Sua empresa consegue provar o que declara?

A LATAMSEC mede a maturidade de segurança por evidência, não por autodeclaração. Responda à pergunta abaixo como responderia a um auditor e veja quanto esse controle pode valer.

Todo acesso administrativo remoto exige MFA? NIST CSF PR.AA-03 · CIS 6.5
Solicitar o diagnóstico completo Entender o método
Referências do diagnósticoNIST CSF 2.0CIS Controls v8ISO 27001LGPDMITRE ATT&CK

Ferramenta a empresa já tem. Falta saber quais controles funcionam de verdade, o que tratar primeiro e como mostrar isso ao conselho.

A LATAMSEC é uma camada de governança acima das ferramentas que você já opera. Lê o que existe, cruza com o risco de negócio e devolve prioridade com prova.

241 dias

Tempo médio global entre identificar e conter uma violação de dados.

IBM, 2025
51%

Dos ataques de phishing contra a América Latina, a parcela que tem o Brasil como alvo.

SOCRadar, 2025
R$ 7,2 mi

Custo médio de uma violação de dados no Brasil.

IBM, 2025
+15%

Crescimento anual de vítimas de ransomware e extorsão na América Latina.

CrowdStrike, 2025

Do alerta à decisão do conselho

Um achado técnico só vira decisão quando alguém responde cinco perguntas. Este caso saiu do Radar desta semana e está contado do jeito que chega à diretoria.

Caso ilustrativo montado a partir do Radar de 29/09/2026. A empresa é hipotética. As falhas, versões e prazos são reais.

  1. Sinal: O que aconteceu lá fora?

    A Citrix publicou correções para duas falhas críticas do NetScaler em 27 de setembro. Elas já eram exploradas havia semanas, sem autenticação. A CISA incluiu as duas no catálogo de vulnerabilidades exploradas no mesmo dia.

    SinalCVE-2026-88771CVE-2026-88772CVSS v4 9.5CISA KEV

  2. Identidade válida: Que credenciais passam por esse equipamento?

    As sessões de VPN dos funcionários e o acesso remoto de três fornecedores atravessam o gateway. As contas de serviço do appliance não trocam de senha desde a instalação.

    Identidade válidaVPNacesso de terceirosconta de serviço

  3. Ativo exposto: O que está atrás dele?

    O NetScaler publica o portal de clientes e duas aplicações internas. Por ser um appliance de borda, não aceita agente de EDR. A detecção depende de log enviado para fora e de inspeção de configuração.

    Ativo expostoNetScaler ADCbordasem EDR

  4. Técnica MITRE: Como o adversário age?

    Explora uma aplicação exposta à internet para ganhar execução e instala um webshell para continuar dentro mesmo depois do patch.

    Técnica MITRET1190T1505.003

  5. Impacto no negócio: O que a empresa perde se deixar para depois?

    Portal de clientes e acesso de terceiros ficam sujeitos a persistência. Corrigir não tira quem já entrou: um equipamento atualizado, com webshell instalado no começo de setembro, continua comprometido.

    Impacto no negócioreceitaLGPDcontinuidade

  6. Dono e prazo: Quem responde, até quando e com que prova?

    Dono: gerência de infraestrutura de borda. Prazo interno de 72 horas, igual ao da CISA. Evidência exigida: versão 14.1-73.37 ou 13.1-64.23 instalada, varredura de indicadores feita antes do patch, sessões e credenciais de serviço trocadas.

    Dono e prazoSLA 72 h3 evidências

  7. Decisão: O que vai para aprovação

    Tratar o caso como incidente até prova em contrário. Liberar janela de mudança emergencial, investigação forense na borda e troca de credenciais. Levantar quantos outros ativos expostos à internet também não aceitam agente.

    Decisãodecisão registradaaceite com prazotrilha de auditoria

O mesmo achado, escrito para quem decide e para quem executa

A diretoria precisa da síntese. O time técnico precisa da profundidade. Os dois saem da mesma base, e é isso que mantém a conversa honesta.

