Implementar a ISO 27001 no Excel não é uma estratégia. É o próximo problema.
As organizações que fracassam na certificação não fracassam por falta de vontade, fracassam por falta de um sistema.
Pastas do Drive com versões v1_final_definitivo, controles em planilhas sem histórico, evidências que ninguém sabe onde estão.
O Skuld GRC da AllSafe é a plataforma que desenhamos para que a implementação seja um processo real, e não uma coleção de documentos. Toma a ISO 27001 como eixo e, a partir dela, avalia outras quatorze normas e frameworks sobre o mesmo sistema de gestão.
Uma única implementação, quinze normas e frameworks sobre a mesma base
A maior parte do trabalho de um sistema de gestão serve para mais de uma norma. O Skuld GRC foi construído sobre essa ideia: a ISO 27001 se implementa uma vez e, desse eixo, derivam-se ou avaliam-se quinze normas e frameworks, sem refazer a análise nem duplicar a evidência.
O eixo
ISO/IEC 27001 nas versões 2022 e 2013, com os 93 controles do Anexo A, seus atributos da ISO 27002:2022 e a criticidade definida por cliente. Todo o resto se apoia aqui.
Anexos avaliáveis
ISO 27017 (serviços em nuvem), 27018 (dados pessoais em nuvem), 27701 (gestão de privacidade) e 42001 (sistemas de inteligência artificial), cada um com sua própria declaração de aplicabilidade. A ISO 22301 é avaliada por cláusulas para continuidade de negócios.
Metodologias aplicadas
ISO 27005 para a gestão do risco, 23894 para o risco de inteligência artificial, 27035 para incidentes, 27032 para cibersegurança e 27036 para a segurança na relação com fornecedores. A 27002 fica como guia de implementação de cada controle.
Cobertura derivada
O avanço sobre o Anexo A se traduz automaticamente em cobertura de CIS Controls v8 e de NIST CSF 2.0. Serve para responder ao questionário de um cliente ou de uma matriz sem levantar tudo de novo.
Tudo o que uma plataforma Skuld GRC de verdade precisa, em um só lugar
Doze módulos interligados que cobrem o ciclo completo de implementação, manutenção, auditoria e certificação do sistema de gestão.
Inventário de ativos
Registro e classificação dos ativos de informação por criticidade, proprietário e tipo. A base sem a qual qualquer análise de risco é uma estimativa.
Análise de riscos
Identificação de ameaças e valoração por probabilidade e impacto, com risco inerente e risco residual sobre a mesma matriz. Cada risco tem seu tratamento, seu responsável e sua data, e os que ficam acima do limite sobem para aceitação formal da autoridade, como pede a cláusula 6.1.3.
Controles ISO 27001
Gestão completa do Anexo A com a criticidade e os atributos da ISO 27002:2022 por controle, status de implementação, evidência anexada a cada um e nível de conformidade geral em tempo real.
Auditorias internas
Planejamento, achados, não conformidades e ações corretivas com acompanhamento até o encerramento. Histórico completo para o auditor externo.
Gestão documental
Repositório centralizado de políticas, procedimentos e registros exigidos pela norma. Controle de versões e aprovações integrado.
Dashboard executivo
Métricas de conformidade em tempo real. Exportação para PDF para apresentar ao comitê diretivo, a reguladores ou ao auditor de certificação.
Dashboard global
Visão unificada de toda a carteira de clientes: conformidade ISO média, riscos críticos e altos, e avanço das ações por cliente. Uma única tela para monitorar o estado de todo o sistema de gestão.
Requisições de auditoria
Registro dos órgãos auditores por cliente (autoridade reguladora, auditoria interna, externa ou privada) com carga das requisições, data de recebimento, prazo de resposta e registro oficial da resposta entregue. Alerta automático de prazos vencidos.
Declaração de aplicabilidade
A SoA que o auditor pede primeiro, gerada a partir do estado real dos controles. Cada exclusão fica com sua justificativa escrita, e cada norma avaliável mantém a sua própria.
Gap Analysis e maturidade
Diagnóstico inicial com maturidade CMM de 0 a 5 por controle, mapa de calor que cruza criticidade com maturidade e lacunas ordenadas por prioridade. É a foto com a qual se monta o plano e contra a qual depois se mede o avanço. Exportável em PDF.
Marco normativo
Biblioteca de consulta das quinze normas e frameworks, dentro do sistema. O consultor e a equipe interna leem o requisito no mesmo lugar em que precisam cumpri-lo, sem sair para buscar o texto por fora.
