NORMAS E CERTIFICAÇÕES
Cada uma destas termina em um documento diferente, e a diferença muda o projeto inteiro. Uma entrega certificado de organismo acreditado, outra entrega label, outra entrega relatório de auditoria, outra escudo, e algumas são obrigação legal ou referência técnica sem documento nenhum. Abaixo está o que cada uma é, o que ela entrega no fim, quem costuma pedir e onde a DM11 entra.
O que você recebe no fim
Certificado, emitido por organismo acreditado
A norma internacional do sistema de gestão de segurança da informação, e a mais pedida em concorrência e em questionário de fornecedor. Certifica a forma como a empresa gerencia o risco, não uma tecnologia: por isso vale para qualquer setor e é a base que as outras normas aproveitam.
Ver a páginaO que você recebe no fim
Certificado, e desde 2025 sem depender da ISO 27001
A norma do sistema de gestão de privacidade. Até 2019 ela era uma extensão e não se certificava sem a ISO 27001 por baixo; a revisão publicada em outubro de 2025 tornou a norma independente, e derrubou a barreira que obrigava a empresa a construir um sistema de gestão de segurança inteiro antes de poder certificar a privacidade. É o caminho de quem já atende à LGPD na prática e precisa provar isso a um cliente ou a um regulador.
Ver a páginaO que você recebe no fim
Labels, válidos por três anos
O mecanismo de avaliação e troca da indústria automotiva, administrado pela ENX Association. O manual oficial do participante diz, com todas as letras, que não existe certificado TISAX: o que se obtém são labels, válidos por três anos. Quem avalia é uma auditora credenciada, nunca quem preparou.
Ver a páginaO que você recebe no fim
Relatório de auditoria independente
Um relatório sobre os seus controles, escrito e assinado por uma auditoria independente, com base nos critérios de confiança definidos pelo AICPA. Não é certificado e não tem selo: o que o seu cliente recebe é o relatório inteiro para ler. Tipo I olha o desenho num instante; Tipo II observa a operação ao longo de um período.
Ver a páginaO que você recebe no fim
Escudos publicados no registro do TPN+
A avaliação de segurança de conteúdo da Motion Picture Association, para quem presta serviço a estúdio e plataforma de streaming. O guia oficial afirma que a avaliação não é aprovação, certificação nem pass/fail: cada dono de conteúdo decide por conta própria, usando o resultado como base. Desde setembro de 2025 são quatro escudos, sobre a versão 5.3.1 das melhores práticas da MPA.
Ver a páginaO que você recebe no fim
Autoavaliação assinada pela própria agência
A IATA exige conformidade com o PCI DSS de quem processa cartão do passageiro. Para a maioria das agências acreditadas o caminho é o questionário de autoavaliação, e o nome não é acidente: quem declara é a agência. A DM11 organiza o ambiente, reduz o escopo e produz a evidência que sustenta essa assinatura.
Ver a páginaO que você recebe no fim
Atestado de conformidade
O padrão de segurança das bandeiras de cartão, obrigatório para quem armazena, processa ou transmite dado de cartão. O nível de exigência muda com o volume de transações e com o seu papel na cadeia. Quando a rota exige avaliação formal, quem conduz é um QSA credenciado pelo PCI SSC.
Ver a páginaO que você recebe no fim
Obrigação regulatória, com prazo já vencido
A Resolução CMN 4.893/2021 fixou a política de segurança cibernética das instituições financeiras, e a Resolução BCB 85/2021 fez o mesmo para as instituições de pagamento, em vigor desde 1º de agosto de 2021. Já naquele texto havia lista de controle mínimo, diretor formalmente responsável, relatório anual levado ao conselho até 31 de março e regra própria para contratar processamento, armazenamento e nuvem, inclusive no exterior. Em 18 de dezembro de 2025, a Resolução CMN 5.274 e a Resolução BCB 538 ampliaram as duas, com exigência mais detalhada e atenção específica aos ambientes do Pix e do sistema de transferência de reservas. O prazo de adequação para quem já operava foi 1º de março de 2026, e ele já passou.
Falar sobre esta normaO que você recebe no fim
Retrato medido do seu estado, e um plano em ordem
Um conjunto de controles em ordem de prioridade, do Center for Internet Security, com grupos de implementação por porte de empresa. Não existe certificação CIS: o valor está em ser a lista mais direta de por onde começar, e em servir de ponte para as normas que certificam.
