Segurança gerenciada, do perímetro à conformidade — Segurança não é um produto que se instala e esquece. É uma rotina que alguém precisa manter.
Nove frentes que a maioria das empresas tem no papel e não tem funcionando: da regra de firewall ao acesso de quem saiu, do alerta que ninguém lê à evidência que a auditoria vai pedir. Operadas como serviço, e com alguém respondendo pelo conjunto.
Sobre o tamanho e o modelo desta frente
Segurança Gerenciada descreve melhor o que fazemos do que cibersegurança.
Mantemos camadas de segurança funcionando com rotina e registro. Onde a entrega exige estrutura que não é nossa, ela vem de parceiro de operação, e dizemos qual é o papel de cada um.
O que operamos
Perímetro, endpoint, identidade e acesso, dado pessoal e o programa de conscientização, com revisão periódica e alteração registrada. E, no vCISO, o papel que responde pelo conjunto.
O que vem de parceiro
A operação de detecção e resposta do MDR e a execução do teste de invasão. Não mantemos SOC próprio, e dizer que sim seria conveniente e falso.
O que não fazemos
Não certificamos ninguém. Em GRC preparamos a empresa para auditoria de organismo acreditado e independente, porque é a independência que dá valor ao selo.
Onde está o problema
A empresa quase sempre já comprou as ferramentas. O que falta é quem opere.
Firewall instalado, antivírus licenciado e política de privacidade publicada convivem, com frequência, com ninguém revisando regra, ninguém lendo alerta e ninguém sabendo onde o dado está.
As ferramentas existem, mas nenhuma delas tem um responsável com nome e uma rotina de revisão.
O sinal de problema aparece no log, e o log só é aberto depois que o incidente já aconteceu.
Uma exigência de cliente ou de seguradora chega e a empresa descobre que não consegue demonstrar o que faz.
O acesso é concedido com pressa e nunca retirado, então a conta de quem saiu continua ativa.
A partir do segundo fornecedor de segurança, cada um reporta o próprio pedaço e ninguém responde pelo conjunto.
As nove frentes de Segurança Gerenciada
Podem ser contratadas juntas ou separadas. O vCISO abre a lista porque fica acima das outras: é ele que junta o que as demais entregam num programa só. Depois dele, a ordem é a das camadas, do perímetro até o dado pessoal.
vCISO
Liderança de segurança fracionada: um responsável pelo programa, pelo reporte à diretoria e pela resposta a quem cobra de fora.
Firewall as a Service
Implantação, operação e revisão da política de perímetro, com acesso remoto controlado e histórico de cada alteração.
Antivírus e EDR Gerenciado
Cobertura verificada no parque real, detecção que chega em alguém e resposta combinada antes do incidente.
MDR
Detecção e resposta gerenciada por time de analistas do parceiro de operação, inclusive fora do horário comercial.
Zero Trust e Gestão de Identidade
Quem tem acesso a quê, por quanto tempo e com qual verificação, implantado por etapas sobre o que a empresa já paga.
Conscientização em Segurança
Simulação de phishing recorrente com treino no momento do erro, medição por equipe e canal de reporte que funciona.
Pentest
Teste de invasão conduzido por especialistas, com relatório que mostra o caminho real de entrada e o que corrigir primeiro.
GRC e Compliance Regulatório
Preparação para auditoria: lacunas levantadas, controles implantados e evidência gerada pela rotina. Quem prepara não certifica.
Consultoria LGPD e DPOaaS
Adequação que parte dos sistemas onde o dado está, com encarregado atuando de forma contínua.
Quando faz sentido conversar
O ganho aparece onde já existe ferramenta comprada e não existe rotina rodando.
Empresa com equipe de segurança dedicada e processo estabelecido não é o caso. Esta frente existe para quem tem TI enxuto e precisa que essas camadas parem de depender de lembrança.
As ferramentas de segurança existem, mas ninguém tem a rotina de revisá-las.
Não há como demonstrar para um cliente ou auditoria o que a empresa faz em segurança.
O TI interno é pequeno e a segurança compete com a demanda do dia a dia, sempre perdendo.
Já houve susto (tentativa de fraude, máquina comprometida ou pedido de exclusão de dados) sem resposta pronta.
Chegou exigência de norma, de cliente grande ou de seguradora pedindo evidência técnica com prazo.
Há rodada de captação ou venda da empresa em andamento, e a diligência entrou no tema de segurança.
