Guias, análises e notícias sobre Enterprise Risk Intelligence, cyber risk, GRC e compliance.
Ninguém corrige todas as vulnerabilidades. Medir exposição é saber o que você tem, o que é alcançável e explorável, e se a curva de risco está descendo mês a mês.
Ler artigo →Mais de 72 mil CVEs em nove meses de 2026 tornaram a triagem manual inviável. Veja como correlacionar, priorizar e levar ao board decisões rastreáveis, com a decisão final humana.
Ler artigo →Um KRI só ajuda quando tem limite, gatilho e dono. Veja como escolher os primeiros indicadores, calibrar as faixas de alerta e amarrar cada alerta vermelho a uma resposta.
Ler artigo →Um piloto estreito, um inventário único de controles e a aprovação na mão da equipe: o roteiro para automatizar evidências e monitoramento sem criar risco novo.
Ler artigo →A 4.658 foi revogada pela CMN 4.893 em 2021, e a 5.274/2025 detalhou os controles mínimos. Linha do tempo, quem segue a BCB 85, prazos e checklist de revisão.
Ler artigo →Quais resoluções do Conselho Diretor da ANPD geram obrigação para empresas, o que cada uma exige na prática, os prazos que importam e como organizar as evidências para uma fiscalização.
Ler artigo →O que a Circular SUSEP nº 638/2021 exige de seguradoras, EAPCs, sociedades de capitalização e resseguradores locais, o que a Resolução SUSEP nº 90/2026 mudou na terceirização e como ela convive com a LGPD e a CMN 4.893.
Ler artigo →Testes que rodam sobre populações inteiras, exceções com dono e IA para priorizar o que o auditor revisa: um roteiro para ir além da amostragem trimestral.
Ler artigo →IA acoplada a planilhas isoladas só resume o problema. O que separa uma plataforma empresarial é o modelo de dados único, a decisão humana registrada e o retorno medido com os seus próprios números.
Ler artigo →O que levar à sala do conselho: exposição em reais, poucos indicadores em tendência, um ritmo trimestral com alerta imediato para incidentes e cada número rastreável até a evidência.
Ler artigo →Como conectar risco, controles, ativos e fornecedores em uma única visão e usar IA, com validação humana, para priorizar exposições e levar ao conselho decisões com evidência.
Ler artigo →Do escopo do SGSI à auditoria de Estágio 2: o que fazer em cada etapa da certificação ISO 27001, o que o auditor verifica e como sustentar o certificado nos três anos seguintes.
Ler artigo →Sanções, reputação, documentos e monitoramento contínuo: onde a IA encurta a due diligence de terceiros e por que a decisão final precisa continuar humana e rastreável.
Ler artigo →As etapas de um programa de risco de terceiros, do inventário ao fim do contrato, com o que a ISO 27001, o NIST CSF 2.0 e a LGPD pedem e onde a automação ajuda.
Ler artigo →Duas falhas no motor do PHP, tentativa de exploração antes do patch e uma falha relacionada dois dias depois. O que está confirmado, o que ainda é relato e o que decidir, com o threat brief completo para download.
Ler artigo →Onde a IA ajuda o compliance bancário (monitoramento, PLD/FT, KYC e evidências), o que exigem a CMN 4.893 e a 5.274 e seis critérios para comparar fornecedores.
Ler artigo →Planilha, ferramenta pontual ou plataforma integrada? Um roteiro prático para CISOs, gestores de GRC e CROs compararem opções com critérios verificáveis, e não com promessas de demonstração.
Ler artigo →O que acrescentar à avaliação quando a plataforma de GRC vai operar sob a regulação brasileira: CMN, BCB, SUSEP, ANEEL, Anatel, LGPD, Lei Anticorrupção e transferência internacional de dados.
Ler artigo →Critérios escritos para probabilidade e impacto, faixas de severidade ligadas ao apetite ao risco e os cinco erros que transformam a matriz em documento decorativo.
Ler artigo →Por que a fila de CVEs por severidade não reduz risco, como a IA cruza ativo, ameaça e controle para priorizar a remediação e quais métricas de exposição levar ao board.
Ler artigo →Os critérios para comparar plataformas de gestão de riscos no Brasil: cobertura regulatória, inventário único de controles, rastreabilidade e uma visão de risco que o conselho entende.
Ler artigo →Do mapeamento de dados à notificação de incidentes em 3 dias úteis: as obrigações da LGPD traduzidas em passos concretos para sua empresa.
Ler artigo →O que um software de governança de IA precisa fazer, quais riscos de modelos ele endereça e como escolhê-lo sem criar mais um silo fora do GRC.
Ler artigo →Como escolher uma ferramenta de compliance com IA no Brasil: critérios de avaliação, automação de evidências e ganhos para times enxutos.
Ler artigo →A declaração aprovada em ata não diz ao analista o que fazer. Como transformar apetite em limite, e limite em critério de aceitação.
Ler artigo →Prazo de adequação encerrado em março de 2026. Os 14 controles mínimos obrigatórios, as exigências para Pix e o que já era coberto pela ISO 27001.
Ler artigo →Quem contrata processamento de dados ou nuvem continua respondendo pelo serviço. O que a norma exige, artigo por artigo.
Ler artigo →A versão 2.0 acrescentou o Govern e deixou de ser só para infraestrutura crítica. O que muda e como conviver com a ISO 27001.
Ler artigo →O mapa de calor empata riscos que diferem em duas ordens de grandeza. Quando a decisão é de orçamento, cor não basta.
Ler artigo →Os 93 controles nos quatro temas, os onze que são novos na versão 2022, e o que o auditor aceita como evidência.
Ler artigo →Ninguém corrige 48 mil vulnerabilidades por ano. A questão não é quantas você fecha, é quais — e o CVSS sozinho responde isso mal.
Ler artigo →Os números são parecidos e os papéis não são. O que cada norma da família 27k faz, e qual delas você precisa de verdade.
Ler artigo →A norma que se audita exige análise de risco e não diz como fazê-la. Quem responde é a 27005 — e ela mudou em 2022.
Ler artigo →Não é uma lista de controles de TI. Entenda o que a norma realmente exige, o que mudou na versão 2022 e quando a certificação compensa.
Ler artigo →As empresas têm dados de segurança de sobra. O que falta é transformá-los em decisões de risco. O CROC é a camada que faz essa ponte — sem substituir o SOC.
Ler artigo →Um score de risco é útil quando mostra tendência e aponta onde agir. É perigoso quando vira uma média que esconde o pior ativo.
Ler artigo →Quantificar é trocar a cor do mapa de calor por uma faixa de perda com probabilidade. Veja como o modelo funciona por dentro e onde ele costuma falhar.
Ler artigo →A mesma falha pode valer 9.3, 8.1 ou 6.5 no CVSS 4.0. A diferença está nos grupos de métricas que quase ninguém preenche.
Ler artigo →