🔍 Identificar
- Inventário de Ativos
- Mapeamento de Riscos
- Análise de Impacto
- Classificação da Informação
GOVERNANÇA
Estrutura de Governança em Segurança da Informação
A Concept mantém uma estrutura de governança robusta para Segurança da
Informação, com papéis definidos, comitês ativos, gestão estruturada de
riscos e indicadores de desempenho que garantem a efetividade dos controles
em todos os níveis organizacionais.
Pilares da Governança
Estrutura Organizacional
Papéis e responsabilidades de SI definidos formalmente em todos os níveis da organização.
Comitê de Segurança
Instância deliberativa para aprovação de políticas, gestão de riscos e direcionamento estratégico de SI.
Gestão de Riscos
Processo contínuo de identificação, avaliação, tratamento e monitoramento de riscos cibernéticos.
Políticas e Normas
Conjunto normativo estruturado e revisado periodicamente para orientar as práticas de segurança.
Auditorias e Conformidade
Avaliações independentes periódicas para verificação da efetividade dos controles implementados.
Indicadores e KPIs
Métricas de segurança reportadas à alta gestão para suporte à tomada de decisões estratégicas.
Framework de Gestão de Riscos (NIST CSF)
Nossa abordagem de gestão de riscos é baseada no framework NIST Cybersecurity Framework, estruturada em cinco funções essenciais que cobrem todo o ciclo de vida da segurança.
🛡️ Proteger
- Controles de Acesso (PoLP)
- Criptografia e DLP
- Treinamento e Conscientização
- Hardening de Sistemas
👁️ Detectar
- SIEM e Monitoramento
- Análise de Anomalias
- Threat Intelligence
- Testes de Intrusão
🚨 Responder
- Plano de Resposta a Incidentes
- Comunicação de Crises
- Análise Forense
- Lições Aprendidas
Estrutura de Governança
Detalhamos a estrutura organizacional, papéis, responsabilidades e mecanismos de gestão que sustentam a maturidade de segurança da Concept.
1. Estrutura Organizacional de SI
A Concept adota um modelo de governança de segurança com três linhas de defesa:
- 1ª Linha: Áreas de negócio e operações — responsáveis pela implementação dos controles no dia a dia.
- 2ª Linha: Área de Segurança da Informação, Privacidade e Compliance — define políticas, monitora conformidade e suporta as áreas de negócio.
- 3ª Linha: Auditoria Interna — avalia de forma independente a efetividade dos controles e o cumprimento das políticas.
2. Comitê de Segurança da Informação
O Comitê de Segurança da Informação (CSI) é o órgão deliberativo responsável por:
- Aprovação e revisão das políticas de segurança e privacidade.
- Priorização e aprovação do roadmap de segurança e dos investimentos em controles.
- Análise e decisão sobre riscos críticos e incidentes de grande impacto.
- Reporte à Alta Gestão sobre a postura de segurança e o cumprimento regulatório.
3. Papéis e Responsabilidades
- CISO (Chief Information Security Officer): Liderança estratégica de SI, presidente do CSI e interlocutor com a Alta Gestão.
- DPO (Data Protection Officer): Encarregado pelo tratamento de dados pessoais conforme o Art. 41 da LGPD, interface com a ANPD e titulares de dados.
- Gestores de Área: Responsáveis pela aderência de seus times às políticas de segurança e pela identificação e reporte de riscos operacionais.
- Colaboradores: Responsáveis pelo cumprimento das políticas, procedimentos e práticas seguras no uso de sistemas e informações corporativas.
4. Gestão de Riscos Cibernéticos
O processo de gestão de riscos da Concept segue o ciclo contínuo:
- Identificação: Levantamento de ativos, ameaças e vulnerabilidades relevantes.
- Avaliação: Análise qualitativa e quantitativa do impacto e da probabilidade de cada risco.
- Tratamento: Definição de planos de ação (mitigação, transferência, aceitação ou eliminação).
- Monitoramento: Acompanhamento periódico dos riscos residuais e da efetividade dos controles implementados.
5. Indicadores e KPIs de Segurança
A Concept acompanha indicadores-chave de desempenho para garantir a efetividade da sua postura de segurança, incluindo:
- Tempo Médio de Detecção (MTTD) e Resposta (MTTR) a incidentes.
- Percentual de cobertura de treinamentos de conscientização em segurança.
- Taxa de conformidade com políticas de controle de acesso e MFA.
- Número de vulnerabilidades críticas identificadas e remediadas por ciclo.
Para mais informações sobre nossa estrutura de governança, entre em contato através do e-mail: security@concept.seg.br.
Perguntas frequentes
Canal de Governança e Segurança
Para dúvidas sobre nossa estrutura de governança, políticas de segurança ou para acionar o Comitê de Segurança da Informação.
security@concept.seg.br