Home
-
Service Details
Suportamos os principais frameworks de segurança da informação
Framework de segurança não é lista de tarefas. É um acordo sobre o que significa “seguro” para um público específico. A ISO 27001 responde ao mercado internacional, o SOC 2 responde ao seu cliente americano, a LGPD responde ao regulador brasileiro e o PCI DSS responde às bandeiras de cartão. São públicos diferentes fazendo, no fundo, a mesma pergunta.
Por isso os frameworks se sobrepõem muito mais do que parece. Gestão de acessos, criptografia, registro de eventos, gestão de vulnerabilidades e resposta a incidentes aparecem em todos eles, com redação diferente e exigência equivalente. Quem trata cada certificação como um projeto separado paga várias vezes pelo mesmo trabalho. O Imara Trust foi construído em torno dessa sobreposição.
Neque ultrices nunc condimentum morbi risus tincidunt. Vel arcu lacus non ornare. Porttitor in rhoncus magna augue adipiscing.
ISO 27001:2022
A norma internacional de sistema de gestão de segurança da informação, e a única desta lista que gera certificado emitido por organismo acreditado. É o que o mercado brasileiro pede com mais frequência quando um cliente grande exige comprovação de segurança.
As cláusulas 4 a 10 definem o sistema de gestão: contexto, liderança, análise de riscos, competência, operação, avaliação de desempenho e melhoria. O Anexo A traz 93 controles organizados em quatro temas, o que substituiu a estrutura de 14 seções da versão de 2013. A transição já se encerrou, então todo certificado válido hoje é da edição 2022. A emenda de 2024 acrescentou a consideração de mudança climática na análise de contexto, algo que quase ninguém percebeu e que auditor pergunta.
O artefato que costuma dar trabalho é a Declaração de Aplicabilidade, onde você justifica cada controle aplicado e cada exclusão. No Imara Trust ela é gerada a partir dos controles e da análise de risco que já estão na plataforma, em vez de ser mantida em planilha paralela que descola do resto do sistema em três meses.
O ciclo é de três anos, com auditorias de manutenção anuais e recertificação no fim do período. A plataforma trabalha nesse ritmo, não no ritmo do projeto de certificação inicial.
SOC 2
Um ponto de vocabulário primeiro, porque metade do mercado erra: SOC 2 não é certificação. É um relatório de atestação emitido por firma de auditoria independente, com base nos Trust Services Criteria do AICPA. Ninguém é “certificado SOC 2”. A empresa tem um relatório, com data e período de cobertura.
O critério de segurança é obrigatório. Disponibilidade, integridade de processamento, confidencialidade e privacidade entram conforme o que você quer atestar e o que seu cliente pediu. Escolher os quatro por precaução aumenta custo e prazo sem necessidade.
Tipo I avalia o desenho dos controles em uma data. Tipo II avalia a efetividade operacional ao longo de um período, normalmente de três a doze meses. Tipo II é o que o comprador americano quer, e é onde a coleta contínua de evidência decide o resultado, porque o auditor vai amostrar o período inteiro. Empresa que começa a organizar evidência no mês do relatório entrega Tipo II com exceções.
Para a maioria das empresas brasileiras, o SOC 2 aparece como exigência de venda para os Estados Unidos, quase sempre depois da ISO 27001.
LGPD
Lei 13.709/2018, fiscalizada pela ANPD. O cenário mudou de patamar: a Lei 15.352/2026 transformou a ANPD em agência reguladora, com autonomia e estrutura de carreira própria, o que aumenta capacidade concreta de fiscalização. Quem tratava a LGPD como risco teórico precisa revisar a premissa.
Em dezembro de 2025 a ANPD publicou o Mapa de Temas Prioritários para 2026 e 2027, com mais de 70 ações de fiscalização em quatro eixos: dados sensíveis, com foco em biometria, saúde e dados financeiros; crianças e adolescentes; uso secundário de dados para publicidade segmentada e perfilamento; e inteligência artificial, com a maior parte das ações concentrada em 2027. Se sua empresa está em um desses eixos, o prazo de preparação é agora.
As obrigações que estruturam o trabalho são conhecidas: base legal definida para cada operação de tratamento, registro das operações previsto no artigo 37, encarregado nomeado e acessível, atendimento aos direitos do titular do artigo 18, relatório de impacto quando o risco justifica, e medidas de segurança do artigo 46. A comunicação de incidente segue a Resolução CD/ANPD nº 15/2024, com prazo de três dias úteis contados do conhecimento do fato, dobrado para agentes de pequeno porte. Todos os incidentes precisam ser registrados, inclusive os que não exigem comunicação, e o registro se mantém por cinco anos.
Aqui vale uma advertência que damos a todo cliente: não existe certificado oficial de LGPD. Quem vende “certificação LGPD” está vendendo um selo privado sem valor perante a ANPD. O que existe é programa de governança demonstrável, na linha do artigo 50, e é isso que o Imara Trust organiza: inventário de tratamentos, bases legais, direitos atendidos com prazo, registro de incidentes e evidência de que as medidas de segurança operam.
PCI DSS
Padrão mantido pelo PCI Security Standards Council, aplicável a qualquer empresa que armazene, processe ou transmita dado de cartão. Não é lei nem certificação ISO: é exigência contratual das bandeiras, cobrada através do seu adquirente.
A versão vigente é a v4.0.1, obrigatória desde 31 de março de 2025. Os 51 requisitos que antes eram datados para o futuro já se aplicam integralmente, e são justamente os mais trabalhosos: definição formal de escopo com periodicidade, análise de risco direcionada para requisitos com flexibilidade, monitoramento de scripts em página de pagamento e controles reforçados de autenticação.
São 12 requisitos e algumas centenas de itens de verificação. A forma de validação depende do seu volume e do seu papel: questionário de autoavaliação em alguns casos, relatório de conformidade conduzido por QSA em outros, mais varredura trimestral por fornecedor aprovado.
A conversa mais útil que temos com cliente em PCI DSS raramente é sobre controle, é sobre escopo. Empresa que tokeniza e delega o dado sensível ao provedor de pagamento reduz drasticamente o ambiente auditável. Ampliar controle sobre um escopo que não precisava existir é o erro caro desse framework.
Assine
Saiba antes de todo mundo as novidade da Imara
Prometemos que não enviaremos spam.