Políticas, protocolos e procedimentos
Redação e ciclo de vida da política de segurança da informação e do corpo de procedimentos, com estados de revisão, quadro de competência por área e exportação para PDF ou Word. O documento que sobe para aprovação por ato administrativo sai daqui.
Isto não é uma demonstração montada. É o sistema trabalhando.
Vinte e cinco segundos de percurso real: as quinze normas avaliáveis, a matriz de risco com o seu residual, a declaração de aplicabilidade e a cobertura derivada de CIS Controls e NIST CSF se calculando sozinha.
Clique aqui e solicite uma demonstração ao vivo com a nossa equipe. Percorremos o sistema inteiro com você, módulo por módulo, com o seu cenário sobre a mesa e respondendo tudo o que quiser perguntar.
Cada ano abre o seu ciclo e o anterior fica encerrado, com o que foi feito e quando. Essa continuidade é o que sustenta as auditorias de manutenção, que é onde a maioria das implementações cai.
A mesma matriz mostra quanto valia o risco e quanto vale com o tratamento aplicado. Os que ficam acima do limite sobem para aceitação formal, com cargo e pessoa, como pede a cláusula 6.1.3.
Sai do estado real dos 93 controles, com a justificativa escrita de cada exclusão. É o documento que o auditor pede primeiro, e o que mais consome tempo quando é montado à mão.
O memorando, a ata, a portaria ou a resolução que aprova cada coisa entram com seu número e sua data. Sem isso, um documento aprovado na prática não se sustenta diante de uma auditoria.
Cada controle leva seu arquivo anexado onde corresponde. Quando o auditor chega não é preciso sair juntando nada, que é a semana que ninguém coloca no orçamento.
O avanço sobre o Anexo A se traduz sozinho em cobertura de CIS Controls v8 e NIST CSF 2.0. Serve para responder ao questionário de um cliente ou de uma matriz sem levantar tudo de novo.
Do zero à certificação com o sistema que acompanha você
Onboarding em horas
A sua organização cadastrada, usuários configurados e papéis atribuídos desde o primeiro dia de consultoria. Sem semanas de setup, sem integrações complexas.
Trabalho colaborativo de verdade
Consultores da AllSafe, responsáveis internos e direção trabalhando na mesma plataforma com papéis diferenciados. Cada um vê o que precisa ver.
Evidência sempre rastreável
Cada controle documentado, cada risco tratado, cada auditoria registrada, com histórico completo, responsável atribuído e data. Nada se perde.
Auditoria sem estresse
Quando o auditor chega, está tudo organizado, rastreável e exportável. As requisições com sua data de recebimento, o prazo acordado e a resposta oficial enviada, tudo no sistema, sem procurar nada.
Contrata-se sozinha, ou junto com a implementação
O Skuld GRC é um produto da AllSafe e se contrata como tal. Se a sua organização tem equipe própria de segurança, de qualidade ou de conformidade, ela pega a plataforma e a opera com seus responsáveis e seus tempos.
Se além disso você quiser o acompanhamento, nossos consultores trabalham dentro do mesmo sistema durante a implementação e a certificação, com a sua equipe e com papéis diferenciados. Nas duas modalidades o sistema fica funcionando e segue vivo depois do certificado.
27001:2022, a última versão da norma
controles do Anexo A gerenciados nativamente
níveis do Estado argentino já implementados
normas e frameworks avaliáveis sobre o mesmo sistema
Construído para ISO 27001 de verdade. Não adaptado de outra coisa.
Não é um ERP com um módulo de conformidade. Não é uma planilha com macros. É uma plataforma desenhada especificamente para este processo.
Elimina o caos documental
Adeus às pastas compartilhadas com arquivos v1_final_v2_OK_definitivo. Uma única fonte de verdade para toda a organização.
Rastreabilidade para auditores
Cada decisão registrada, cada evidência vinculada ao controle correspondente. O auditor encontra em minutos o que antes levava dias para preparar.
Consultores dentro do sistema
Se você contratar o acompanhamento, a equipe da AllSafe trabalha dentro do mesmo sistema, cadastrando controles, revisando riscos e preparando a auditoria. Não existe uma ferramenta para nós e outra para você.
O sistema continua depois da certificação
A certificação é o início, não o fim. O Skuld GRC permite manter e melhorar o sistema de gestão ao longo do tempo sem recomeçar do zero a cada ano.
Solicite uma demo do sistema Skuld GRC
Mostramos a plataforma funcionando com um caso real e conversamos sobre qual das duas modalidades serve para a sua organização.