Sistema para consultoria de segurança da informação: adequação, achados e material sensível sob controle

A consultoria de segurança da informação vende dois tipos de trabalho. Há os projetos com começo e fim, como uma adequação à ISO/IEC 27001, uma avaliação de maturidade ou um teste de intrusão. E há o serviço contínuo, como o gestor de segurança terceirizado, a gestão de vulnerabilidades e a resposta a incidentes. Os dois produzem material que não pode circular solto.

Um relatório de teste com as falhas de um cliente, um diagrama de rede ou uma senha de acesso têm de ficar com quem precisa e longe de tudo o mais, inclusive da IA. Consultorias que também atuam como encarregado de dados podem comparar com o sistema para consultoria de LGPD.

Que falhas de processo mais custam a uma consultoria de segurança da informação?

As que aparecem no acompanhamento depois da entrega. O relatório sai bonito, mas os achados ficam numa planilha que ninguém do cliente atualiza, as evidências da adequação se espalham em pastas compartilhadas e a renovação chega sem prova do que melhorou. Junto vem o risco de expor material de um cliente a outro.

• Achado sem dono. A vulnerabilidade crítica foi apontada, mas ninguém combinou quem corrige e até quando.
• Reteste esquecido. O cliente corrigiu, e a consultoria só confere três meses depois.
• Evidência espalhada. A prova de cada controle mora no computador de um consultor diferente.
• Política com versão errada. O cliente mostra ao auditor a política de backup antiga.
• Material sensível exposto. O relatório técnico de um cliente aparece na busca de quem atende outro.
• Contrato mensal sem conta. O incidente do mês consumiu o dobro das horas previstas e ninguém registrou.

Como organizar um projeto de adequação à ISO 27001?

O projeto de adequação ganha etapas que seguem o ciclo da norma: escopo, riscos, controles, conscientização, auditoria interna e preparação para a certificação. Monte o modelo uma vez, com as tarefas e os responsáveis, use Salvar como modelo e cada cliente novo nasce igual. Confira os requisitos no texto da norma em vigor.

PROJETO: ADEQUAÇÃO EM SEGURANÇA DA INFORMAÇÃO
Cliente: ____  Escopo (áreas, unidades, sistemas): ____
Patrocinador no cliente: ____  Ponto focal de TI: ____
Consultor líder: ____  Meta de data: ____/____/____

ETAPA 1: CONTEXTO E ESCOPO
[ ] Reunião de abertura com o patrocinador
[ ] Inventário de ativos de informação por área
[ ] Partes interessadas e requisitos (contratos, leis, clientes)
[ ] Escopo aprovado pelo patrocinador

ETAPA 2: RISCOS
[ ] Método de avaliação de riscos definido
[ ] Avaliação de riscos por ativo
[ ] Plano de tratamento: risco, controle, responsável, prazo
[ ] Declaração de aplicabilidade em rascunho

ETAPA 3: CONTROLES E POLÍTICAS
[ ] Política de segurança da informação aprovada
[ ] Políticas de apoio: acesso, backup, senhas, uso aceitável
[ ] Evidência de cada controle implantado, por pasta

ETAPA 4: CONSCIENTIZAÇÃO
[ ] Treinamento do time do cliente por área
[ ] Simulação de phishing, se contratada

ETAPA 5: AUDITORIA INTERNA E ANÁLISE CRÍTICA
[ ] Auditoria interna com relatório
[ ] Não conformidades com responsável e prazo
[ ] Reunião de análise crítica com a direção

ETAPA 6: CERTIFICAÇÃO
[ ] Evidências revisadas e aprovadas
[ ] Acompanhamento da auditoria externa

O Cronograma do projeto mostra cada tarefa como uma barra do início ao prazo, com setas para o que depende de quê. A auditoria interna depende das evidências aprovadas, e a seta fica vermelha quando uma tarefa começa antes de a anterior terminar. Quem implanta mais de uma norma pode ver o sistema para consultoria ISO e qualidade.

