CPSID
Entrar

CPSID · Purple Team

Cibersegurança, Proteção, Soberania e Inteligência de Dados

Cibersegurança e proteção de dados, tudo em um.

A CPSID reúne defesa, validação ofensiva, privacidade, soberania e inteligência de dados em uma única plataforma. Uma abordagem Purple Team conecta CISO e DPO com os mesmos controles, responsáveis e evidências.

Entrar na plataforma
CPSID · Cibersegurança, Proteção, Soberania e Inteligência de Dados

O que você ganha com a CPSID.

Resposta rápida quando algo acontece, monitoramento ininterrupto e evidências prontas para a autoridade e o auditor.

Resposta a incidentes críticos

Contado a partir do aviso à CPSID.

  1. 15min

    Primeira resposta

    A equipe de resposta da CPSID assume o caso e começa a agir.

  2. 1h

    Contenção

    O incidente é contido para impedir que se propague.

  3. 4h

    Relatório

    O que aconteceu, o que foi atingido e com quais evidências, pronto para a direção e a autoridade.

24/7

Monitoramento contínuo

A plataforma vigia rede, endpoint, WAF e nuvem sem pausa e alerta a sua equipe.

72h

Prazos legais sob controle

É o prazo legal habitual para comunicar uma violação de dados. A CPSID cronometra cada prazo e deixa pronta a comunicação com suas evidências.

1

Uma evidência, todas as normas

O que você comprova uma vez vale para cada lei e norma que o exige: menos retrabalho em cada auditoria.

Perícia forense digital

A equipe forense da CPSID coleta e analisa as evidências do incidente, com cadeia de custódia.

Pré-auditoria

Você sabe onde está e o que corrigir primeiro: suas lacunas ordenadas por risco, em relação às leis que se aplicam a você.

Disponibilidade contratual

A disponibilidade da plataforma é um compromisso assumido no contrato de serviço.

Tempos para incidentes críticos, conforme o contrato de serviço. O monitoramento 24/7 é feito pela plataforma; a equipe de resposta da CPSID atua a partir do aviso.

O que a lei já exige, em qualquer país.

A proteção de dados, a cibersegurança e a inteligência artificial já são reguladas em grande parte do mundo. Saber qual é a sua maturidade, e poder comprová-la, deixou de ser uma boa prática. É uma obrigação, com prazos e multas.

Leis de proteção de dados

LGPD no Brasil, RGPD em Portugal e na União Europeia, e muitas outras.

O que exige
Mudam de país para país, mas costumam pedir o mesmo: uma base legal para cada tratamento, direitos dos titulares, avaliações de impacto, medidas de segurança e, cada vez mais, a notificação de violações de dados à autoridade em prazos de horas ou dias. Em vários países, as multas podem chegar a um percentual do faturamento.
O que a CPSID faz
Reúne em um só lugar as solicitações dos titulares, as avaliações de impacto, a gestão de violações de dados e o trabalho do encarregado (DPO), com evidências associadas a cada lei aplicável.

Cibersegurança avançada

Política Nacional de Cibersegurança no Brasil, NIS2 e DORA na Europa, NIST CSF 2.0 e ISO/IEC 27001.

O que exige
Gerir o risco sob a responsabilidade da alta direção, detectar e responder a incidentes e comunicá-los às autoridades em prazos cada vez mais curtos, às vezes de poucas horas.
O que a CPSID faz
Integra operações de segurança, inteligência de ameaças, gestão de vulnerabilidades e resposta a incidentes com base nos mesmos controles e deixa pronta a comunicação às autoridades, com as evidências que a sustentam.

Segurança em IA

Regulamento de IA da União Europeia, ISO/IEC 42001 e o framework de gestão de riscos de IA do NIST.

O que exige
Saber que sistemas de IA a organização utiliza, avaliar os riscos que apresentam, proteger os dados com que são treinados e com que operam e manter supervisão humana sobre as decisões que tomam.
O que a CPSID faz
Aplica controles específicos de inteligência artificial, mantém o inventário de modelos aprovados e identifica o uso de IA que ninguém autorizou.

Um controle, todas as normas.

Cada controle da plataforma está mapeado para as leis e normas que o exigem. O que você comprova uma vez vale para todas as normas de todos os países onde atua, da União Europeia e dos Estados Unidos à América Latina, ao Brasil, à China e à Arábia Saudita.

