Risco que não é medido
Ambientes de não produção costumam ficar fora do inventário de risco. É exatamente onde o dado sensível se multiplica com menos controle.
Seção 01 · Diagnóstico
Quatro dores que aparecem em quase toda empresa que nos procura.
Elas raramente chegam com esse nome. Chegam como prazo estourado, auditoria travada ou projeto de IA que não sai do piloto. Em instituição regulada, chegam também como apontamento de auditoria interna com prazo para responder. Abaixo está o sintoma, o que costuma estar por trás dele e a pergunta que fazemos primeiro.
01
O ambiente de teste demora semanas
O time pede uma cópia de base para testar e espera. Quando chega, já está desatualizada. A fila de infraestrutura vira o gargalo de todo o roadmap e ninguém consegue medir quanto isso custa por release.
A pergunta que fazemos
Quantas cópias físicas de produção existem hoje fora de produção, quanto de storage elas ocupam e quantos dias, em média, um time espera por um ambiente novo?
02
Dado sensível circula onde não deveria
Cópias de produção em desenvolvimento, planilhas de apoio, extrações para fornecedor. Cada cópia é uma superfície de risco nova, e a maioria delas não aparece em nenhum inventário formal.
A pergunta que fazemos
Se o regulador pedir hoje o caminho completo de um CPF, do sistema de origem até o último ambiente onde ele foi copiado, em quanto tempo essa resposta fica pronta?
03
Cada área tem o seu próprio número
A reunião começa com uma discussão sobre qual planilha está certa. Não existe definição única de indicador, nem rastreabilidade de origem. A decisão acaba saindo por intuição, e projetos de IA herdam essa base frágil.
A pergunta que fazemos
Quem é o dono formal do indicador mais usado no seu comitê executivo, e essa pessoa consegue mostrar a linhagem dele sem abrir um chamado?
04
O problema só aparece em produção
Teste manual, cobertura irregular e dependência de sistemas de terceiros que ficam indisponíveis. O defeito escapa para o cliente e o custo de correção multiplica, junto com o desgaste do time.
A pergunta que fazemos
Qual percentual dos incidentes do último trimestre teria sido pego por um teste automatizado que hoje não existe, e o que impede esse teste de existir?
Custo de não decidir
O problema quase nunca é falta de tecnologia.
Na maioria dos ambientes que avaliamos, a plataforma necessária já existe em algum lugar da casa. O que falta é desenho, dono e sequência. Por isso o diagnóstico vem antes de qualquer proposta comercial.
Custo que não é atribuído
Storage, licença e horas de time paradas esperando ambiente raramente aparecem juntos em um único número. Quando aparecem, a prioridade muda.
IA que não sai do piloto
Modelo bom sobre dado sem governança não vira produção. A trava costuma ser catálogo, política de acesso e qualidade, não capacidade de modelagem.
Instituições autorizadas pelo Banco Central
O prazo da Resolução 5.274 venceu em março.
A Resolução CMN 4.893, de 2021, já obrigava política de segurança cibernética e fixava requisitos para contratar processamento de dados, armazenamento e computação em nuvem. A Resolução CMN 5.274, de dezembro de 2025, alterou esse texto e deu prazo até 1º de março de 2026 para a adequação. A Resolução BCB 538 fez movimento equivalente para instituições de pagamento, corretoras e distribuidoras. Quem opera sob o Banco Central hoje não está mais se preparando: está sendo auditado.
Um ponto muda o desenho do projeto, não só a documentação: segurança passou a ser exigida desde a construção do sistema, e não como camada aplicada no fim. Isso é o que sempre defendemos por outro motivo, o de que quem desenha a arquitetura precisa ser quem a coloca em produção.
Onde o dado sensível está fora de produção
Ambiente de desenvolvimento e de teste raramente entra no inventário de risco, e é onde a cópia de produção se multiplica. Mascarar na origem resolve o problema sem tirar a base da mão do time.
Se a trilha de auditoria se sustenta
Responder de onde veio um número não pode depender de quem lembra do processo. Catálogo e linhagem transformam essa resposta de projeto em consulta.
Se o sistema aguenta o pico que você promete
Disponibilidade é um dos três pilares que a norma persegue, e ela se mede antes com teste de carga, não depois com relatório de incidente.
Não somos escritório de advocacia e não emitimos parecer jurídico. O que fazemos é o lado técnico: mostrar onde o seu ambiente sustenta o que a norma cobra e onde não sustenta, com evidência que o seu time de compliance consegue apresentar.
Reconheceu mais de uma dessas situações?
Traga o cenário como ele é hoje, inclusive o que está bagunçado. É com isso que a primeira conversa funciona.