Question 1

O que a DM11 faz?

Accepted Answer

Somos uma consultoria de AI Trust e IT Risk Protection. Estruturamos governança de IA, programas de conformidade (ISO 27001, PCI DSS, SOC 2, LGPD, BACEN), cibersegurança ofensiva e defensiva, Security Office sob demanda e continuidade de negócios. Tudo com metodologia própria e especialistas certificados.

Question 2

Desde quando a DM11 atua no mercado?

Accepted Answer

A empresa nasceu em 2009, herdando quase 30 anos de experiência do sócio-executivo em projetos de cibersegurança. De lá para cá foram mais de 5.300 projetos entregues, mais de 2 milhões de ativos protegidos e mais de 900 mil vulnerabilidades detectadas só em 2025.

Question 3

O que diferencia a DM11 de outras consultorias?

Accepted Answer

Três coisas. Não vendemos ferramentas, então a recomendação que você recebe é técnica e não comissionada. O time carrega as certificações internacionais que o mercado exige. E preparamos clientes para as exigências de bancos, Big Four e grandes players do varejo digital há quinze anos.

Question 4

A DM11 revende ferramentas de segurança?

Accepted Answer

Não revendemos nada. Essa é uma decisão de negócio deliberada. Quando avaliamos seu ambiente e recomendamos um caminho, você sabe que a análise técnica é o único critério por trás daquela recomendação.

Question 5

Quais certificações o time da DM11 possui?

Accepted Answer

Entre as principais estão CISA e CGEIT (ISACA), CEH (EC-Council), ISO/IEC 27001 Lead Auditor pela BSI, PCI QSA, DPO e PDPP pela EXIN, COBIT 5, ITIL, PMP e PRINCE2 Foundation. Somam-se credenciais em pentest, threat intelligence e perícia forense digital.

Question 6

Como funciona o atendimento no dia a dia?

Accepted Answer

Cada projeto tem especialistas designados e uma rotina de acompanhamento definida com você no início. Você recebe relatórios com plano de ação priorizado e reuniões de apresentação de resultados, não um documento solto na caixa de entrada.

Question 7

A DM11 atende empresas de qualquer porte?

Accepted Answer

Atendemos do agronegócio ao setor financeiro, em portes variados. A estratégia é personalizada por porte e setor, justamente porque o que faz sentido para uma instituição financeira regulada não é o que faz sentido para uma empresa em crescimento acelerado. O escopo certo sai do diagnóstico inicial.

Question 8

Vocês atendem empresas fora de São Paulo?

Accepted Answer

Sim. Nosso endereço fica na região da Berrini, no Brooklin, em São Paulo, mas os projetos são conduzidos de forma remota ou presencial conforme a necessidade. A localização da sua operação não limita o atendimento.

Question 9

Como começa um projeto com a DM11?

Accepted Answer

Começa por uma conversa para entender seu contexto, seu momento e o que está pressionando: uma auditoria, um cliente exigente, um regulador, uma adoção de IA. Em seguida propomos um diagnóstico que dimensiona o escopo real. Só depois disso falamos de plano de trabalho.

Question 10

Quem executa os projetos: equipe própria ou terceirizada?

Accepted Answer

Equipe própria. Os pentesters são internos e certificados, sem nenhuma terceirização, e temos Centro de Inteligência Cibernética (CIC) próprio. Isso importa porque quem entra no seu ambiente responde diretamente por sigilo e método.

Question 11

Como a DM11 trata a confidencialidade das informações?

Accepted Answer

Sigilo é condição de existência do nosso trabalho. Em forense digital, por exemplo, entregamos relatórios aptos a suportar processos judiciais, com sigilo absoluto sobre o material analisado. A mesma disciplina se aplica a qualquer projeto: acesso restrito ao necessário e evidências tratadas com rastreabilidade.

Question 12

Em quais idiomas a DM11 trabalha?

Accepted Answer

Atendemos em português e produzimos documentação, em português e inglês, para os contextos internacionais em que nossos clientes precisam responder, como SOC 2, ISAE 3402, GDPR, TISAX e EU AI Act. Se a sua matriz ou o seu auditor exigem material em outro idioma, alinhamos isso no escopo.