Onde guardar relatório de teste, senhas e evidências com segurança?

Cada cliente tem a própria pasta em Documentos, e cada pasta pode ser restrita e sensível. Restrito decide quem vê: cargos, pessoas ou papéis, com Ver ou Editar. Sensível decide o que a IA enxerga: o Assistente, a busca com IA e a conexão com o Claude deixam a pasta de fora, e a cópia dos dados também.

O modelo de projeto já cria essas pastas em todo cliente novo, inclusive as que nascem sensíveis. Em Situação e revisão, cada política recebe Rascunho, Aprovado ou Arquivado, a data da próxima revisão e o responsável. O filtro Revisão vencida mostra o que passou da data, em todos os clientes.

Como acompanhar os achados até o reteste?

Cada achado vira tarefa no projeto do cliente, com prioridade, prazo combinado e o responsável do lado de quem corrige. Um campo de tarefa como Severidade, marcado para aparecer como coluna, filtra a lista do projeto pelas críticas. O reteste é uma tarefa que depende da correção: em Depende de, ela mostra se a correção já foi concluída.

1. 1

   Registre o achado

   Título curto, severidade, ativo afetado e a recomendação no texto da tarefa. O relatório completo fica na pasta sensível.

2. 2

   Combine prazo e dono

   A data sai da reunião de apresentação do relatório e vai para o prazo da tarefa.

3. 3

   Quebre a correção

   Correções grandes viram subtarefas, cada uma com responsável e prazo, e a tarefa-mãe mostra quantas já foram feitas.

4. 4

   Reteste e feche

   Com a correção concluída, o consultor vê em Depende de que o reteste pode começar. O resultado volta para a mesma tarefa.

Como atender o contrato mensal com prazo de resposta?

No serviço contínuo, cada pedido do cliente vira chamado. Em Prazo de atendimento, a consultoria define por prioridade o tempo da 1ª resposta e da resolução, em horário comercial ou em prazo corrido. Um incidente pede prazo corrido; uma dúvida sobre política cabe no horário comercial.

Pelo Portal do cliente, o ponto focal abre o chamado escolhendo o tipo, acompanha o andamento dos projetos compartilhados e baixa os arquivos que a consultoria liberar. No chamado, a nota interna é o padrão: o cliente só lê o que vai como Responder ao cliente. Quem também implanta sistemas pode ver o sistema para consultoria de TI.

Como a reunião de diagnóstico vira plano de tratamento?

A entrevista com a TI do cliente e a reunião de apresentação do relatório chegam pelo Fathom, pelo tl;dv, pelo Read AI ou pelo envio da transcrição. A análise devolve resumo e próximos passos, e a automação Criar tarefas dos próximos passos coloca cada combinado da equipe no projeto. Avise os participantes antes de gravar.

Quanto sobra do contrato mensal de segurança terceirizada?

Com o Controle de horas, cada consultor liga o cronômetro na tarefa ou no chamado do cliente. O Faturamento das horas mostra as horas por cliente e a margem estimada pelo custo-hora. No mês de incidente, a conta mostra quanto o contrato aguenta antes da renovação.

Como dividir a semana entre campo, relatório e reteste?

Com dias fixos: chamados e achados vencidos na segunda, campo no meio da semana, relatórios na quinta e retestes na sexta. A tabela mostra a Muralha Cyber (fictícia), com 5 consultores, 4 projetos de adequação e 11 contratos mensais.

Quanto custa o Mentrun para uma consultoria de segurança da informação?

O Mentrun custa R$ 220 por mês por empresa, com usuários ilimitados e todos os recursos incluídos: projetos, documentos com acesso restrito, chamados, portal, horas e financeiro. No semestral e no anual, sai por R$ 183,33 por mês. O teste é de 7 dias grátis, sem cartão.