Os necessários fazem o site funcionar. Os outros medem quais páginas ajudam e quais anúncios trazem quem precisa da DM11. Você escolhe, e pode rever pelo rodapé.
NORMAS E CERTIFICAÇÕES
Cada uma destas termina em um documento diferente, e a diferença muda o projeto inteiro. Uma entrega certificado de organismo acreditado, outra entrega label, outra entrega relatório de auditoria, outra escudo, e outras entregam a medição do seu estado real, que é o que sustenta todas as anteriores. Abaixo está o que cada uma é, o que ela entrega no fim, quem costuma pedir e onde a DM11 entra.
Traga o texto do contrato ou o questionário que você recebeu. A gente lê e diz qual destas responde, antes de você percorrer a lista inteira.
Falar com um especialistaO que você recebe no fim
Certificado, emitido por organismo acreditado
A norma internacional do sistema de gestão de segurança da informação, e a mais pedida em concorrência e em questionário de fornecedor. Ela certifica a forma como a empresa gerencia o risco, o que a torna válida para qualquer setor e qualquer porte. É também a base que as outras normas aproveitam: boa parte da evidência montada aqui responde depois ao SOC 2, ao TISAX e ao próximo questionário que chegar.
Ver a páginaO que você recebe no fim
Certificado de privacidade, que desde 2025 vale sozinho
A norma do sistema de gestão de privacidade. A revisão publicada em outubro de 2025 tornou a norma independente: hoje a empresa certifica a privacidade sem precisar construir antes um sistema de gestão de segurança inteiro, como o texto anterior exigia. É o caminho de quem já atende à LGPD na prática e precisa provar isso a um cliente ou a um regulador, com documento emitido por organismo acreditado.
Ver a páginaO que você recebe no fim
Labels, válidos por três anos
O mecanismo de avaliação e troca da indústria automotiva, administrado pela ENX Association. O manual oficial do participante é direto quanto ao resultado: são labels, válidos por três anos. É o que a montadora, ou um grande fornecedor dela, coloca no contrato antes de abrir informação de projeto. Quem avalia é uma auditora credenciada, sempre separada de quem preparou.
Ver a páginaO que você recebe no fim
Relatório de auditoria independente, Tipo I ou Tipo II
Um relatório sobre os seus controles, escrito e assinado por uma auditoria independente, com base nos critérios de confiança definidos pelo AICPA, o instituto americano dos contadores. O seu cliente recebe o relatório inteiro para ler, com a opinião do auditor sobre cada controle. Tipo I olha o desenho num instante, e Tipo II observa a operação ao longo de um período.
Ver a páginaO que você recebe no fim
Escudos publicados no registro do TPN+
A avaliação de segurança de conteúdo da Motion Picture Association, para quem presta serviço a estúdio e plataforma de streaming. O resultado entra no registro do TPN+, e cada dono de conteúdo decide por conta própria a partir dele, que é como o mercado audiovisual trabalha. Desde setembro de 2025 são quatro escudos, sobre a versão 5.3.1 das melhores práticas da MPA.
Ver a páginaO que você recebe no fim
Autoavaliação assinada por você, com a evidência que a sustenta
A IATA exige conformidade com o PCI DSS de quem processa cartão do passageiro. Para a maioria das agências acreditadas o caminho é o questionário de autoavaliação, e o nome não é acidente: quem declara é a agência. A DM11 organiza o ambiente, reduz o escopo e produz a evidência que sustenta essa assinatura.
Ver a páginaO que você recebe no fim
Atestado de conformidade, o documento que o seu cliente pede
O padrão de segurança das bandeiras de cartão, obrigatório para quem armazena, processa ou transmite dado de cartão. A versão vigente é a 4.0.1, e os requisitos que ainda eram recomendação viraram obrigação em março de 2025. O nível de exigência muda com o volume de transações e com o seu papel na cadeia: comerciante, prestador de serviço, ou os dois ao mesmo tempo. Quem presta serviço a outras empresas confirma o escopo a cada seis meses. Quando a rota exige avaliação formal, quem conduz é um QSA, o avaliador credenciado pelo conselho que mantém o padrão. O ganho maior vem antes disso: encolher o território por onde o dado circula reduz o que precisa ser auditado.
Ver a páginaO que você recebe no fim
Evidência dos catorze controles, no formato que o supervisor pede
A Resolução CMN 4.893/2021 fixou a política de segurança cibernética das instituições financeiras, e a Resolução BCB 85/2021 fez o mesmo para as instituições de pagamento. Em dezembro de 2025, a Resolução CMN 5.274 e a Resolução BCB 538 detalharam o que antes era genérico: são agora catorze controles mínimos, incluindo ações de inteligência com monitoramento na internet, na Deep Web e na Dark Web. O teste de intrusão passou a ter periodicidade mínima anual, conduzido com independência e imparcialidade por especialista contratado para essa finalidade. Os ambientes do Pix e do sistema de transferência de reservas ganharam exigência própria, de isolamento físico e lógico a controle das chaves privadas. O prazo de adequação para quem já operava foi 1º de março de 2026, e o que conta agora é sustentar essa rotina.