Question 13

O que é AI Trust?

Accepted Answer

É a confiança necessária para sua empresa crescer usando IA. Na prática, significa unir governança, gestão de risco, conformidade regulatória e segurança das aplicações de IA em um programa único. Foi o passo natural de quem já fazia IT GRC, cibersegurança e continuidade de negócios.

Question 14

Por que governar o uso de IA na minha empresa?

Accepted Answer

Porque sua empresa já usa IA, com ou sem política definida. Sem governança, modelos com viés e alucinações em processos críticos decidem e erram em escala, e agentes autônomos operam sem limites claros. Você estrutura agora ou o regulador, o cliente ou um incidente estruturam por você.

Question 15

O que é a ISO/IEC 42001?

Accepted Answer

É a primeira norma internacional certificável de governança de inteligência artificial. Ela define o Sistema de Gestão de IA (AIMS): papéis, políticas, fluxos de aprovação de casos de uso e supervisão humana, tudo documentado e auditável. Estruturamos sua adequação do diagnóstico à preparação para a certificação.

Question 16

O EU AI Act se aplica à minha empresa brasileira?

Accepted Answer

Depende de onde você opera e para quem vende. Empresas que atuam na Europa ou fornecem sistemas de IA para o mercado europeu entram no escopo. Fazemos o gap assessment frente ao EU AI Act e classificamos seus sistemas por categoria de risco regulatório para responder essa pergunta com precisão no seu caso.

Question 17

Como está a regulação de IA no Brasil?

Accepted Answer

O marco legal de IA avança no Congresso pelo PL 2338/2023 e a ANPD ampliou o escopo de fiscalização sobre decisões automatizadas e dados pessoais em IA. Quem se estrutura agora evita a adequação às pressas, que sempre custa mais e sai pior.

Question 18

O que é um AI Risk Assessment?

Accepted Answer

Inventariamos todos os usos de IA da empresa, oficiais e não oficiais, e classificamos cada um por risco regulatório, de segurança, de privacidade e de reputação. Você recebe um mapa priorizado com plano de tratamento e indicadores para levar ao conselho. Usamos o padrão de método que consagrou o oitenta20®.

Question 19

O que é shadow AI e por que devo me preocupar?

Accepted Answer

É o uso de ferramentas de IA generativa por colaboradores, com dados internos, sem qualquer supervisão. Cada prompt pode carregar dados pessoais, segredos comerciais ou propriedade intelectual para fora da empresa. O inventário do AI Risk Assessment inclui justamente esses usos não oficiais.

Question 20

O que é prompt injection?

Accepted Answer

É um ataque em que instruções maliciosas são inseridas na entrada do modelo para desviar o comportamento da aplicação, burlar restrições ou extrair informações que deveriam ficar protegidas. Testamos isso em pentest de aplicações de IA e LLMs, junto com técnicas de jailbreak.

Question 21

Quais outros riscos de segurança as aplicações com LLM trazem?

Accepted Answer

Sistemas de IA criam superfícies de ataque inéditas: envenenamento de dados de treino, extração de modelos e vazamento de informações sensíveis pelas respostas. Cobrimos esses vetores com pentest, MLSecOps nos pipelines de ML e análise da cadeia de suprimentos de modelos (AI/ML BOM).

Question 22

O que é data poisoning?

Accepted Answer

É a contaminação deliberada dos dados usados para treinar ou alimentar um modelo, de forma a distorcer suas decisões depois. O estrago aparece em produção, quando o modelo já está decidindo. Fazemos detecção de data poisoning e model extraction dentro da frente de cibersegurança para IA.

Question 23

O que é AI Red Teaming?

Accepted Answer

São testes adversariais conduzidos sobre seus modelos, pipelines e aplicações generativas, seguindo referências como MITRE ATLAS e o OWASP Top 10 for LLM. Aplicamos metodologia ofensiva e defensiva ao longo de todo o ciclo de vida, não apenas no momento do lançamento.

Question 24

Como auditar viés e explicabilidade de um modelo?

