Governança
Política, papéis e responsabilidades
Política corporativa de segurança da informação, responsabilidades nomeadas, fórum de risco e ciclo PDCA documentado.
Compliance
ISO/IEC 27001, como sistema de gestão.
A ISO/IEC 27001 define o Sistema de Gestão de Segurança da Informação (SGSI). Ela não é um checklist de ferramentas, e sim um ciclo de governança: contexto, risco, controle, evidência, melhoria.
ISO/IEC 27001
Por que esta norma importa.
A Hardenn organiza a operação de segurança da informação seguindo a estrutura da ISO/IEC 27001, com controles do Anexo A aplicados conforme criticidade e contexto. O resultado é uma postura auditável: políticas, processos e evidências amarradas a riscos identificados, não a vontade pontual de um time.
Risco
Identificação, avaliação e tratamento
Metodologia formal de risco, com critérios de aceitação, tratamento e revisão periódica. Riscos críticos são revisados na frequência ditada pelo apetite.
Anexo A
Controles aplicados por contexto
Selecionamos e justificamos os controles do Anexo A relevantes a cada engajamento.
- Controle de acesso e gestão de identidade
- Criptografia e gestão de chaves
- Segurança em desenvolvimento e operações
- Gestão de fornecedores e cadeia de suprimentos
- Continuidade de negócio e resposta a incidentes
Melhoria contínua
Auditoria interna e revisão pela direção
Programa de auditoria interna, indicadores e revisão pela direção, com plano de ação para não conformidades.
Como a Hardenn pratica
Controles e evidências que aplicamos a cada engajamento.
- Inventário de ativos de informação por sistema e por cliente.
- Matriz de acesso revisada periodicamente, MFA obrigatório.
- Criptografia em trânsito e em repouso, com gestão de chaves segregada.
- Gestão de vulnerabilidades, patching e hardening de base.
- Programa de awareness e treinamento contínuo do time.
- Plano de continuidade testado, com RPO/RTO definidos.
Documentação técnica, políticas e evidências disponíveis a clientes e parceiros sob NDA quando aplicável.
A Hardenn aplica controles alinhados à ISO/IEC 27001. Certificação formal, quando vigente, é divulgada no Trust Center com data, escopo e organismo certificador. Adoção do framework não equivale automaticamente a certificação.