O conselho recebeO time técnico recebe

A decisão pedida, com prazo e o custo de não agir.

A tarefa, o dono e o critério para encerrar.

Risco residual em linguagem de negócio: receita, operação, dados e multa.

Controle afetado, evidência esperada e referência de framework.

Postura Score e a tendência desde a última reunião.

Teto de score por controle e o que falta para subir.

O que foi aceito como risco, por quem e até quando.

Exceções registradas, com justificativa e data de revisão.

Um histórico que se sustenta numa auditoria.

Trilha de evidências com data, responsável e validade.

Edição do dia

Domingo, 18 de outubro de 2026

O console que guarda a senha de todos os clientes foi aberto em agosto, e o aviso chegou em 15 de outubro

BeyondTrust Remote Support: falha 9.3 explorada como dia zero desde 29/08 pelo grupo ARMORY CASTLE. Patch BT26-05-RS e revisão forense obrigatórias.

Destaque · 18/10/2026

O que você precisa fazer: aplicar o patch BT26-05-RS em todo appliance BeyondTrust Remote Support auto-hospedado nas versões 24.3.1 a 26.2.3, e migrar primeiro quem estiver abaixo da 24.3.1. Quem usa a nuvem da BeyondTrust foi atualizado em 9 de outubro e não precisa mexer no appliance, mas precisa fazer o resto. O resto é o trabalho de verdade: preservar imagem e log antes de qualquer atualização, revisar o appliance em busca de comprometimento e, confirmada a suspeita, reconstruir a partir de imagem limpa em vez de corrigir a que está no ar.

A Mandiant é direta na recomendação: todo appliance alcançável pela internet que rodou versão vulnerável entre o fim de agosto e o patch deve ser tratado como potencialmente comprometido até ser revisado. Depois disso, rotação de credencial em ordem de dependência, começando pelo administrador do appliance e terminando nas integrações. O Privileged Remote Access compartilha o código afetado e recebeu patch por precaução, mesmo sem caminho de exploração conhecido.

Ler o destaque

Destaques anteriores

Destaques Radar diário Mercado

RADAR: a rotina de governança depois do diagnóstico

Plataforma em acesso antecipado guiado, aberta às empresas que passaram pelo diagnóstico.

Postura Score

Nota de 0 a 100 que muda quando um achado muda. Cada ponto aponta para o controle e a evidência que o sustentam.

Mapa de compliance

NIST CSF 2.0, CIS Controls e LGPD lidos juntos. Um controle atende várias exigências com uma única evidência.

Exposição técnica

Ativos ordenados por criticidade e impacto na operação, não pela quantidade de alertas.

Linguagem MITRE

Achados classificados por tática e técnica do ATT&CK, para SOC, GRC e liderança usarem os mesmos termos.

Simulador executivo

Compara cenários de investimento pelo risco que cada um reduz e pelo esforço que exige.

Relatórios de decisão

Saídas separadas para conselho, GRC, segurança e operações, todas a partir da mesma base.

Conhecer a plataforma

O que a LATAMSEC não faz

Não tem fabricante preferido.

A recomendação sai do risco que o controle reduz. Nenhuma delas depende de marca, revenda ou comissão.

Não pede credencial.

O diagnóstico trabalha com questionário, evidência e conversa. Ninguém precisa de acesso aos seus sistemas.

Não promete proteção absoluta.

Entrega maturidade medida, prioridade explicada e decisão registrada. Quem promete risco zero está vendendo outra coisa.

Não trata o Brasil como nota de rodapé.

Regulação, ameaças e maturidade de fornecedores são lidas no contexto brasileiro e latino-americano.

Comece pelo diagnóstico.

Um questionário de 18 minutos baseado em NIST CSF 2.0 e CIS Controls. Você recebe um relatório executivo com Postura Score, revisão humana e prioridades ordenadas por custo e retorno.

Solicitar diagnóstico Falar com a equipe
  • Nenhuma credencial solicitada
  • Só dados de contato e perfil da empresa
  • Tratamento conforme a LGPD
  • Envio exclusivo por HTTPS