Incidente cibernético deixou de ser assunto exclusivo da TI: envolve continuidade operacional, dever de comunicar à ANPD, contrato com clientes e responsabilidade da alta administração. A GT Brasil trata segurança como problema de governança e risco, com evidência que sustenta o que se afirma ao conselho e ao regulador.
Como atuamos
Diagnóstico de maturidade
Avaliamos os controles frente ao NIST Cybersecurity Framework e aos requisitos da ISO/IEC 27001, medindo a distância entre o que a política diz e o que a operação faz. O resultado é uma nota por função — identificar, proteger, detectar, responder e recuperar — com o custo e o prazo de fechar cada lacuna.
Testes técnicos
Conduzimos testes de intrusão internos e externos, revisão de configuração de nuvem, avaliação de exposição na superfície pública e revisão de acessos privilegiados. Cada achado vem com prova de exploração, impacto no negócio e recomendação priorizada — não com uma lista de saída de ferramenta.
Resposta a incidentes
Estruturamos o plano de resposta com papéis, árvore de decisão, critérios de acionamento e modelos de comunicação, incluindo a avaliação do dever de comunicar à ANPD e aos titulares na hipótese do art. 48 da LGPD. Testamos o plano em simulação com a alta liderança.
Terceiros
Avaliamos o risco cibernético de fornecedores críticos e operadores de dados, com cláusulas contratuais mínimas e direito de auditoria — a superfície de ataque que não está na sua rede.
O que entregamos
- Relatório de maturidade por função do NIST CSF, com plano de tratamento priorizado.
- Relatórios de teste de intrusão e de revisão de configuração, com evidência técnica.
- Política de segurança da informação, normas de apoio e matriz de acessos por perfil.
- Plano de resposta a incidentes testado, com modelos de comunicação e critérios de notificação.
- Programa de avaliação de terceiros, com questionário, critérios e periodicidade.
- Suporte à auditoria interna na cobertura obrigatória de cibersegurança.
Para quem
- Empresas que tratam grande volume de dados pessoais ou dados sensíveis.
- Instituições reguladas com exigências específicas de segurança cibernética.
- Organizações que sofreram incidente e precisam reconstruir controle e confiança.
- Companhias cujo conselho recebe informação sobre segurança sem base verificável.
