Como as dimensões viram uma avaliação
As seis dimensões organizam o olhar sobre o ambiente. O escopo transforma esse mapa em um trabalho concreto: sistemas incluídos, perguntas, testes, acessos, responsáveis e entregas.
Delimitar
A empresa e o responsável pela avaliação combinam os ativos, as autorizações e os critérios de observação.
Coletar e verificar
Informações, configurações e evidências são reunidas. Os testes técnicos definidos no escopo são executados por profissionais autorizados.
Relacionar e priorizar
Os resultados são conectados ao contexto do negócio e às ações de melhoria. Correções e novas verificações mantêm sua rastreabilidade.
Inventário tecnológico e de dados
Onde a informação está?
O que entra no olhar
- Sistemas próprios, ERPs, CRMs e serviços em nuvem
- Bancos de dados, arquivos, planilhas e repositórios
- APIs, integrações, webhooks e compartilhamento com terceiros
- Categorias de dados pessoais envolvidas em cada fluxo
Informações e evidências
Inventários existentes, diagramas, contratos de serviços, listas de integrações e registros dos responsáveis.
Mapa dos sistemas e dos fluxos de informação incluídos na avaliação, com lacunas que precisam ser confirmadas.
Identidade e controle de acesso
Quem pode chegar até a informação?
O que entra no olhar
- Perfis, permissões e acessos administrativos
- Autenticação multifator e contas compartilhadas
- Usuários inativos, terceiros e encerramento de acessos
- Separação de funções e revisão de privilégios
Informações e evidências
Listas de perfis e permissões, regras de admissão e desligamento, registros de revisão e configurações autorizadas.
Relação entre acessos, responsáveis e pontos que precisam de ajuste ou validação.
Aplicações e APIs
Como os sistemas se conectam?
O que entra no olhar
- Autenticação e autorização nas aplicações incluídas
- Permissões de objetos, rotas e integrações
- Exposição de dados em respostas, logs e configurações
- Tratamento de entradas e outros testes definidos no escopo
Informações e evidências
Relação de aplicações e endpoints, documentação, contas de teste, ambientes e autorização para os testes acordados.
Achados técnicos com contexto, evidência e recomendações para os ativos efetivamente avaliados.
Armazenamento e ciclo de vida
O que acontece com os dados depois?
O que entra no olhar
- Criptografia e proteção dos ambientes de armazenamento
- Backups, recuperação e continuidade
- Retenção, descarte e propagação de exclusões
- Cópias, logs e compartilhamentos relevantes ao processo
Informações e evidências
Políticas de retenção, configurações, registros de backup e demonstrações de recuperação ou exclusão incluídas no trabalho.
Visão dos controles de armazenamento e das verificações realizadas, incluindo dependências e próximos passos.
Governança e responsabilidades
Quem acompanha as decisões?
O que entra no olhar
- Responsáveis por sistemas, dados e fornecedores
- Políticas, manutenção e revisão de controles
- Tratamento de incidentes e comunicação interna
- Continuidade e acompanhamento das ações
Informações e evidências
Políticas, contratos, fluxos de aprovação, registros de incidentes, decisões e responsáveis por cada frente.
Responsabilidades mais claras e um plano de acompanhamento para as medidas priorizadas.
Proteção de dados pessoais
O que sustenta cada conclusão?
O que entra no olhar
- Finalidades, categorias de dados e compartilhamentos
- Transparência e atendimento a solicitações dos titulares
- Registros de medidas e avaliações de impacto pertinentes
- Relação dos achados técnicos com os dados pessoais envolvidos
Informações e evidências
Registros da operação, informações de privacidade, processos de atendimento, contratos e evidências dos controles.
Matriz de evidências e questões que apoiam a análise especializada da proteção de dados.
O que a empresa leva para decidir
Conforme o escopo acordado, o trabalho pode reunir inventário, mapa de fluxos, achados técnicos, matriz de evidências, relatório executivo e plano de ação. Cada conclusão deve estar ligada ao que foi observado.
Quando há correção e reteste, a nova observação é registrada com sua evidência e contexto. Isso permite acompanhar o que mudou sem apagar a avaliação anterior.