Accepted Answer

Modelos que decidem sobre pessoas precisam responder por suas decisões. Avaliamos viés e fairness nos modelos e nos dados de treino, verificamos a explicabilidade das decisões automatizadas conforme o artigo 20 da LGPD e alinhamos a referências como OECD AI Principles e UNESCO AI Ethics. A saída são relatórios de auditoria para reguladores e stakeholders.

Question 25

Preciso de uma política de uso responsável de IA?

Accepted Answer

Precisa, e ela só funciona se for comunicada e treinada. Escrevemos a política junto com a matriz de responsabilidades, estruturamos o comitê de IA e os fluxos de aprovação de casos de uso, e depois levamos isso às áreas em trilhas de conscientização por perfil: jurídico, TI e negócio.

Question 26

Quando é a hora de começar a governar IA?

Accepted Answer

Antes de a pergunta chegar de fora. Reguladores, clientes e conselhos já cobram respostas sobre uso de IA, e um AI Risk Assessment revela em semanas o que um incidente revelaria da pior forma possível. Se você ainda não sabe quantos sistemas de IA rodam na sua operação, esse é o sinal.

Question 27

O que é IT GRC?

Accepted Answer

É a disciplina que junta governança, gestão de riscos e conformidade de tecnologia em um sistema só. Em vez de atender cada norma isoladamente, você estrutura controles que servem a várias exigências ao mesmo tempo. Menos esforço interno, evidências reaproveitadas, auditoria previsível.

Question 28

O que é a ISO 27001 e o que a DM11 faz nesse projeto?

Accepted Answer

É a norma internacional de Sistema de Gestão de Segurança da Informação, e na prática é a credencial que mais destrava negócio com cliente enterprise no Brasil. Conduzimos do diagnóstico à certificação: análise de lacunas, plano de adequação, implementação de controles, gestão de riscos e preparação para a auditoria. Depois seguimos na manutenção e melhoria contínua do SGSI, com Lead Auditors certificados pela BSI no time.

Question 29

Quanto tempo leva para certificar a ISO 27001?

Accepted Answer

Depende do tamanho do escopo, da maturidade atual dos seus controles e da disponibilidade do seu time para produzir evidências. A análise de lacunas é o que transforma essa pergunta em um cronograma real. Sem ela, qualquer prazo prometido é chute.

Question 30

O que é a ISO 27701?

Accepted Answer

É a extensão de privacidade da família ISO 2700x. Ela acrescenta ao seu sistema de gestão os controles específicos de tratamento de dados pessoais, o que conversa diretamente com as exigências da LGPD e do GDPR. Faz sentido quando privacidade já é parte da sua proposta comercial.

Question 31

Como funciona um projeto de PCI DSS e qual o papel do QSA?

Accepted Answer

Avaliamos o escopo do seu ambiente de pagamento, fazemos o gap assessment, implementamos os controles e a criptografia de dados de cartão, escrevemos políticas e procedimentos, treinamos as equipes e acompanhamos a certificação. Quem conduz são profissionais com credencial PCI QSA, qualificados para avaliar conformidade segundo o padrão do PCI Security Standards Council. Ou seja, a preparação é feita por quem conhece o critério de avaliação por dentro.

Question 32

Qual a diferença entre SOC 2 Tipo I e Tipo II?

Accepted Answer

O Tipo I atesta o desenho dos controles em um momento específico. O Tipo II avalia a operação efetiva desses controles ao longo de um período de observação, o que é bem mais exigente e é o que grandes clientes costumam pedir. Damos suporte durante o período de observação do Tipo II.

Question 33

O que é o ISAE 3402?

Accepted Answer

É um relatório internacional de asseguração sobre os controles de uma organização prestadora de serviços, muito pedido quando seus clientes precisam confiar nos seus processos para fechar as próprias auditorias. Preparamos escopo, desenho de controles e coleta de evidências para você chegar ao auditor sem sustos.

Question 34

O que as resoluções CMN 4.893 e BCB 85 do BACEN exigem?

Accepted Answer

Instituições financeiras e de pagamento precisam de uma política de segurança cibernética formal, um plano de resposta a incidentes com comunicação ao regulador e controles sobre a contratação de processamento e armazenamento em nuvem. Começamos mapeando quais requisitos se aplicam à sua instituição especificamente, implementamos as frentes necessárias e mantemos o monitoramento contínuo de conformidade.

