CogniRisk Conhecer

Segurança da informação e governança

Cibersegurança sob controle, da operação à diretoria.

O VANT, da CogniRisk, reúne a cibersegurança da empresa num só lugar: controles, vulnerabilidades, pentest, acessos e incidentes. O controle executado, o requisito respondido e o risco aceito ficam com o nome de quem fez e a data.

Conhecer o VANT Ver o que se contrata

No exemplo ao lado

  • Quem executou e quem aprovou, cada um com data e hora, e a evidência anexada.
  • O risco residual, calculado a partir dos controles homologados e comparado ao apetite.
  • O período fechado: reabrir fica na trilha, com quem tinha fechado e quando.

VANT

O que fica registrado, e em nome de quem

  1. Normas, requisito a requisito

    Cada resposta a um requisito leva o nome de quem a deu e a data, e o arquivo que a comprova fica anexado com prazo de validade. Só a gestão pode tirar um requisito da conta, como não aplicável ou removido.

  2. Autoavaliação dos controles

    A área executa cada controle no período dele, dentro do prazo que a empresa define, e anexa a evidência ou a nota de execução. A homologação aprova ou devolve com motivo, e o histórico exportado traz a conta de cada número, com quem executou e quem aprovou.

  3. Risco para a diretoria

    A Matriz RAS calcula o risco residual a partir dos controles homologados e compara com o apetite de cada risco. Uma visão explica, controle a controle, por que a nota mudou entre dois meses, e os cenários mostram o que muda se um controle melhorar.

  4. Do apontamento ao encerramento

    O apontamento do auditor ou do regulador entra com o texto original e o prazo cobrado. Cada ação com dono vira cartão no quadro de quem a executa e volta concluída com nome e data. Quem encerra é a Governança, e quem respondeu por uma ação não pode validá-la.

  5. Terceiros

    O fornecedor responde o questionário de segurança por um link, sem conta no portal, com as perguntas congeladas no envio, e só consegue enviar com todas respondidas. Cada avaliação mostra as respostas por trás da nota, e certificados e laudos do terceiro ficam num cofre com validade.

  6. Regras das ferramentas

    Cada regra que a empresa diz ter ligada, no DLP ou no firewall, pede a cada período o anexo e o visto de quem conferiu, ou a justificativa de quem não conseguiu. Regra nova de DLP passa pelo gestor e pela auditoria, e quem pediu não aprova.

  7. Pentest no Codex

    A severidade que a empresa de pentest deu fica ao lado da adotada, e o CVSS é recalculado do vetor. Risco aceito e falso positivo exigem justificativa e aprovação da gestão, e a cobertura aponta o alvo que nunca foi testado.

  8. Incidentes

    A ficha registra tipo, severidade, natureza dos dados expostos e causa raiz. O comunicado sai em PDF com a marca da empresa e por e-mail, com prévia antes do envio.

  9. Ciclo de vida de acesso

    Admissão, afastamento, transferência e desligamento no Active Directory e no Microsoft 365, a partir da fila do Freshservice e da base de RH. Nenhuma conta é tocada até a empresa liberar a execução real, fluxo a fluxo, e o desligamento guarda os grupos da pessoa antes de tirá-los, para poder reverter.

O que sustenta a prova

Por que o registro se sustenta

  1. Cada empresa no próprio schema

    Os dados de cada empresa ficam num schema próprio do banco de dados. Um teste povoa duas empresas e confere, modelo a modelo, que uma não lê o dado da outra; a lista de modelos sai do próprio sistema, e o que for criado amanhã entra sozinho.

  2. Segregação de funções

    Na aprovação de política, no aceite de risco, na validação de plano de ação e na mudança de permissão, o portal recusa a mesma pessoa nas duas pontas.

  3. Arquivo restrito só sai pela tela

    Relatórios de pentest, anexos de FAP e as evidências de Conformidade, Controle de Regras, Fornecedores e DLP ficam fora da área servida pela web, numa pasta por empresa. Só saem pela tela do módulo, que confere o acesso e registra o download.

  4. Acesso por pessoa, com autor

    Tela de módulo não contratado não abre, nem por concessão nominal. O administrador concede ou revoga tela a tela, pessoa a pessoa, e ninguém altera o próprio acesso: a mudança pede outro administrador e fica na trilha com o nome de quem a fez.

  5. A conta aparece inteira

    Na Conformidade, o requisito que ninguém avaliou conta contra a aderência, sempre mostrada ao lado da cobertura. Na Matriz RAS, a metodologia abre cada conta com os números da empresa, e risco sem nenhum controle medido fica com o residual igual ao inerente.

  6. Histórico preservado

    O período fechado no Controle de Regras trava, e reabrir fica na trilha com quem tinha fechado e quando. O que se remove de uma norma ou de um plano de ação sai da conta e continua no histórico, com o nome de quem tirou.

Com o GRC vêm catálogos para a área se avaliar contra a Resolução CMN nº 4.893/2021, o recorte de segurança da LGPD, a ISO/IEC 27001:2022 (Anexo A), o NIST CSF 2.0 e os CIS Controls v8.1. Eles não certificam a plataforma.

O que se contrata

Os módulos se somam ao núcleo. O que ficou fora do contrato sai do menu e não abre pelo endereço.

  • CISO

    A Matriz RAS, o painel executivo, os painéis de vulnerabilidades, chamados e metas, o Orçamento ligado aos controles e as fichas de avaliação de produto (FAP). É o que o CISO leva à diretoria.

  • Operacional

    Incidentes, o ciclo de vida do acesso no diretório (admissão, afastamento, transferência e desligamento), Governança de DLP, homologação de software e IA, automações e a biblioteca de comandos.

  • Ferramentas

    Certificados da emissão ao aviso de vencimento, com a CA da própria empresa e conversor de formatos. Domínios com aviso antes de expirar e criptografia que registra o uso sem guardar o conteúdo.

  • Codex

    Pentest do relatório ao reteste, com painel próprio: CVSS recalculado do vetor, prazo por severidade, recorrência, aceite de risco pela gestão e a cobertura do alvo nunca testado.

  • Gestão de Equipe

    O espaço do gestor sobre o próprio time, com apontamentos, ciclos de avaliação, carreira e entregas do quadro. Nenhum papel abre a tela, nem o de administrador; entra quem recebe acesso nominal.

  • GRC

    Conformidade com evidência e validade por requisito, planos de ação, controle de regras, fornecedores com questionário por link, políticas com ciência por versão e registro de riscos.

Núcleo

Vem em todo contrato e não se desliga: Início, metas, tarefas, atalhos para as ferramentas da área, a autoavaliação de controles (CSA), a trilha de Auditoria e as Configurações da empresa.

Gauntlet

Exercício de crise cibernética

Produto separado do VANT, com contratação própria.

A equipe enfrenta um incidente simulado numa mesa conduzida por um mestre, com o cenário na TV da sala e um dossiê com papel e missão para cada participante. As decisões consomem minutos do relógio e podem somar prejuízo, e a nota final desconta os dois. No fim, o debriefing mostra o roteiro com os caminhos que cada fase oferecia.