregado de Dados (DPO).

A Resolução CD/ANPD nº 15/2024 fixa o prazo de 3 dias úteis, contados do conhecimento do incidente, para comunicar à ANPD e aos titulares afetados qualquer incidente que possa acarretar risco ou dano relevante. A comunicação é feita pelo formulário eletrônico da ANPD e deve descrever a natureza dos dados, os titulares envolvidos, as medidas técnicas adotadas e os riscos relacionados. Agentes de tratamento de pequeno porte contam com o prazo em dobro, de 6 dias úteis.

Além da LGPD, instituições financeiras precisam comunicar incidentes relevantes ao Banco Central, e empresas que processam cartões precisam avisar o adquirente e as bandeiras. Nosso serviço de preparação para incidentes monta o fluxo de decisão e os modelos de comunicação antes que o problema aconteça.

Sim. A Resolução CD/ANPD nº 2/2022 criou um regime diferenciado para agentes de tratamento de pequeno porte: microempresas, empresas de pequeno porte, startups e pessoas jurídicas sem fins lucrativos. Esses agentes ficam dispensados de indicar um encarregado (DPO), embora precisem manter um canal de comunicação com os titulares, podem manter o registro de operações de forma simplificada e têm prazos em dobro em várias obrigações, incluindo a comunicação de incidentes. O regime não vale para quem realiza tratamento de alto risco, como dados sensíveis em larga escala.

Mesmo no regime simplificado, as bases legais, os direitos dos titulares e as medidas de segurança continuam obrigatórios. Fazemos a adequação proporcional ao porte da empresa, sem impor a estrutura de uma grande corporação. Veja também nosso guia de conformidade com a LGPD.

O arcabouço principal é a Resolução CMN nº 4.893/2021 (bancos, financeiras e demais instituições autorizadas pelo CMN) e a Resolução BCB nº 85/2021 (instituições de pagamento, corretoras e distribuidoras). Em dezembro de 2025, as Resoluções CMN nº 5.274/2025 e BCB nº 538/2025 atualizaram essas normas com um conjunto de controles mínimos obrigatórios, entre eles autenticação multifator para acessos administrativos, criptografia, prevenção e detecção de intrusão, prevenção contra vazamento de dados, trilhas de auditoria completas, gestão de vulnerabilidades e teste de intrusão anual conduzido por profissional ou empresa independente, com resultados e planos de ação documentados e mantidos por cinco anos. As instituições já em operação tiveram até 1º de março de 2026 para se adequar.

A CVM aplica exigências próprias às entidades sob sua supervisão. Mapeamos os controles exigidos, executamos o pentest independente e montamos o pacote de evidências para inspeção. Saiba mais na página do setor financeiro.

Sim. Oferecemos um serviço especializado de simulação de prontidão para auditorias (Pre-Audit Readiness), onde reproduzimos exatamente os testes, requisições de evidências e entrevistas que os auditores reais realizarão no seu ambiente.

Dados globais de governança indicam que mais de 70% das organizações enfrentam dificuldades ou reprovações em auditorias de conformidade por conta de lacunas puramente documentais, falhas operacionais e falta de evidências históricas estruturadas, e não necessariamente por falta de ferramentas técnicas. Nosso trabalho é corrigir essas falhas de processos antes que o auditor externo inicie a validação oficial.

A NIS2 é a diretiva atualizada de segurança de redes e informações da União Europeia, em vigor desde janeiro de 2023, com prazo de transposição para as leis nacionais em 17 de outubro de 2024. Vários Estados-Membros transpuseram a diretiva com atraso. Ela impõe requisitos severos de gestão de riscos cibernéticos, relatórios obrigatórios de incidentes e segurança rigorosa na cadeia de suprimentos para setores de infraestrutura crítica, finanças e tecnologia.