Question 35

Como é um projeto de adequação à LGPD?

Accepted Answer

Vai do mapeamento dos fluxos de dados e definição de bases legais às políticas de privacidade e governança, mecanismos para atender direitos dos titulares e treinamento das equipes. Integramos isso ao seu programa de segurança em vez de tratar privacidade como projeto paralelo.

Question 36

Preciso ter um DPO? Posso terceirizar?

Accepted Answer

Você pode terceirizar, mas nem sempre é o melhor caminho. Com o DPO Backoffice®, seu Encarregado continua interno, conhecendo o negócio, e ganha ao lado dele um time de Direito Digital, cibersegurança e GRC. Sai por menos que contratar e manter um especialista sênior e o conhecimento fica dentro de casa.

Question 37

Como responder a pedidos de titulares de dados?

Accepted Answer

Você precisa de um processo definido, não de improviso caso a caso. Implementamos os mecanismos para atender aos direitos dos titulares e cuidamos da rotina de privacidade: consentimento, pedidos recebidos, incidentes e riscos de operadores e terceiros.

Question 38

Por que avaliar a segurança dos meus fornecedores?

Accepted Answer

Porque seus fornecedores fazem parte da sua superfície de risco, e o cliente que audita você vai perguntar sobre eles. Avaliamos os fornecedores críticos, revisamos contratos e cláusulas de segurança, padronizamos questionários e evidências e monitoramos o ecossistema periodicamente.

Question 39

Um cliente me enviou um questionário de segurança enorme. Como responder?

Accepted Answer

Esse questionário é onde muita venda trava. Um dossiê de segurança bem montado responde a maior parte das perguntas antes de elas chegarem, com controles no lugar e evidências prontas. Organizamos essa base para que a due diligence deixe de ser um obstáculo e passe a ser um argumento.

Question 40

Como me preparar para uma auditoria?

Accepted Answer

Auditoria vira crise quando as evidências são produzidas na semana anterior. Trabalhamos o desenho dos controles, a coleta contínua de evidências e a prontidão para o auditor, com metodologia própria e especialistas que já estiveram dos dois lados da mesa.

Question 41

Estar em conformidade é o mesmo que estar seguro?

Accepted Answer

Não é. Conformidade prova que você atende a um conjunto de requisitos em um recorte de escopo. Segurança é a capacidade real de resistir a um atacante, que só se mede testando: pentest, simulação de phishing, exercícios de crise. Um programa maduro faz as duas coisas e usa uma para sustentar a outra.

Question 42

Dá para atender várias normas com um único programa?

Accepted Answer

Dá, e é exatamente assim que o custo de conformidade cai. Atender cada norma isoladamente consome as equipes internas em ciclos infinitos de evidências. Com o NosConformes®, mapeamos todos os requisitos de auditoria e regulatórios em um ponto de gestão e aproveitamos as sinergias entre eles.

Question 43

Qual a diferença entre certificação e adequação?

Accepted Answer

Adequação é implantar os controles e processos que a norma exige. Certificação é o atestado emitido por um organismo certificador independente depois de auditar sua adequação. Muita empresa precisa apenas estar adequada para responder a clientes; outras precisam do selo para entrar em edital. Definimos isso no diagnóstico.

Question 44

Para que serve um roadmap de segurança?

Accepted Answer

Serve para você parar de decidir investimento por urgência. O Cybersecurity Strategy & Roadmap mostra onde você está, onde precisa chegar e a sequência de investimentos que faz sentido para o seu porte e setor, com indicadores de evolução para a diretoria. Estratégia vem antes de ferramenta.

Question 45

O que é um teste de intrusão (pentest) e para que ele serve?

Accepted Answer

Pentest é um ataque controlado ao seu ambiente, conduzido por especialistas, para descobrir até onde um invasor real conseguiria chegar. Nossa equipe usa as mesmas técnicas dos atacantes, mas dentro de um escopo acordado e com registro de tudo. No fim você não recebe uma lista de teorias, e sim a prova do que é explorável e o caminho para fechar cada porta.

Question 46

Qual a diferença entre pentest e scan de vulnerabilidades?

