Governança de cibersegurança e de IA
Tecnologia não compra governança — ela a operacionaliza. O Conselho define o apetite de risco; as normas ISO 27001 e ISO 42001 traduzem em políticas e métricas; a avaliação de riscos seleciona os controles, e o ecossistema Fortinet os implementa com evidência nativa.
Fale com a DANRESA Diagnóstico ISO 27001 + IAGovernança que o Board enxerga
Do apetite de risco do Conselho às políticas e métricas, num ciclo PDCA completo — planejar, executar, verificar e agir — com prestação de contas em linguagem executiva.
controles do Anexo A da ISO 27001:2022.
relatórios prontos (ISO 27001, COBIT, PCI, SOX, NIST).
apps de IA com visibilidade e controle (shadow AI).
para colocar o controle de IA em operação.
Cinco razões que o Conselho entende
Risco mensurável
Risco tratado de ponta a ponta, do apetite do Conselho aos controles selecionados via SoA.
Evidência nativa
1.300+ relatórios prontos para a prestação de contas — sem planilhas manuais.
Governança de IA
Controle do shadow AI e do uso de GenAI, alinhado à ISO 42001.
Normas certificáveis
ISO 27001 e ISO 42001 — caminho claro até a certificação.
Consolidação
Uma plataforma única (Fortinet Security Fabric) em vez de ferramentas isoladas.
Da governança corporativa às normas
COBIT 2019
Framework da ISACA que separa governança (avaliar, dirigir, monitorar) da gestão de TI. Relatórios COBIT e SOX prontos.
ISO 27001:2022
SGSI com 93 controles no Anexo A, apoiada por ISO 27002, 27005 (riscos) e 27701 (privacidade), com NIST CSF 2.0 como linguagem executiva.
ISO 42001:2023
Primeira norma de gestão de IA (AIMS), integrável ao SGSI. Apoio: ISO 23894, NIST AI RMF, EU AI Act e LGPD.
Anexo A — 4 temas
Organizacional (37), Pessoas (8), Físico (14) e Tecnológico (34). 11 novos controles: DLP, nuvem, monitoramento, web filtering.
Regulação de IA
EU AI Act (Reg. UE 2024/1689) e LGPD (Lei 13.709/2018) aplicáveis ao tratamento de dados por sistemas de IA.
Transição concluída
A migração ISO 27001:2013→2022 encerrou em 31/10/2025 — certificados antigos perderam validade.
Como a tecnologia operacionaliza a governança
Cada controle do Anexo A da ISO 27001 é implementado por uma peça do ecossistema Fortinet — e cada uma gera evidência automática para o auditor e para o Conselho.
Rede e acesso
Perímetro, segmentação e acesso verificado a cada sessão (zero trust).
Identidade e dados
SSO, MFA e acesso privilegiado auditado — e o dado protegido, inclusive no uso de IA.
Detecção e prova
Monitoramento, resposta e a evidência pronta: 1.300+ relatórios e rating ISO 27001.
O dado sob controle, inclusive no uso de IA
O FortiDLP faz prevenção de perda de dados no endpoint com foco em risco interno e protege o conteúdo no uso de GenAI pública (ChatGPT, Gemini) com coaching ao usuário em tempo real — orienta antes de bloquear. Atende ao controle 8.12 do Anexo A e apoia a conformidade com a LGPD.
Shadow AI sob controle — proibir sem instrumentar não funciona
A resposta madura governa o uso da IA em quatro camadas: política (AIMS ISO 42001), pessoas, processo e tecnologia.
Descobrir
Visibilidade de 6.500+ apps de IA — caso de uso, modelo e destino dos dados.
Controlar
Acesso condicionado por zero trust; bloqueio de shadow AI e GenAI não sancionada.
DLP em prompts
Proteção de dados no uso de GenAI pública, com coaching ao usuário no momento do uso.
Evidenciar
Registro e relatório (incl. ISO 27001) e mapeamento de riscos a TTPs internas.
O risco não é o que a IA sabe — é o que ela pode fazer
Ninguém na sua empresa projeta a inteligência; todos decidem o que ela pode fazer lá dentro — quanta autonomia, quais credenciais e quais dados. Governar IA agêntica é tomar essa decisão de forma explícita, não por omissão.
dos usuários de IA no trabalho usam contas que a empresa não vê.
violações de política de dados por mês em prompts, na organização média.
das empresas violadas não tinham governança de IA.
Fontes: Netskope 2026; IBM/Ponemon 2026.
Uma regra única não serve para toda a organização
O uso de IA se governa por cenário — cada um com o seu risco e o seu controle. Aprovar uma ferramenta que decide ou recomenda é decisão de negócio, não de TI.
Produtividade
Redação, resumo, planilha, apresentação — alto volume, baixa percepção de risco. Ferramenta corporativa homologada, bloqueio das versões pessoais e DLP orientando o usuário.
Áreas técnicas
Código, arquitetura, análise e modelos — risco de propriedade intelectual e de credencial exposta. Ambiente aprovado, regras de conteúdo e registro do uso.
Dados regulados
Contratos, cadastro, informação financeira e de saúde — base legal e contrato com o fornecedor obrigatórios; dado identificado não entra em ferramenta pública.
Quem responde por quê (RACI)
Board e Diretoria
Aprovam o apetite de risco e as políticas; recebem o relato trimestral de riscos e KPIs. Prestam contas pela governança.
CISO, CIO e TI
O CISO responde pelo SGSI/AIMS, riscos, SoA e monitoramento; a TI opera as plataformas.
Jurídico, DPO e Auditoria
Respondem pela conformidade LGPD no uso de IA; a auditoria interna avalia o SGSI/AIMS e reporta ao Conselho.
Extraídos direto das plataformas
Cobertura da SoA
Quanto dos controles selecionados está implementado.
Postura ZTNA
Conformidade e postura dos dispositivos e acessos.
Uso de IA
Apps de IA descobertos, sancionados e bloqueados.
MTTD / MTTR
Tempo de detecção e de resposta a incidentes.
Rating ISO 27001
Nota de conformidade contínua da plataforma.
Relato trimestral
Riscos e KPIs consolidados para o Conselho.
Roadmap de 90 dias, em três fases
O ciclo segue o PDCA das normas — planejar, executar, verificar e agir.
Fase 1 · Diagnóstico
Postura atual contra os 93 controles do Anexo A e o arcabouço de IA.
Fase 2 · Plano diretor
SGSI + AIMS, avaliação de riscos, SoA e políticas.
Fase 3 · Instrumentação
Visibilidade e controle de IA, evidências automatizadas e preparação para certificação ISO 27001 e, depois, ISO 42001.
Normas e regulações citadas são públicas e verificáveis: ISO (27001:2022, 42001:2023, 27002, 27005, 27701, 23894), ISACA (COBIT 2019), NIST (CSF 2.0, AI RMF), EU AI Act (Reg. UE 2024/1689) e LGPD (Lei 13.709/2018). Recursos de plataforma: Fortinet.
A governança e tudo que trabalha ao lado dela
Leve governança que o Board enxerga
A DANRESA apoia sua organização do diagnóstico à certificação — governança de cibersegurança e de IA com o Fortinet Security Fabric.
Fale com a DANRESA