Segurança que se projeta, se mede e se sustenta.

Avaliação do estado atual frente a referenciais reconhecidos, contrastada com o nível esperado para uma organização do mesmo porte, setor e perfil de risco. É a linha de base sobre a qual se constrói todo o resto.

Não exige testes intrusivos. O foco está em como a organização opera: processos, responsabilidades, controles existentes e evidências disponíveis.

• Nível de maturidade atual e objetivo alcançável em 12 meses
• Lacunas identificadas e classificadas por risco
• Carteira de iniciativas priorizadas com esforço estimado
• Material executivo para apresentação ao conselho ou comitê

É o eixo que dá nome à marca. Definimos como a segurança deve ficar: quais controles devem existir, onde ficam dentro da rede e dos sistemas, quem os opera e como se verifica que funcionam. Aplica-se tanto ao projeto de uma plataforma nova quanto ao redesenho de uma que já está em produção.

A abordagem é prática. Trabalha-se sobre a infraestrutura que a organização realmente tem —a rede, os sistemas e os processos existentes— e não sobre um modelo de referência que depois ninguém consegue implementar.

• Arquitetura-alvo e modelo de controles por domínio
• Segmentação de rede e projeto de zonas de segurança
• Diretrizes e padrões técnicos internos
• Arquitetura de integração e exposição de serviços
• Revisão de segurança de projetos e iniciativas novas
• Ciclo de vida tecnológico: obsolescência e dívida técnica
• Requisitos de segurança para integração com terceiros

Revisão estruturada de cada obrigação estabelecida pela lei e pelas instruções da ANCI, com determinação do estado de cumprimento e da evidência que o sustenta. Se a organização puder ser qualificada como Operador de Importância Vital, avalia-se também o padrão reforçado aplicável a esse grupo.

• Governança, papéis e atribuição formal de responsabilidades
• Inventário de ativos e processo de gestão de riscos
• Controle de acessos, segmentação e gestão de vulnerabilidades
• Monitoramento, detecção e tratamento de incidentes
• Backups, continuidade operacional e gestão de fornecedores
• Procedimento de notificação de incidentes à ANCI

O escopo excede em muito a política de privacidade. O trabalho começa por levantar quais dados pessoais a organização trata, onde residem, com qual finalidade são utilizados e sob qual base legal. Esse registro costuma ser a primeira lacuna, porque na maioria dos casos não existe.

Em seguida entra o operacional: que o consentimento seja demonstrável e que exista um fluxo real, com responsáveis e prazos, para atender às solicitações dos titulares.

• Inventário de dados pessoais e registro de atividades de tratamento
• Finalidade e base legal de cada tratamento
• Consentimento demonstrável, cookies e plataforma de gestão (CMP)
• Direitos ARSOP: fluxos, responsáveis e controle de prazos
• Retenção, operadores de tratamento e transferências internacionais
• Avaliação de impacto (DPIA) quando cabível

A preparação define o que deve ser cumprido. Esta linha entrega o onde fica registrado: uma plataforma própria, personalizável para cada organização, que sustenta a operação diária da Lei 21.719 e deixa evidência datada de cada decisão.

O ponto não é ter um banner de cookies. É que, diante de uma exigência da autoridade, de um cliente ou de uma auditoria, exista o registro do que cada titular aceitou, quando, sobre qual texto, e o que foi feito com cada solicitação recebida.

• Gestão de cookies e central de preferências: varredura do site e classificação por finalidade, tipo, vigência e fornecedor
• Registro de consentimentos: o que foi aceito, quando e sobre qual versão do texto, com histórico de alterações
• Direitos ARSOP: recebimento de solicitações, atribuição de responsável, controle de prazos e rastreabilidade do caso
• Registro de atividades de tratamento (RAT) mantido como inventário vivo, não como planilha solta
• Avaliação de impacto (DPIA) com fluxo guiado e evidência associada ao tratamento avaliado
• Exportação de evidências e relatórios para auditoria ou exigência da autoridade

Adapta-se à identidade visual da organização, às suas finalidades reais de tratamento e à sua estrutura de responsáveis. Após a entrada em operação pode ser operada pela equipe interna ou mantida como serviço gerenciado, incluído o acompanhamento de prazos das solicitações.

Uma plataforma não substitui o levantamento prévio. Se as finalidades, as bases legais e os responsáveis não estão definidos, a ferramenta apenas automatiza um registro incompleto. Por isso ela é implementada sobre o trabalho da linha 04, ou sobre um equivalente já realizado.

A maioria das organizações já investiu em ferramentas de segurança. O problema raramente é que faltem: é que ficaram mal configuradas, desatualizadas, com regras herdadas que ninguém voltou a revisar ou sem uma pessoa responsável por administrá-las de forma contínua.

Esta linha cobre as duas frentes: a revisão técnica de cada plataforma e, quando necessário, a administração permanente dos consoles. O objetivo é que as ferramentas entreguem efetivamente o nível de proteção pelo qual se está pagando.

• Firewall de perímetro e interno: regras, políticas e depuração
• WAF e proteção de aplicações publicadas
• IPS/IDS e detecção de ameaças em rede
• Filtragem de navegação e controle de conteúdo web
• Segurança de e-mail e antiphishing
• Antivírus e proteção de estações e servidores
• VPN, acessos remotos e controle de acessos privilegiados
• Administração contínua de consoles e gestão de mudanças de regras

Sobre essa base é possível montar um SOC virtual dimensionado a cada negócio: monitoramento dos eventos que importam, revisão periódica de alertas e resposta acordada, sem o custo nem a estrutura de um centro de operações próprio. O escopo, o horário e as prioridades são definidos pela organização.

Testes ofensivos controlados, executados sob autorização expressa e regras de engajamento documentadas. O objetivo é reproduzir o caminho que um atacante real seguiria e deixar registrada a cadeia completa de exploração.

A diferença está no relatório. Não se entrega a saída bruta da ferramenta: cada achado passa por triagem de falsos positivos, é ordenado por impacto de negócio e vem acompanhado da remediação concreta. O relatório tem dois níveis de leitura, um executivo e um técnico.

• Superfície exposta à internet
• Aplicações web
• APIs e integrações
• Rede interna
• Infraestrutura e serviços internos

A segurança de uma organização não termina no firewall. O acesso físico a instalações, salas de equipamentos e depósitos é um vetor de risco tão real quanto o digital, e as duas normas vigentes o consideram parte das medidas de proteção exigíveis.

Esta linha integra o projeto e a avaliação da segurança eletrônica com o restante da arquitetura: mesmos critérios de risco, mesmo formato de entregável e controles que conversam entre si em vez de operarem como sistemas isolados.

• CFTV com analítica de vídeo: detecção de pessoas e veículos
• Câmeras leitoras de placa e reconhecimento facial
• Controle de acesso a prédios, andares e áreas restritas
• Barreiras veiculares, interfonia e videoporteiro
• Sistemas de detecção de incêndio analógicos e inteligentes
• Convergência com identidade digital e avaliação de risco do perímetro físico

A implementação e a instalação dos sistemas eletrônicos são executadas junto a parceiros especializados e certificados. A PIMX ArcSec assume o projeto, os requisitos de segurança, a integração com a arquitetura e a validação do resultado.