Accepted Answer

O scan é automatizado e aponta indícios. O pentest valida esses indícios e vai além: falhas de lógica de negócio, desvios de autenticação e cadeias de exploração só aparecem quando um profissional pensa como atacante. São justamente essas as falhas que os invasores preferem, porque nenhuma ferramenta as enxerga sozinha. Na prática, usamos os dois: automação para cobertura, humano para profundidade.

Question 47

O que são pentest black box, grey box e white box?

Accepted Answer

Black box simula o atacante externo que não sabe nada sobre você. Grey box parte de um acesso limitado, como o de um usuário comum ou de um parceiro. White box entrega documentação, código e credenciais ao time de teste, o que dá a cobertura mais profunda por hora investida. A escolha depende do que você quer responder, e definimos isso junto com você antes de começar.

Question 48

Com que frequência minha empresa deve fazer pentest?

Accepted Answer

Se o seu último teste tem mais de doze meses, você está decidindo no escuro. Além do ciclo anual, vale testar sempre que houver mudança relevante: nova aplicação em produção, migração para nuvem, integração com terceiros ou alteração de arquitetura. Empresas com deploy frequente costumam preferir o modelo por assinatura, com testes recorrentes ao longo do ano.

Question 49

Como é o pentest de aplicação web?

Accepted Answer

Seguimos metodologia OWASP e vamos fundo em autenticação, autorização, lógica de negócio e vazamento de dados. Testamos o que a aplicação faz e também o que ela deixa fazer quando alguém usa o fluxo fora da ordem esperada. O resultado sai com evidência de exploração e recomendação de correção para o time de desenvolvimento.

Question 50

Vocês testam APIs?

Accepted Answer

Testamos APIs REST e GraphQL. O foco fica em autenticação, controle de acesso, exposição de dados além do necessário e abuso de lógica, que são os pontos onde APIs costumam falhar sem ninguém perceber. Muita empresa protege bem a interface e esquece que a API atrás dela responde a qualquer um que saiba chamá-la.

Question 51

E aplicativos mobile, entram no escopo?

Accepted Answer

Sim para Android e iOS. Analisamos armazenamento local, comunicação com o servidor, resistência a engenharia reversa e a integração com as APIs de backend. Aplicativo é um binário na mão de qualquer pessoa, então tudo que estiver embutido nele deve ser tratado como público.

Question 52

Vocês testam rede externa, rede interna e wireless?

Accepted Answer

As três frentes fazem parte do nosso escopo. Na rede externa avaliamos toda a superfície exposta à internet. Na interna simulamos o que acontece depois que alguém entra, incluindo movimentação lateral e escalonamento de privilégios. Em wireless olhamos redes corporativas e de visitantes, com atenção especial a segregação e autenticação.

Question 53

Como funciona a avaliação de segurança em nuvem?

Accepted Answer

Testamos configuração e exploração em AWS, Azure e Google Cloud, seguindo benchmarks CIS e as práticas da Cloud Security Alliance. Configuração incorreta em cloud está entre as principais causas de vazamento, e o que era seguro no data center pode estar exposto assim que muda de lugar. Também revisamos identidade, criptografia e monitoramento, porque na nuvem o perímetro é a permissão.

Question 54

O que é reteste e ele está incluído?

Accepted Answer

Reteste é a validação de que as correções realmente funcionaram. Depois que seu time trata as falhas, voltamos aos mesmos pontos e confirmamos o fechamento. Nos nossos projetos de pentest e em todos os planos do Ethical Hacker as a Service, o reteste vem incluído. Relatório sem reteste é diagnóstico sem alta médica.

Question 55

O que vem no relatório de pentest?

Accepted Answer

Você recebe as vulnerabilidades encontradas com evidência técnica, a criticidade de cada uma e um plano de ação priorizado, não uma lista bruta ordenada por severidade genérica. Há uma leitura executiva para levar à diretoria e o detalhe técnico que o time de TI precisa para corrigir. Fechamos com uma reunião de apresentação dos resultados, para que dúvidas sejam resolvidas com quem fez o teste.

Question 56

O que são SAST e DAST e qual a diferença?