Para empresas localizadas no Brasil, a NIS2 se aplica diretamente às filiais e subsidiárias que operam na UE em setores cobertos. Se sua empresa só fornece a companhias europeias em escopo, a diretiva chega de forma indireta, pelos contratos: o art. 21(2)(d) obriga seus clientes a gerir a segurança da cadeia de fornecimento, e eles repassam essas exigências aos fornecedores. O não cumprimento pode travar contratos comerciais internacionais. Apoiamos sua empresa a diagnosticar se há essa exposição jurídica e a adequar os controles necessários de forma ágil.

O Marco Civil da Internet (Lei 12.965/2014) é a lei brasileira que estabelece os princípios, garantias, direitos e deveres para o uso da internet no país. Antecede a LGPD e trata de temas diferentes: neutralidade de rede, responsabilidade civil de provedores de conexão e de aplicação, e obrigações de guarda de registros. Provedores de conexão devem manter registros de conexão por 1 ano, e provedores de aplicação devem manter registros de acesso a aplicações por 6 meses, ambos sob sigilo e mediante ordem judicial para acesso por terceiros.

Em relação à responsabilidade por conteúdo de terceiros, o art. 19 do Marco Civil previa que provedores de aplicação só respondiam civilmente se descumprissem ordem judicial de remoção. Em junho de 2025, o STF (Temas 987 e 533) declarou o artigo parcialmente inconstitucional. Até que o Congresso legisle, a regra passou a ser a responsabilidade após notificação extrajudicial para a maior parte dos conteúdos ilícitos. A ordem judicial continua exigida para crimes contra a honra, e há dever de cuidado para conteúdos graves, como terrorismo, ataques à democracia e abuso infantil, além de presunção de responsabilidade por anúncios e impulsionamentos pagos. A LGPD trata do tratamento de dados pessoais em si; o Marco Civil trata da infraestrutura, dos registros e da responsabilidade da internet como serviço. As duas leis se aplicam em conjunto para qualquer empresa com operação digital no Brasil. Nossa equipe de auditorias e compliance mapeia as obrigações de guarda de registros e responsabilidade que se aplicam à sua operação.

Trabalhamos estritamente sob o modelo de contratos com escopo fechado e preço fixo, estabelecendo entregáveis claros e cronogramas previsíveis antes de iniciarmos qualquer atividade técnica. Dessa forma, eliminamos surpresas no meio do percurso, cobranças adicionais ocultas ou a oscilação de valores baseada em taxas diárias indefinidas.

Não forçamos a contratação de pacotes mensais ou retentores desnecessários. Se a sua empresa demanda uma auditoria de segurança pontual, o contrato cobrirá estritamente essa entrega. Caso faça sentido estratégico para a sua operação contar com nosso suporte gerenciado de longo prazo, desenharemos um modelo recorrente sob medida para a sua infraestrutura.

Como referência de mercado, a adequação à LGPD para uma PME fica entre R$ 5.000 e R$ 15.000, um pentest entre R$ 5.000 e R$ 30.000 conforme o escopo e um projeto completo de certificação ISO 27001 entre R$ 30.000 e R$ 90.000 no primeiro ano. As perguntas a seguir detalham cada faixa.

Para uma pequena ou média empresa, um projeto de adequação à LGPD costuma ficar entre R$ 5.000 e R$ 15.000, cobrindo o mapeamento de dados, as bases legais, as políticas, os contratos com fornecedores e o fluxo de atendimento aos titulares. Empresas maiores, com dados sensíveis, muitos sistemas ou operação em vários estados, devem prever de R$ 20.000 a R$ 80.000. O suporte contínuo, como encarregado (DPO) como serviço e revisões periódicas, parte de cerca de R$ 1.900 por mês.

Esses valores são referências do mercado brasileiro. Após a conversa inicial, enviamos uma proposta com preço fechado para o seu escopo. Veja também o guia de conformidade com a LGPD.