Uma plataforma. Segurança e dados conectados.

Detecção, resposta e validação de segurança junto com proteção de dados, soberania, governança e inteligência. CISO, DPO, equipes técnicas e auditoria trabalham com os mesmos controles e evidências.

Proteção de dados pessoais

Tudo o que as leis de proteção de dados exigem em um só lugar, vinculado à evidência de cada controle.

  • Registro das operações de tratamento com linhagem dos dados
  • Solicitações dos titulares com prazos e portal público com verificação de identidade
  • Avaliações de impacto vinculadas a cada tratamento
  • Mapa das transferências internacionais

Geração de documentos

Políticas, procedimentos e avaliações gerados a partir dos dados verificados da sua organização. O que não pode ser verificado fica marcado como pendente: nada é inventado.

  • Documentos para cada lacuna documental de uma auditoria
  • Versões com impressão digital e controle de qualidade
  • Aprovação com quórum e assinatura com código de uso único
  • Exportação para Word, PDF e Excel

IA embarcada

Um assistente que responde sobre o seu programa com fontes, nível de confiança e os dados que faltam, e que pode operar com modelos locais. A IA propõe; as pessoas aprovam e assinam.

  • Respostas verificáveis a partir dos seus próprios dados
  • Documentos adaptados ao setor da sua organização
  • Testes de segurança de modelos segundo o OWASP Top 10 para LLMs

Proteção de dados na IA (DLP)

Detecta quais ferramentas de IA e aplicações SaaS sua equipe usa sem aprovação e protege os dados sensíveis na IA da plataforma.

  • Uso de IA e SaaS não aprovado (shadow AI e shadow IT)
  • Regras de bloqueio, anonimização e mascaramento
  • Inventário de modelos de IA com aprovação

Descoberta de ativos e identidades

Encontra cada equipamento, recurso na nuvem e serviço que você tem e o compara com o seu inventário.

  • Sonda instalável para Windows, Linux, macOS e Kubernetes
  • Inventário de AWS, Azure, Google Cloud, Oracle Cloud e outras nuvens
  • Inventário de ativos (CMDB) comparado com o que a rede vê
  • Contas com privilégios excessivos, órfãs ou inativas, revogáveis na mesma tela

Gestão de riscos de terceiros (TPRM)

Classifica seus fornecedores, mede o risco de cada um e solicita as evidências por um portal próprio, com revisão e reavaliação periódica.

  • Portal do fornecedor com link de uso único para enviar evidências
  • Pontuação de risco e concentração por fornecedor e serviço
  • Revisão das evidências antes da aprovação
  • Reavaliações programadas que geram registros de risco, casos jurídicos e planos de continuidade

Riscos, controles e maturidade

Uma metodologia de riscos própria e versionada, os controles com suas lacunas e a maturidade de cada área em relação à meta.

  • Mapa de riscos 5×5, inerente e residual
  • Escalas e matriz configuráveis e versionadas
  • Evidências a vencer, com cadeia de custódia
  • Maturidade por área, lacuna em relação à meta e tendência

Detecção e SOC

Onde os alertas se acumulam, o que cada sensor cobre e quais ameaças foram confirmadas por mais de uma fonte.

  • Funil de alertas e cobertura de detecção
  • Alertas confirmados por vários sensores de rede, endpoint e WAF
  • Regras de detecção com testes e controle de desvios
  • Caça a ameaças e iscas verificadas com eventos reais

Resposta a incidentes

Do caso à contenção e à comunicação à autoridade, com cada ação aprovada e registrada.

  • Casos do CSIRT com ativos afetados e linha do tempo
  • Contenção assinada a partir da sonda e playbooks de SOAR
  • Alcance de cada violação sobre dados e tratamentos
  • Prazos de comunicação à autoridade sob controle

Vulnerabilidades e engenharia de segurança

O que corrigir primeiro com base na exploração real, e as ameaças de cada sistema antes que ele chegue à produção.

  • Priorização por CVSS, EPSS e catálogo KEV
  • Software instalado cruzado com a base NVD
  • Grafo da cadeia de suprimentos de software (SBOM)
  • Modelagem de ameaças STRIDE e grafo de ataque

Continuidade de negócios

A recuperação que você realmente alcançou, comparada com a que foi prometida.