Accepted Answer

SAST analisa o código-fonte parado, procurando falhas na forma como a aplicação foi escrita. DAST testa a aplicação em execução, do lado de fora, como faria um atacante. Um enxerga o que o outro não alcança, por isso aplicamos os dois. Seu time de desenvolvimento recebe orientação de remediação e podemos integrar as análises ao ciclo de desenvolvimento.

Question 57

Como funciona a simulação de phishing e ela expõe o funcionário?

Accepted Answer

Desenhamos campanhas realistas por área, cargo e nível de exposição, e medimos quem abriu, quem clicou e quem reportou. Ninguém é exposto ou punido: trabalhamos com influência e empatia, nunca com manipulação ou medo. Cada clique vira treinamento imediato para aquela pessoa, e o relatório para a gestão fala de grupos e tendências. O rastreamento é feito de forma não intrusiva e com respeito à privacidade.

Question 58

O que é gestão de vulnerabilidades?

Accepted Answer

É o processo contínuo de identificar, priorizar e acompanhar a correção das falhas do seu ambiente. A diferença está na priorização: mapeamos seus ativos, ligamos cada um aos processos de negócio que ele sustenta e ordenamos pelo risco real para você. Uma falha média em um sistema crítico pode importar mais que uma crítica em um servidor isolado.

Question 59

Vocês atuam em resposta a incidente e forense digital?

Accepted Answer

Atuamos na investigação de incidentes com coleta, preservação e análise de evidências digitais, sob sigilo absoluto. Reconstruímos a linha de eventos, analisamos dispositivos, recuperamos dados e buscamos identificar autoria. Quando o caso vai para o jurídico, entregamos relatório pericial apto a suportar processo judicial.

Question 60

O que é Cyber Threat Intelligence e para que serve na prática?

Accepted Answer

É inteligência de ameaças aplicada ao seu contexto, não um feed genérico de indicadores. Monitoramos atores, campanhas e exposições relevantes para o seu setor, incluindo vazamento de credenciais e uso indevido da sua marca. Esses sinais externos viram decisões de defesa antes do ataque, e ajudam a priorizar o que tratar primeiro. Temos Centro de Inteligência Cibernética próprio para isso.

Question 61

O pentest pode atrapalhar ou derrubar a minha operação?

Accepted Answer

O risco existe em qualquer teste real, e é justamente por isso que ele é planejado. Combinamos janela de execução, escopo, ativos sensíveis e canal de contato direto antes de qualquer atividade. Riscos críticos geram alerta imediato, sem esperar o relatório final. Se algum ambiente não puder sofrer indisponibilidade, ajustamos a abordagem para aquele alvo.

Question 62

Encontramos falhas no teste. E agora, o que fazemos?

Accepted Answer

Comece pelo plano de ação priorizado do relatório, que já ordena o que reduz mais risco com menos esforço. Nossa equipe apoia o seu time na interpretação técnica de cada achado e na definição da correção, e coordenamos o acompanhamento quando você contrata gestão de vulnerabilidades. Corrigido, fazemos o reteste e você tem a evidência de fechamento para auditoria e para o cliente que perguntar.

Question 63

O que significa contratar segurança no modelo as a Service?

Accepted Answer

Você contrata a competência exata que precisa, na intensidade certa, sem os custos fixos de montar um time interno. Em vez de abrir vaga, esperar o processo seletivo e torcer para reter o profissional, você passa a contar com especialistas sêniores já formados. Montar um time completo de segurança leva anos, e o risco não espera headcount.

Question 64

O que é CISO as a Service e quando faz mais sentido que contratar um CISO interno?

Accepted Answer

Um executivo sênior de segurança conduz sua estratégia, a gestão de riscos, as políticas corporativas e o reporte à diretoria e ao conselho. Faz mais sentido quando você precisa da decisão sênior mas não tem volume de trabalho para um profissional dedicado em tempo integral, ou quando o mercado cobra mais do que o cargo comporta hoje. Também funciona bem como ponte: o CISO as a Service estrutura o programa enquanto você prepara a contratação interna.

