Vorpsel / Serviços / Inteligência e consultoria
Consultoria de segurança e vCISO
Muitas empresas precisam de alguém para liderar a segurança, mas não precisam, ou ainda não conseguem contratar, um CISO em tempo integral. Assumimos esse papel em tempo parcial: avaliamos onde você está, montamos um programa do tamanho da empresa e o conduzimos com o seu time.
Em resumo
- Para empresas em crescimento sem um líder de segurança dedicado
- Formato uma avaliação fechada, depois um número de dias por mês
- Responde a o seu CEO, CTO ou conselho, como você decidir
- Independente recomendamos o que você precisa, mesmo quando não é nosso
Alguém precisa ser dono da segurança
Sem um dono, a segurança vira uma lista de ferramentas compradas depois de cada susto, questionários de clientes respondidos às pressas e riscos que ninguém escreveu. O trabalho fica espalhado entre TI e engenharia, e a liderança não consegue dizer se a empresa está mais protegida este ano do que no anterior.
Um CISO virtual dá um dono à segurança. Definimos prioridades com a liderança, transformamos em um plano que o time consegue seguir e reportamos o progresso em termos que o negócio entende.
Quando isso faz sentido
Clientes pedem evidências de segurança
Clientes maiores mandam questionários e contratos com cláusulas de segurança que você precisa responder bem.
A liderança pergunta se a empresa está protegida
O conselho ou os fundadores querem uma resposta clara e um plano, e não uma lista de ferramentas.
A segurança está espalhada entre TI e engenharia
Muita gente faz um pouco do trabalho de segurança e ninguém é dono do todo.
Preparação para uma certificação
Uma norma como a ISO 27001 ou o SOC 2 está no horizonte e precisa de um programa por trás.
Depois de um incidente
Algo aconteceu e a liderança quer garantir que não se repita.
Antes de contratar um CISO em tempo integral
Você quer o programa iniciado e o papel definido antes de fazer a contratação.
O que fazemos
Avaliação de segurança
Começamos com uma revisão da sua segurança atual contra um framework reconhecido, como os CIS Controls ou a ISO 27001, por meio de entrevistas, análise de documentos e verificações técnicas.
- Maturidade de cada área, com evidência para cada nota
- Os riscos que mais importam para o seu negócio, escritos em linguagem simples
- Um roteiro para os próximos doze meses, com estimativa de esforço e custo
Programa de segurança
Transformamos o roteiro num programa em funcionamento: políticas que as pessoas conseguem seguir, um registro de riscos mantido em dia e um orçamento de segurança ligado a esses riscos.
- Políticas e padrões do tamanho da sua empresa, e não copiados de um modelo
- Registro de riscos, com responsáveis e decisões de tratamento
- Revisões de segurança dos fornecedores que tratam os seus dados
- Conscientização de segurança para funcionários, focada nos ataques que eles realmente recebem
Perguntas de clientes e do conselho
Clientes maiores mandam questionários de segurança e pedem evidências. Conselhos perguntam se a empresa está protegida. Respondemos aos dois com fatos.
- Questionários de segurança e due diligence respondidos com o seu time
- Relatório trimestral para a liderança: riscos, progresso e decisões necessárias
Arquitetura e escolha de ferramentas
Antes de comprar uma ferramenta nova ou lançar um sistema novo, revisamos se ele resolve o risco que você tem e como se encaixa no que você já usa.
Como funciona
A avaliação leva algumas semanas. Depois disso, o programa roda num número fixo de dias por mês, com uma reunião regular e um consultor definido que conhece a sua empresa.
Avaliar
Conhecemos o negócio, entrevistamos as pessoas que o tocam e revisamos os controles atuais.
Planejar
Combinamos prioridades com a liderança e escrevemos o roteiro e o orçamento.
Conduzir
Conduzimos o programa mês a mês e reportamos o progresso, até você estar pronto para um líder em tempo integral, se esse for o objetivo.
Os primeiros 90 dias
Um começo típico. A ordem muda conforme o que a sua empresa precisa primeiro.
| Período | Foco | Resultado |
|---|---|---|
| Mês 1 | Avaliação: entrevistas, documentos e verificações técnicas | Maturidade por área e os principais riscos, por escrito |
| Mês 2 | Plano e ganhos rápidos: roteiro, orçamento e as correções mais urgentes | Roteiro aprovado e os primeiros riscos reduzidos |
| Mês 3 | Programa em funcionamento: políticas, registro de riscos e o primeiro relatório para a liderança | Um programa com donos, datas e um ritmo regular |
Entregas típicas
Roteiro de segurança
Doze meses de trabalho em ordem, com esforço e custo.
Políticas e padrões
Documentos curtos que as pessoas conseguem seguir, aprovados pela liderança.
Registro de riscos
Cada risco com um dono, uma decisão e uma data de revisão.
Relatório para o conselho
Uma página por trimestre sobre riscos, progresso e decisões necessárias.
Revisão de fornecedores
Revisões de segurança dos fornecedores que tratam os seus dados.
Programa de conscientização
Sessões curtas sobre os ataques que os seus funcionários realmente recebem.
Perguntas
Vocês vão nos empurrar produtos da Vorpsel?
Não. As recomendações seguem os seus riscos. Quando um produto da Vorpsel serve, dizemos isso e por quê; quando outro produto ou uma mudança de processo é a melhor resposta, recomendamos isso.
Vocês podem nos ajudar a contratar um CISO em tempo integral depois?
Sim. Podemos escrever a descrição da vaga, participar das entrevistas e passar o programa, os documentos e o histórico para a pessoa contratada.
Vocês também fazem o trabalho técnico?
O consultor lidera e coordena. O trabalho técnico, como engenharia de detecção ou revisão de aplicações, pode ser feito pelos nossos outros serviços ou pelo seu time, o que fizer mais sentido.
De quantos dias por mês precisamos?
Depende do tamanho da empresa e do quanto já está implantado. Propomos um número depois da avaliação e ajustamos conforme o programa amadurece.
Outros serviços
Conte o que você precisa.
Respondemos com algumas perguntas sobre o escopo e depois enviamos uma proposta com datas e preço.