  • Recuperação comprovada em relação às metas de RTO e RPO
  • Análise de impacto nos negócios (BIA)
  • Etapas de ativação, versões e exercícios
  • Matriz de backups e grafo de dependências

Governança, relatórios e capacitação

Comitês com suas atas e deliberações, relatórios com dados em tempo real e capacitação de acordo com a função de cada pessoa.

  • Comitês, atas e deliberações com assinatura eletrônica
  • Relatórios com dados em tempo real, controle de integridade e PDF
  • Academia por função com avaliações e certificados verificáveis

Uma visão para cada responsável.

Cada um vê o que lhe cabe decidir, com base nos mesmos dados: o que o auditor revisa é exatamente o que a equipe executou.

  • Alta direção

    O risco residual em relação ao apetite de risco, as decisões que aguardam o comitê e o relatório executivo para o conselho de administração.

    • Riscos acima do apetite e da tolerância
    • Decisões do comitê com tratamento recomendado e custo de não agir
    • Relatório executivo para o conselho de administração
    • Comitês, atas e deliberações com responsável e prazo

  • Gerências

    Quem responde por cada controle, processo, achado e risco, quais tarefas corretivas estão em andamento e quais estão atrasadas.

    • Matrizes de responsabilidade (RASCI) por controle, evidência, achado e risco
    • Tarefas corretivas com prioridade, prazo e alerta de atraso
    • Processos críticos com responsável e próxima revisão
    • Achados ainda sem plano de ação

  • Encarregado (DPO)

    O registro das operações de tratamento com a base legal, a retenção e a linhagem dos dados, as avaliações de impacto, as solicitações dos titulares com seus prazos e as violações ainda pendentes de notificação.

    • Registro das operações de tratamento
    • Avaliações de impacto à proteção de dados (DPIA)
    • Portal público de direitos com verificação de identidade
    • Gestão de violações de dados pessoais

  • CISO

    Postura de segurança, risco residual, incidentes críticos, exposição legal, terceiros de alto risco e superfície de ataque em um único painel, com detecção e resposta integradas.

    • SOC com correlação de sensores de rede, endpoint e WAF
    • CSIRT e ações de resposta aprovadas e auditadas
    • Sondas de descoberta para Windows, Linux, macOS e Kubernetes

  • CTO

    Vulnerabilidades, configuração da nuvem, patches atrasados e dependência de fornecedores reunidos em uma só decisão: o que corrigir primeiro, de acordo com o custo de não agir.

    • Correção priorizada nos serviços críticos
    • Maturidade atual versus maturidade-alvo, por capacidade
    • Concentração da cadeia de suprimentos por fornecedor
    • Roteiro da auditoria com marcos e entregas

  • Auditoria interna

    O plano de auditoria de ponta a ponta: cada controle revisado com sua evidência, revisão por pares e um controle de qualidade antes de fechar o relatório.

    • Plano com gráfico de Gantt, caminho crítico e linha de base versus realizado
    • Revisão de controles e evidências, com documentos para cada lacuna
    • Revisão por pares e controle de qualidade antes do encerramento
    • Relatório com resumo executivo em PDF

  • Auditor externo

    Um portal separado da plataforma, onde o auditor vê apenas as evidências compartilhadas com ele, pelo prazo acordado e com cada acesso registrado.

    • Acesso por convite, com senha e código de uso único
    • Pacotes de evidências com validade e limite de downloads
    • Documentos com marca d’água de quem os consulta
    • Registro de acessos encadeado e verificável

Da incerteza à evidência, em quatro passos.

  1. 1

    Pré-auditoria

    Medimos sua maturidade em proteção de dados, cibersegurança e IA, controle por controle, em relação às leis que realmente se aplicam a você.

  2. 2

    Lacunas priorizadas

    O que falta, quanto risco cada lacuna representa e em que ordem convém tratá-las.

  3. 3

    Operação com evidências

    Controles, testes, documentos e evidências sempre atualizados na plataforma, cada um com responsável e data.

  4. 4

    Comunicação às autoridades

    Violações de dados e incidentes comunicados dentro do prazo à autoridade competente, com as evidências que sustentam cada resposta.

Comece por saber onde você está.

Na pré-auditoria, medimos sua maturidade em proteção de dados, cibersegurança e IA e entregamos as lacunas ordenadas por risco.

E-mail
[email protected]
Escritório
Valparaíso, Chile