As perguntas que você faria numa primeira conversa

A DM11

IA e governança

Governança, riscos e conformidade

Cibersegurança

Security Office as a Service

Continuidade de negócios

Produtos DM11

Contratação e proposta

Ficou com uma dúvida que não está aqui?

As perguntas que você faria numa primeira conversa

A DM11

IA e governança

Governança, riscos e conformidade

Cibersegurança

Security Office as a Service

Continuidade de negócios

Produtos DM11

Contratação e proposta

Ficou com uma dúvida que não está aqui?

As perguntas que você faria numa primeira conversa

A DM11

O que a DM11 faz?

Desde quando a DM11 atua no mercado?

O que diferencia a DM11 de outras consultorias?

A DM11 revende ferramentas de segurança?

Quais certificações o time da DM11 possui?

Como funciona o atendimento no dia a dia?

A DM11 atende empresas de qualquer porte?

Vocês atendem empresas fora de São Paulo?

Como começa um projeto com a DM11?

Quem executa os projetos: equipe própria ou terceirizada?

Como a DM11 trata a confidencialidade das informações?

Em quais idiomas a DM11 trabalha?

IA e governança

O que é AI Trust?

Por que governar o uso de IA na minha empresa?

O que é a ISO/IEC 42001?

O EU AI Act se aplica à minha empresa brasileira?

Como está a regulação de IA no Brasil?

O que é um AI Risk Assessment?

O que é shadow AI e por que devo me preocupar?

O que é prompt injection?

Quais outros riscos de segurança as aplicações com LLM trazem?

O que é data poisoning?

O que é AI Red Teaming?

Como auditar viés e explicabilidade de um modelo?

Preciso de uma política de uso responsável de IA?

Quando é a hora de começar a governar IA?

Governança, riscos e conformidade

O que é IT GRC?

O que é a ISO 27001 e o que a DM11 faz nesse projeto?

Quanto tempo leva para certificar a ISO 27001?

O que é a ISO 27701?

Como funciona um projeto de PCI DSS e qual o papel do QSA?

Qual a diferença entre SOC 2 Tipo I e Tipo II?

O que é o ISAE 3402?

O que as resoluções CMN 4.893 e BCB 85 do BACEN exigem?

Como é um projeto de adequação à LGPD?

Preciso ter um DPO? Posso terceirizar?

Como responder a pedidos de titulares de dados?

Por que avaliar a segurança dos meus fornecedores?

Um cliente me enviou um questionário de segurança enorme. Como responder?

Como me preparar para uma auditoria?

Estar em conformidade é o mesmo que estar seguro?

Dá para atender várias normas com um único programa?

Qual a diferença entre certificação e adequação?

Para que serve um roadmap de segurança?

Cibersegurança

O que é um teste de intrusão (pentest) e para que ele serve?

Qual a diferença entre pentest e scan de vulnerabilidades?

O que são pentest black box, grey box e white box?

Com que frequência minha empresa deve fazer pentest?

Como é o pentest de aplicação web?

Vocês testam APIs?

E aplicativos mobile, entram no escopo?

Vocês testam rede externa, rede interna e wireless?

Como funciona a avaliação de segurança em nuvem?

O que é reteste e ele está incluído?

O que vem no relatório de pentest?

O que são SAST e DAST e qual a diferença?

Como funciona a simulação de phishing e ela expõe o funcionário?

O que é gestão de vulnerabilidades?

Vocês atuam em resposta a incidente e forense digital?

O que é Cyber Threat Intelligence e para que serve na prática?

O pentest pode atrapalhar ou derrubar a minha operação?

Encontramos falhas no teste. E agora, o que fazemos?

Security Office as a Service

O que significa contratar segurança no modelo as a Service?

O que é CISO as a Service e quando faz mais sentido que contratar um CISO interno?

Vocês oferecem DPO as a Service?

O que é Ethical Hacker as a Service?

Como funciona o DevSecOps as a Service?

E o Business Continuity as a Service, o que entrega?

Quantas horas por mês estão incluídas?

Se depois eu quiser internalizar o time, como fica a transição?

Funciona para empresa que já tem time de segurança?

Quem responde perante o regulador: a DM11 ou a minha empresa?

Como o resultado é medido?

Como vocês tratam confidencialidade e acesso aos nossos sistemas?