ISO 27001, SOC 2 e LGPD: por onde começar

Chega um contrato grande e o cliente pede SOC 2. O jurídico cobra adequação à LGPD. Um parceiro internacional pergunta se você tem ISO 27001. De repente a empresa precisa das três, e cada uma parece um mundo. A boa notícia é que elas compartilham boa parte da base. Quem conduz bem trata as três como um programa só.

Três exigências que chegam ao mesmo tempo

Antes de decidir por onde começar, entenda o que cada uma pede.

ISO 27001

Norma internacional para sistema de gestão de segurança da informação. Ela pede que você identifique riscos, defina controles, documente políticas e opere um ciclo de melhoria contínua. A certificação vem de uma auditoria externa credenciada. É reconhecida no mundo todo e costuma ser a espinha do programa.

SOC 2

Relatório de auditoria (padrão americano, comum em contratos com empresas de tecnologia) que atesta como você trata segurança e, conforme o escopo, disponibilidade, confidencialidade, integridade de processamento e privacidade. Tem duas formas: o Tipo I olha o desenho dos controles num ponto no tempo, o Tipo II observa a operação deles ao longo de um período. Clientes pedem SOC 2 para confiar dados a você.

LGPD

Lei brasileira de proteção de dados pessoais. É obrigação legal, com sanção administrativa aplicada pela ANPD. Trata de base legal para tratamento, direito do titular, resposta a incidente com dado pessoal e responsabilização. LGPD é lei que você cumpre, e as outras duas ajudam a demonstrar parte desse cumprimento.

Onde elas se encontram

A sobreposição é maior do que parece. Controle de acesso, gestão de risco, resposta a incidente, política de segurança, gestão de fornecedor, criptografia e registro de atividade aparecem nas três. Montar isso uma vez, bem feito, atende a maior parte das três exigências de uma vez. O erro caro é rodar três projetos paralelos que produzem três pilhas de documento desconexas.

Por onde começar de fato

A ordem que funciona na maioria dos casos:

1. Mapeie dados e riscos. Que dado pessoal e sensível você trata, onde ele fica, quem acessa. Isso alimenta LGPD e ISO ao mesmo tempo.
2. Feche o básico de segurança. MFA, controle de acesso, backup testado, gestão de vulnerabilidade. São controles que as três cobram e que reduzem risco real desde o primeiro dia.
3. Escreva a política a partir do que você faz. Documento que descreve a prática real vale. Documento de prateleira que ninguém segue reprova na auditoria e deixa a empresa exposta.
4. Escolha a moldura primeiro. Em geral ISO 27001 como base, com SOC 2 e LGPD apoiados nos mesmos controles.
5. Rode antes de auditar. Auditoria olha operação. Deixe os controles rodando por um tempo antes de chamar o auditor.

O papel do GRC security lead

Governança, risco e compliance é uma disciplina própria, e o profissional que a conduz raramente é o mesmo que configura firewall. O GRC security lead traduz exigência regulatória em controle prático, conduz a análise de risco, prepara a empresa para auditoria e mantém o programa vivo depois do certificado na parede. Ele conversa com jurídico, com tecnologia e com a diretoria, porque compliance atravessa a empresa inteira.

O bom GRC lead equilibra dois extremos: o burocrata que enche a empresa de papel sem reduzir risco, e o técnico que despreza documentação e trava na auditoria. Ele entrega segurança real com evidência auditável.

O que perguntar na avaliação

• "Como você aproveita os controles de ISO 27001 para adiantar SOC 2 e LGPD."
• "Descreva uma análise de risco que você conduziu do início ao fim."
• "Como você prepara um time técnico para auditoria sem parar a operação."
• "O que você faz para o programa continuar vivo depois da certificação."

Red flags

• Vende certificado como produto, com foco na parede em vez do risco.
• Só conhece uma das três molduras e trata as outras como iguais.
• Enche a empresa de política que ninguém lê.
• Nunca passou por uma auditoria real do outro lado da mesa.

Modelos e por onde começar

Um programa de GRC tem um pico de trabalho na preparação e um ritmo mais leve de manutenção depois. Por isso alocar um GRC lead sênior por um período costuma fazer mais sentido que uma contratação fixa cara. Veja staff augmentation para o especialista no seu time, ou managed services quando você quer o programa conduzido de ponta a ponta com SLA.

Comece pelo mapa de dados e risco. Ele orienta as três exigências e mostra o tamanho do caminho antes de você gastar com ferramenta ou auditoria.

Se você precisa estruturar segurança e conformidade sem tropeçar, a Cyberwalk aloca líderes de GRC validados por par técnico. Contratar um GRC security lead começa por entender quais exigências pressionam a sua empresa agora.