Governança de Segurança da Informação e Privacidade — ISO/IEC 27001 e ISO/IEC 27701
Clientes, investidores e reguladores exigem cada vez mais que a sua empresa comprove, e não apenas declare, que protege informações e dados pessoais. A certificação ISO/IEC 27001 é o padrão internacional para essa comprovação em segurança da informação, e a ISO/IEC 27701 estende essa garantia à privacidade, com requisitos alinhados à LGPD e ao GDPR.
A RV3 conduz o projeto de ponta a ponta: avalia a maturidade atual, estrutura a governança, implementa os controles técnicos e organizacionais, prepara a equipe e acompanha a auditoria de certificação. Como também operamos infraestrutura e segurança, os controles saem do papel e funcionam no ambiente real.
Para quem é
Como trabalhamos
|
Fase |
O que acontece |
Principais entregáveis |
|
1. Diagnóstico (gap analysis) |
Avaliação de maturidade contra as cláusulas 4 a 10 da ISO/IEC 27001, os 93 controles do Anexo A e os requisitos da ISO/IEC 27701 e da LGPD |
Relatório de lacunas, nível de maturidade, roadmap e estimativa de esforço |
|
2. Contexto e governança |
Definição do escopo, partes interessadas, papéis e responsabilidades, comitê de segurança e privacidade |
Escopo do SGSI/SGPI, PSI, política de privacidade, matriz RACI |
|
3. Riscos e privacidade |
Metodologia de riscos (ISO/IEC 27005), inventário de ativos, mapeamento de dados pessoais |
Análise e plano de tratamento de riscos, SoA, ROPA, RIPD |
|
4. Implementação de controles |
Políticas, procedimentos e controles técnicos (acessos, criptografia, logs, backup, fornecedores, desenvolvimento seguro, resposta a incidentes) |
Normas e procedimentos, evidências de controle, plano de resposta a incidentes, BIA e PCN/PRD (ISO 22301) |
|
5. Pessoas |
Conscientização de colaboradores e capacitação dos responsáveis pelo sistema |
Programa de treinamento, registros de participação |
|
6. Verificação |
Indicadores, auditoria interna independente e análise crítica pela direção |
Painel de indicadores, relatório de auditoria interna, ata da análise crítica, ações corretivas |
|
7. Certificação |
Apoio na escolha do organismo certificador acreditado e acompanhamento das auditorias de Estágio 1 e Estágio 2 |
Tratamento de não conformidades, certificado |
|
8. Manutenção contínua |
Operação do sistema de gestão, preparação para auditorias de manutenção anuais e recertificação trienal |
Relatórios periódicos, revisão de riscos, auditorias internas anuais |
Modalidades de contratação
|
Modalidade |
Escopo |
Indicada para |
|
Diagnóstico de Maturidade |
Fase 1 |
Quem quer entender o esforço antes de decidir |
|
Implementação até a Certificação |
Fases 1 a 7 |
Quem tem prazo ou exigência contratual de certificação |
|
Governança Contínua (CISO e DPO as a Service) |
Fase 8, mais encarregado (DPO) terceirizado e gestão de incidentes de privacidade |
Empresas certificadas ou sem estrutura interna de governança |
|
Auditoria Interna |
Auditoria independente do SGSI/SGPI |
Empresas certificadas que precisam de auditor independente da equipe de implementação |
|
Adequação à LGPD |
ROPA, RIPD, bases legais, direitos dos titulares, contratos com operadores, comunicação de incidentes |
Empresas que ainda não buscam certificação |