Ver a páginaO que você recebe no fim
Perfil de maturidade, acompanhado ao longo do tempo
O framework do instituto americano de padrões, organizado em funções que vão de identificar a recuperar. É voluntário e não se certifica, e é a linguagem que o conselho entende quando precisa acompanhar maturidade ao longo do tempo em vez de um sim ou não.
Ver a páginaO que você recebe no fim
Referência técnica aberta e gratuita
A fundação que publica as referências de segurança de aplicação mais usadas do mundo, todas gratuitas. O Top 10 lista os riscos mais críticos em aplicação web, e a edição de 2025 é a primeira revisão desde 2021. O ASVS 5.0 é a lista de requisitos verificáveis, que serve para escrever contrato e para testar de verdade, e não só para conversar. Há ainda o Top 10 de API, o MAS para aplicação móvel, o Top 10 para aplicações com modelo de linguagem, que é hoje a referência de segurança em IA generativa, e o SAMM, para medir a maturidade do processo de desenvolvimento. Nenhum deles certifica ninguém: o valor está em ser a régua que o cliente e o pentester reconhecem.
Falar sobre esta normaO que você recebe no fim
Método declarado, que torna propostas comparáveis
O Penetration Testing Execution Standard descreve as fases pelas quais um teste de intrusão passa, do acordo prévio ao relatório. Ele existe por um motivo prático: sem método declarado, dois testes com o mesmo nome entregam trabalhos incomparáveis, e o comprador não tem como saber qual recebeu. É o que permite exigir na proposta o que será feito em cada fase, em vez de aceitar um preço por um escopo que ninguém escreveu.
Falar sobre esta normaO que você recebe no fim
Catálogo público de técnicas de ataque
Uma base de conhecimento pública que organiza como atacantes reais se comportam, por tática e por técnica, a partir de casos observados. Não diz o que instalar: diz o que o adversário faz. Serve para checar se a sua detecção cobre o que interessa, para dar linguagem comum ao time de resposta e para o pentest provar o caminho que percorreu, em vez de entregar uma lista de falhas soltas.
Falar sobre esta normaO que você recebe no fim
Catálogo público de ataques a sistemas de IA
A mesma estrutura do ATT&CK, aplicada a sistemas de inteligência artificial e aprendizado de máquina. Cobre o que o ATT&CK não cobre: envenenamento de dado de treino, extração de modelo, manipulação de entrada e os ataques que exploram o modelo em si, e não a infraestrutura ao redor dele. É a referência que falta na maior parte das avaliações de IA, que ainda testam o servidor e não o modelo.
Falar sobre esta normaO que você recebe no fim
Obrigação legal, para empresa de qualquer porte
A Lei Geral de Proteção de Dados vale para qualquer empresa que trate dado pessoal no Brasil, sem escolha e sem porte mínimo. Não existe certificado de LGPD, e quem oferece um está vendendo outra coisa: o que existe é adequação demonstrável, com inventário de tratamentos, base legal registrada, atendimento ao titular e encarregado nomeado. Quando é preciso provar isso a um cliente ou a um regulador com documento de terceiro, o caminho é a ISO 27701.
Ver a páginaO que você recebe no fim
Obrigação legal, com prazo
A norma do Conselho Nacional de Justiça que estabelece requisitos de segurança da informação e proteção de dados para os cartórios brasileiros. Diferente de todas as outras desta página, não é escolha comercial: é obrigação, com etapas e prazos definidos por classe de serventia.
Ver a páginaONDE A DM11 ENTRA
Em toda norma desta página a separação é a mesma, e ela não é escolha nossa: quem prepara não pode avaliar. A DM11 faz o diagnóstico, monta o plano, implanta os controles com o seu time e organiza a prova no formato que o avaliador espera. Quando a sua rota exige avaliação formal, ela é conduzida por um organismo, auditoria ou avaliador credenciado, com os papéis separados.
Diagnóstico do que já existe, antes de propor qualquer projeto
Plano em ordem de prioridade, com responsável e prazo
Implantação junto do seu time, e não no lugar dele
Ensaio da avaliação, para o resultado deixar de ser surpresa
Aproveitamento entre normas: evidência feita uma vez serve a várias
Traga o texto do contrato ou o questionário que você recebeu. A gente diz qual norma responde, o que já existe na sua casa que aproveita e o que falta de verdade.
Fale com um especialista