O que muda quando as camadas têm rotina
Revisão que não depende de lembrança
Regra sem uso sai, máquina descoberta aparece, acesso de quem saiu é retirado e tratamento de dado é reavaliado porque existe ciclo, não porque alguém lembrou.
Capacidade de demonstrar
Quando cliente, seguradora ou auditoria pergunta, há registro do que é feito, e não reconstrução de memória.
Distância menor entre sinal e ação
O tamanho do prejuízo em um incidente é decidido pelo tempo de resposta, e resposta combinada antes encurta esse tempo.
Dúvidas mais comuns
Perguntas que aparecem antes do primeiro diagnóstico
“Vocês são uma empresa de cibersegurança?”
Somos uma empresa que opera segurança como serviço, e por isso o nome é Segurança Gerenciada. Onde a entrega exige estrutura que não é nossa, como a operação de MDR e a execução de pentest, trabalhamos com parceiro e dizemos isso.
“Vocês têm SOC próprio?”
Não. O MDR é operado por parceiro que mantém essa estrutura, com analista de plantão. A Composto Web responde pelo escopo, pelo acionamento e pelo que acontece depois do alerta.
“Vocês certificam minha empresa?”
Não, e ninguém que prepara deveria certificar. A frente de GRC leva a empresa até a auditoria de um organismo acreditado, contratado por você e independente de nós.
“Quem junta tudo isso e me diz onde a empresa está?”
É o papel do vCISO, a única frente que fica acima das outras. Ele reúne o que cada serviço entrega, traduz para a linguagem da diretoria e responde por isso quando um cliente ou um investidor pergunta.
“Preciso contratar as nove frentes?”
Não. Cada uma funciona sozinha. O diagnóstico geralmente mostra qual está mais atrasada, e começar por ela rende mais que contratar tudo de uma vez.
“Tenho TI interno. Isso substitui?”
Não substitui, complementa. O TI interno conhece a operação; o serviço traz a rotina de revisão e o registro, que quase sempre são a primeira coisa a ser adiada no dia a dia.
“Minha empresa é pequena demais para isso?”
Depende do que ela trata e de quem exige o quê. Empresa pequena com dado sensível ou com cliente grande cobrando precisa; empresa pequena sem nenhum dos dois, nem tanto.
“Fico dependente de vocês?”
Configuração, documentação e credenciais são da empresa. Se a parceria terminar, outro time assume sem precisar recomeçar do zero.
Próximo passo
Se hoje as ferramentas de segurança existem mas ninguém consegue dizer quando foram revisadas pela última vez, o diagnóstico começa por aí.
O levantamento passa pelas camadas que se aplicam ao seu caso e aponta qual delas está mais exposta, com uma direção do que atacar primeiro.
- Leitura das camadas: perímetro, endpoint, identidade, pessoas e dado
- Verificação de quem hoje responde pelo conjunto, se é que alguém responde
- Identificação da frente mais atrasada e do risco associado
- Proposta de escopo e do ciclo de manutenção
Continue explorando
- Segurança da informação para agronegócio
- Segurança da informação para clínicas e consultórios
- Segurança da informação para construtoras e incorporadoras
- Segurança da informação gerenciada para escritório de contabilidade e BPO financeiro
- Segurança da informação para distribuidoras e atacadistas
- Segurança da informação para escolas
- Segurança da informação para o setor de energia
- Segurança da informação para empresas de engenharia
- Segurança da informação para indústria e distribuição farmacêutica
- Segurança da informação gerenciada para redes de franquias
- Segurança da informação para imobiliárias
- Segurança da informação para indústria
- Segurança da informação gerenciada para escritórios de advocacia
- Cibersegurança para transportadoras e operadores logísticos
- Segurança da informação para mineração
- Segurança da informação para RH
- Segurança da informação para saneamento
- Segurança da informação para hospitais e laboratórios
- Segurança da informação para seguradoras e fintechs
- Segurança da informação para empresas de tecnologia
- Segurança da informação para varejo
- Proteção de estação de trabalho fora do escritório
- Programa de conscientização contra golpe por e-mail e mensagem
- Adequação à LGPD de base de clientes e colaboradores
- Pentest antes de auditoria ou questionário de segurança
- Preparação para auditoria ISO 27001
- Separação entre a rede administrativa e a rede operacional
- Resposta a incidente de sequestro de dados
- Revogação de acesso de quem sai da empresa