Governança Integrada · 10 frameworks · 17 controles unificados
Convergência entre Controles de Segurança da Informação
Elimine a fadiga de conformidade unificando Segurança, Privacidade e Inteligência Artificial em uma única arquitetura de controles. Múltiplos frameworks exigem, sob nomes diferentes, essencialmente as mesmas capacidades operacionais — esta plataforma torna essa convergência visível, auditável e executiva.
Explorar a Matriz de ControlesAcesse o Dash de ControlesPainel complementar elaborado em Data Studio (Looker BI Google)Ver Diagnóstico de GapsRetornar para Home
- Cyber
- SI + Privacidade
- IA
- ISO 42001 · OWASP LLM
- BR
- BACEN · SUSEP
GRC · Políticas · Auditoria · Riscos · Conscientização
Indicadores
O tamanho real da convergência regulatória
0
Frameworks e normas mapeados
0
Famílias unificadas de controle
0
Subcontroles SCF consolidados
0 anos
Retenção mínima de logs (BACEN/SUSEP)
0
Gaps críticos de convergência
Frameworks mapeados
14 normas organizadas em 3 famílias visuais
Base normativa consolidada a partir da matriz oficial SCF (Secure Controls Framework) — 908 subcontroles cruzados a governança, cibersegurança, privacidade, IA, nuvem e regulação setorial brasileira.
Normas Internacionais de Gestão7
- COBIT 2019ISO / NISTISACA COBIT 2019
- COSO 2013ISO / NISTCOSO Internal Control – Integrated Framework 2013
- ISO 27001ISO / NISTISO/IEC 27001:2022 — SGSI
- ISO 27002ISO / NISTISO/IEC 27002:2022 — Controles de referência
- ISO 27701ISO / NISTISO/IEC 27701:2025 — PIMS (Privacidade)
- ISO 31000ISO / NISTISO 31000:2018 — Gestão de Riscos
- ISO 42001ISO / NISTISO/IEC 42001:2023 — SGIA (IA)
Frameworks Técnicos e de Aplicação6
- SOC 2TécnicoAICPA SOC 2 (TSC 2017)
- CIS v8.1TécnicoCIS Controls v8.1
- CSA CCM 4TécnicoCloud Security Alliance CCM 4.1.0
- NIST PrivacyTécnicoNIST Privacy Framework 1.0
- NIST CSF 2.0TécnicoNIST Cybersecurity Framework 2.0
- PCI DSS 4.0.1TécnicoPCI DSS v4.0.1
Regulação Brasileira1
- BACEN CMN 4.893BrasilResolução BACEN CMN nº 4.893/2021 (originalmente 4.863/2020)
Mapa de convergência
Um controle. Múltiplas exigências. Uma auditoria.
Passe o mouse sobre um framework para destacar as conexões até os 17 controles unificados. Clique em um controle para abrir o detalhe técnico. Exemplo: criptografia em trânsito e repouso atende simultaneamente ISO 27001 (A.8.24), PCI DSS (Req 3 e 4), CIS (3.10/3.11), ISO 27701 (6.7.1/6.7.2) e resoluções BACEN/SUSEP.
Normas InternacionaisFrameworks TécnicosRegulação Brasileira
Matriz consolidada
908 controles SCF em 17 famílias convergentes.
Cada cartão consolida dezenas de subcontroles do Secure Controls Framework (SCF) mapeados simultaneamente a 14 normas. Filtre por família, busque por referência (ex.: A.8.24, Art. 3º, GV.SC-01) e expanda para ver a cobertura numérica por framework.
Motor de risco
A matemática por trás do risco operacional unificado
O relatório propõe um modelo quantitativo simples e auditável para orientar decisões executivas: o risco final é o produto da probabilidade composta de falha das barreiras lógicas pelo impacto no negócio e em terceiros. Basta uma barreira ceder para que a probabilidade escale — e a combinação de duas falhas próximas eleva o risco de forma exponencial.
Fórmula
R = P × I
Risco = Probabilidade de falha composta × Impacto no negócio e em terceiros
Fórmula
P = 1 − ∏ₖ (1 − Pfₖ)
A probabilidade composta é 1 menos o produto das eficácias (1 − Pf) de cada barreira lógica k.
Exemplo real do relatório: a falha no controle de injeção de prompt (OWASP LLM01) encadeada com a falha do controle de prevenção de vazamento de dados (ISO 27001 A.8.12) eleva desproporcionalmente o risco final de privacidade — mesmo que cada probabilidade individual pareça aceitável isoladamente.
Mini-simulador de risco composto
Pf₁ · Falha em bloqueio de prompt injection (OWASP LLM01)15%
Pf₂ · Falha em DLP / vazamento (ISO 27001 A.8.12)20%
Pf₃ · Falha em SIEM / detecção (ISO 27001 A.8.15)10%
I · Impacto no negócio e em terceiros70%
P (composta)
38.8%
R (risco)
27.2%
Classificação
Moderado
Diagnóstico de gaps
Requisitos insatisfeitos que exigem ação executiva
Quatro lacunas críticas identificadas ao cruzar os 14 frameworks — cada uma apresentada como problema, causa e remediação, com os artigos regulatórios e subcontroles SCF relacionados.