Ver a páginaO que você recebe no fim
Avaliação do seu estado real, com evidência e plano em ordem
Um conjunto de controles em ordem de prioridade, do Center for Internet Security, com grupos de implantação por porte de empresa. É a avaliação que o mercado reconhece para medir onde a empresa está hoje, com evidência por trás de cada resposta, e é o que a diretoria usa para decidir onde colocar o próximo real. A ISO 27001 e o SOC 2 reaproveitam esse trabalho depois.
Ver a páginaO que você recebe no fim
Perfil de maturidade, comparável de um ano para o outro
O framework do instituto americano de padrões, organizado em funções que vão de identificar a recuperar. É a linguagem que o conselho entende quando quer acompanhar maturidade ao longo do tempo: você define o perfil de hoje e o perfil alvo, e mede a distância entre os dois de um ano para o outro. A adoção é escolha da empresa, e serve a qualquer setor.
Ver a páginaO que você recebe no fim
Relatório de verificação, com veredito requisito a requisito
A fundação que publica as referências de segurança de aplicação mais usadas do mundo. O Top 10 reúne os riscos mais críticos em aplicação web, e a edição de 2025 é a primeira revisão desde 2021. O ASVS 5.0, o padrão de verificação de segurança de aplicação, transforma o pedido genérico de testar em requisito com veredito item a item, que cabe em contrato. Há listas próprias para API, as interfaces entre sistemas, para aplicação móvel e para produto com modelo de linguagem, além do SAMM, que mede a maturidade do desenvolvimento. É a régua que o seu cliente e o seu pentester reconhecem.
Ver a páginaO que você recebe no fim
Relatório auditável, com as fases declaradas em contrato
O Penetration Testing Execution Standard descreve as fases pelas quais um teste de intrusão passa, do acordo prévio ao relatório. Com o método declarado em contrato, você sabe o que será feito em cada fase, compara propostas de fornecedores diferentes pelo trabalho e não pelo preço, e recebe um relatório que outro profissional consegue auditar depois. É o que transforma a compra de um teste em decisão informada, e o que dá ao resultado valor depois da entrega, quando alguém precisar reconstituir o que foi feito.
Ver a páginaO que você recebe no fim
Mapa da sua cobertura de detecção, técnica por técnica
A base de conhecimento da MITRE que organiza o comportamento de atacantes reais por tática e por técnica, a partir de casos observados. Ela descreve o que o adversário faz, e é isso que permite medir se a sua detecção cobre o que interessa. Serve também para dar vocabulário comum ao time de resposta e para o teste de intrusão mostrar o caminho que percorreu, com a técnica nomeada em cada passo. O trabalho está em escolher as técnicas que importam ao seu setor e provar cada uma.
Ver a páginaO que você recebe no fim
Avaliação do seu sistema de IA contra ataques ao próprio modelo
A mesma estrutura do ATT&CK, aplicada a sistemas de inteligência artificial e de aprendizado de máquina. Cobre o terreno que fica fora do ATT&CK: envenenamento de dado de treino, extração de modelo, manipulação de entrada e os ataques que exploram o modelo em si, e não só a infraestrutura ao redor dele. É a referência que leva a avaliação até o modelo e até a esteira de dados que o alimenta, junto com a aplicação que expõe os dois.
Ver a páginaO que você recebe no fim
Dossiê de adequação, com inventário, base legal e encarregado
A Lei Geral de Proteção de Dados vale para qualquer empresa que trate dado pessoal no Brasil, de qualquer porte. O que ela cobra é adequação demonstrável: inventário de tratamentos, base legal registrada, atendimento ao titular dentro do prazo e encarregado nomeado, com evidência guardada. Certificado de LGPD não existe no Brasil, e a prova aceita é justamente esse conjunto. Quando o cliente ou o regulador pede documento emitido por terceiro, o caminho é a ISO 27701.
Ver a páginaO que você recebe no fim
Dossiê técnico que sustenta a declaração no Justiça Aberta
A norma do Conselho Nacional de Justiça que fixa requisitos de segurança da informação e de proteção de dados para as serventias extrajudiciais, publicada em fevereiro de 2026 no lugar do Provimento 74/2018. A exigência é proporcional à classe da serventia, definida pela arrecadação, e vem organizada em cinco etapas cumulativas: as duas primeiras têm o prazo mais curto, de 90 a 210 dias conforme a classe. A conformidade é declarada pelo responsável no Sistema Justiça Aberta e se mantém por rotina.
Ver a páginaONDE A DM11 ENTRA
Em toda norma desta página a separação é a mesma, e ela não é escolha nossa: quem prepara não pode avaliar. A DM11 faz o diagnóstico, monta o plano, implanta os controles com o seu time e organiza a prova no formato que o avaliador espera. Quando a sua rota exige avaliação formal, ela é conduzida por um organismo, auditoria ou avaliador credenciado, com os papéis separados.
Diagnóstico do que já existe, antes de propor qualquer projeto
Plano em ordem de prioridade, com responsável e prazo
Implantação junto do seu time, e não no lugar dele
Ensaio da avaliação, para o resultado deixar de ser surpresa
Aproveitamento entre normas: evidência feita uma vez serve a várias
Traga o texto do contrato ou o questionário que você recebeu. A gente diz qual norma responde, o que já existe na sua casa que aproveita e o que falta de verdade.
Fale com um especialista