Matriz de controles por norma
Cada controle da LGPD, da ISO 27001, do PCI DSS, do SOC 2 ou da Resolução CMN 4.893 com seu responsável, seu status e sua evidência, em uma única visão.
O Neo responde às perguntas frequentes sobre conformidade e LGPD
GRC significa governança, risco e conformidade (em inglês, governance, risk and compliance): as três frentes que uma empresa precisa organizar para passar em uma auditoria. Governança são as políticas e os responsáveis; risco é o que pode dar errado e como se trata; conformidade é a prova de que os controles existem e funcionam. O TecnetGRC, da TecnetOne, reúne as três em uma única plataforma, organizada por norma: LGPD, ISO 27001, PCI DSS, SOC 2 e Resolução CMN 4.893.
Conformidade em cibersegurança é demonstrar, com evidências, que a empresa aplica os controles de segurança exigidos por uma norma, uma lei ou um cliente, como a LGPD, a ISO 27001, o PCI DSS ou o SOC 2. Envolve avaliar riscos, implementar controles, documentar políticas e guardar a prova de que cada controle funciona, para que um auditor possa verificá-la.
Adequação à LGPD é o processo de ajustar o tratamento de dados pessoais da empresa ao que exige a Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018). Inclui mapear quais dados são tratados e com qual base legal, atualizar políticas e contratos, indicar o encarregado (DPO) e manter evidências de que as medidas de segurança funcionam. No TecnetGRC, cada exigência da LGPD vira um controle com responsável, status e evidência.
DPO as a Service é a contratação do encarregado pelo tratamento de dados pessoais (DPO, Data Protection Officer) como um serviço externo, no lugar de um cargo interno. A LGPD prevê que o controlador indique um encarregado para ser o canal de comunicação com os titulares dos dados e com a ANPD (Autoridade Nacional de Proteção de Dados) e para orientar os colaboradores sobre as práticas de proteção de dados. A TecnetOne oferece esse papel como serviço, conectado ao programa de adequação que você acompanha no TecnetGRC.
Preparamos. A certificação ISO 27001 é emitida por um organismo certificador acreditado, e o relatório SOC 2, por uma firma de auditoria independente. A TecnetOne prepara e acompanha a sua empresa para que ela chegue a essa auditoria com as evidências prontas.
A ISO 27001 certifica um sistema de gestão de segurança da informação (SGSI) segundo um padrão internacional e é comum entre clientes no Brasil, na Europa e na América Latina. O SOC 2 é um relatório de asseguração baseado nos critérios do AICPA, mais pedido quando os clientes são empresas dos Estados Unidos. Muitas empresas começam pela que os clientes pedem; como os controles se sobrepõem, a segunda exige menos trabalho.
Depende de onde a sua empresa parte: quantos controles já cobre, quanta documentação existe e quanto tempo a equipe pode dedicar. O diagnóstico inicial mostra as lacunas e, a partir dele, definimos um cronograma realista para o seu caso.
A Resolução CMN nº 4.893, de 26 de fevereiro de 2021, do Conselho Monetário Nacional, define a política de segurança cibernética e os requisitos para a contratação de serviços de processamento e armazenamento de dados e de computação em nuvem que as instituições autorizadas a funcionar pelo Banco Central do Brasil devem cumprir. No TecnetGRC, os requisitos da resolução viram controles com responsável e evidência, e acompanhamos as empresas do setor financeiro nessa adequação.
Atende à mesma necessidade com outro modelo. Vanta e Drata são softwares que automatizam a coleta de evidências. O TecnetGRC combina a plataforma com uma equipe que conhece a sua operação e com o monitoramento 24/7 do TecnetSOC, que gera evidências de forma contínua. Na ISO 27001, você também conta com um especialista que acompanha a preparação.
Sim. O TecnetGRC faz parte do TecnetSOC e não é contratado separadamente. A razão é prática: boa parte dos controles que as normas pedem, como monitoramento, detecção e resposta, é coberta pelo próprio serviço, e assim proteção e conformidade saem do mesmo lugar e do mesmo fornecedor.