Chaves Criptográficas
Isolamento lógico de chaves em nuvem (BYOK/HSM)
- 1Problema
Provedores de IaaS/SaaS não podem ter acesso lógico facilitado ou custódia compartilhada sobre chaves privadas usadas para assinar mensagens no STR e no Pix.
- 2Causa
KMS padrão do provedor de nuvem oferece custódia compartilhada, o que fere BACEN CMN 4.893 e é tratado como inconformidade crítica pela Circular SUSEP 638; SCF-CRY exige controle exclusivo pelo titular do dado.
- 3Remediação
Migrar para HSM dedicado sob modelo Bring Your Own Key (BYOK), com auditoria de acesso e rotação isolada da operação do provedor, refletida no CMDB e no Model Card quando houver IA.
BACEN CMN 4.893SUSEP 638ISO 27002 §8.24CSA CCM CEK-01
Retenção de Logs
Divergência nos prazos de retenção e imutabilidade
- 1Problema
ISO/CSA recomendam retenção dimensionada por risco; BACEN e SUSEP exigem linha de base mínima de 5 anos de logs íntegros e recuperáveis.
- 2Causa
Logs de logon, alteração de ativos, bypass em APIs, acesso privilegiado no AD e mudanças de privilégio em consoles cloud precisam de custódia inviolável — 48 subcontroles SCF de Monitoramento Contínuo dependem desse baseline.
- 3Remediação
Padronizar a política corporativa pela linha de base mais restritiva (5 anos, WORM/imutável), com replicação, verificação de integridade automatizada e correlação SIEM na borda.
BACEN CMN 4.893SUSEP 638ISO 27002 §8.15NIST CSF DE.CM
Governança de IA
Governança formal sobre modelos e decisões autônomas
- 1Problema
Soluções de LLM corporativas são implantadas de forma descentralizada, sem comitê de segurança ou avaliação prévia de risco.
- 2Causa
Ausência de comitê formal de IA, de AIIA por sistema e de monitoramento contínuo do drift de dados e algoritmos previstos pela ISO 42001 — 50 subcontroles SCF do domínio AAT permanecem descobertos.
- 3Remediação
Instituir comitê de IA integrado ao GRC, produzir Model Cards e AIIAs por sistema, alimentar CTI contínuo e integrar as mitigações do NIST AI RMF ao ciclo DevSecOps.
ISO 42001NIST AI RMFSCF AAT
Cadeia de Suprimentos
Right-to-audit e transição segura de terceiros críticos
- 1Problema
Contratos com provedores de nuvem, BPO de dados e integradores frequentemente não asseguram inspeção independente nem plano de saída seguro em caso de descontinuidade.
- 2Causa
BACEN CMN 4.893 e SUSEP 638 exigem cláusulas de direito de auditoria, relatórios periódicos de conformidade e reversibilidade de dados — 26 subcontroles SCF de TPM cruzam com NIST CSF GV.SC e PCI DSS 12.8/12.9.
- 3Remediação
Padronizar template contratual com right-to-audit, monitoramento TPRM contínuo (SOC 2 Tipo II ou equivalente), plano formal de exit strategy e integração ao inventário de riscos ISO 31000.
BACEN CMN 4.893SUSEP 638PCI DSS 12.8/12.9NIST CSF GV.SC
Diretrizes estratégicas
De checklist passivo a diferencial competitivo
01
Matriz única de riscos
Consolidar segurança da informação, privacidade de terceiros e governança ética de IA em um único registro corporativo, coordenando DPIA e AIIA sob a mesma linguagem metodológica.
02
Automação da coleta de evidências
Centralizar logs de MFA, hardening e integridade de rede em um console único de SOC/SIEM, permitindo comprovação contínua a múltiplos reguladores — sem esforço manual reativo pré-auditoria.
03
Revisão contratual de terceiros críticos
Atualizar contratos com provedores de nuvem para impor isolamento físico-lógico de chaves privadas e proibição de compartilhamento com terceiros, tornando a conformidade um diferencial competitivo — não apenas um checklist.
Posicionamento executivo
A conformidade deixa de ser um checklist passivo para se tornar um diferencial estratégico que protege operações e reputação institucional no mercado financeiro.
Autor
Vamos conversar?
Estou sempre aberto a trocar experiências, discutir desafios de Cyber Security, Governança, Gestão de Riscos, Compliance, Inteligência Artificial, ISO/IEC 42001, ISO/IEC 27001, NIST CSF, TPRM, GRC e transformação digital.
Daniel Rodrigues Ribeiro Tanigawa
Cyber Security · GRC · Governança · Riscos · Compliance · IA
Autor do relatório de convergência regulatória. Atua na intersecção entre segurança da informação, privacidade, TPRM/VRM e governança de IA, com foco em eliminar a fadiga de auditoria através de uma visão holística de controles.
Familiaridade normativa
ISO/IEC 27001ISO/IEC 27002ISO/IEC 27701ISO/IEC 42001NIST CSF 2.0OWASP LLM Top 10CIS Controls v8.1PCI DSS 4.0.1BACEN CMN 5.274BCB 538SUSEP 638LGPDTPRM/VRMGRC