Um teste externo focado em uma pequena empresa fica entre R$ 5.000 e R$ 15.000. Um teste de aplicação web de médio porte fica entre R$ 12.000 e R$ 30.000. Projetos maiores, exercícios de red team ou testes com engenharia social e componente físico começam em torno de R$ 50.000. O valor depende do escopo, da abordagem (black box, grey box ou white box) e do nível de relatório exigido, por exemplo para PCI DSS ou para o Banco Central.

Desconfie de varreduras automatizadas vendidas como pentest: a ferramenta encontra vulnerabilidades conhecidas, mas só o teste manual mostra o que um invasor consegue fazer com elas. Nosso guia sobre testes de penetração explica as diferenças.

Diferente de um pentest ou de um projeto de certificação ISO 27001, que têm escopo fechado e uma faixa de preço razoavelmente previsível, um vCISO é um cargo, não uma entrega única. O custo varia com o tamanho da empresa, a carga regulatória do setor, o nível de cobertura necessário e se o contrato é interim ou fracionado, o que torna qualquer faixa genérica pouco confiável. O caminho mais rápido é descrever o seu cenário: enviamos uma proposta de escopo e estrutura em até 48 horas.

Veja o detalhamento completo dos fatores que determinam o custo no artigo CISO Virtual: o que define o preço e como funciona o contrato.

O prazo varia conforme a abrangência do escopo técnico acordado. Avaliações direcionadas e focadas, como diagnósticos de prontidão para IA, gap analysis de conformidade ou auditorias de segurança cibernética, duram normalmente entre duas e quatro semanas.

Projetos estruturais completos, como a implementação de ponta a ponta do SGSI para certificação ISO 27001, grandes migrações e reforço da arquitetura em nuvem ou desenvolvimento de governança de IA em larga escala, demandam entre três e seis meses de execução. Todos os marcos de entregas são detalhados graficamente em nossa proposta comercial.

Atendemos principalmente empresas de 50 a 5.000 funcionários em que a tecnologia é crítica para o negócio. Ajustamos o escopo e a metodologia ao seu orçamento, à escala da operação e aos seus objetivos.

Após o envio da sua mensagem através do nosso formulário ou canais de contato, respondemos em até 1 dia útil. Agendamos uma conversa de alinhamento técnico inicial, com duração aproximada de 30 a 45 minutos, para compreendermos detalhadamente suas necessidades, os desafios do seu cenário atual e suas metas operacionais.

Com base nessa sessão técnica, desenhamos e enviamos uma proposta comercial clara e sem termos genéricos, discriminando escopo, fases de entrega e investimento. Sem jargões de vendas ou pressão comercial. Caso identifiquemos que a Cyvra não é o parceiro ideal para a sua demanda específica, informaremos de forma direta e buscaremos indicar alternativas de mercado qualificadas para atendê-lo.

Na Cyvra, você interage e desenvolve todo o projeto diretamente com consultores seniores do início ao fim. Não adotamos a prática tradicional do mercado de enviar diretores experientes para a reunião comercial e, logo após o contrato assinado, delegar a engenharia técnica e o atendimento diário para profissionais juniores ou gerentes de contas puramente comerciais. Os especialistas que alinham o escopo inicial com você são os mesmos consultores que executam o trabalho e respondem pela entrega.

Montar um departamento interno contendo especialistas de ponta em segurança cibernética avançada, arquitetos de nuvem certificados, auditores de conformidade e engenheiros de governança de IA é uma operação com custo de contratação massivo e de altíssima escassez no mercado global de talentos.

Ao contratar a Cyvra, sua empresa tem acesso a consultores seniores de várias áreas pelo período e escopo de que precisa, sem custos de recrutamento, longos períodos de integração (onboarding) ou encargos trabalhistas fixos depois das entregas. Somos independentes de fornecedores (vendor agnostic): nossas recomendações visam a segurança e a eficiência da sua operação, sem comissão pela venda de softwares.