GRC / LGPD

← Voltar às trilhas · ← Voltar ao índice

Governança, risco e conformidade. É a única trilha que não precisa de home lab — e a que tem mais material bom em português, porque a LGPD é lei brasileira.

• Escrever e manter política de segurança que as pessoas realmente consigam seguir
• Medir a distância entre o que a norma pede e o que a empresa faz — o gap assessment
• Manter registro de risco: identificar, avaliar, tratar, aceitar, revisar
• Avaliar fornecedor antes de contratar, e reavaliar depois
• Preparar e conduzir auditoria
• Na LGPD: mapear dado pessoal, base legal, atender titular, responder incidente

O trabalho é escrita e conversa, não ferramenta. Quem não gosta de escrever não dura.

Você escreve bem, tem paciência com processo, consegue traduzir técnico para executivo e vice-versa. Vem bem de área jurídica, auditoria, qualidade ou administração.

Você quer trabalho técnico. É a trilha mais distante do terminal — e isso é uma característica, não um defeito.

Fases 0 e 1 do roadmap continuam valendo, mas com peso diferente: você precisa entender o controle técnico para exigi-lo, não precisa implementá-lo.

O que mais pesa aqui: vocabulário técnico correto (para não escrever política impossível de cumprir) e noção de como a empresa funciona.

Vantagem real desta trilha: sem lab, sem hardware, sem custo de nuvem. Você precisa de um editor de texto e de leitura. É a trilha mais acessível para quem não tem máquina boa.

Fase 2D do roadmap, ~90h — a mais curta das quatro mapeadas.

Ordem importa aqui: LGPD primeiro se você está no Brasil, porque é lei e cria obrigação. Framework depois, porque é escolha.

P25–P30, em projetos/05-grc.md. São os projetos mais fáceis de fazer sem infraestrutura e os mais fáceis de fazer mal — texto genérico não prova nada.

Se fizer só um: P28. É específico do Brasil, tem demanda real e pouca gente faz bem.

Como não fazer mal: invente uma empresa fictícia com detalhe — setor, tamanho, o que ela coleta, que sistema usa — e escreva para ela. Política genérica que serviria para qualquer empresa não serve para nenhuma.

Boa parte do valor está em saber qual framework aplicar e até onde, não em decorar todos.

• Gratuito: os cursos da faixa gratuita em docs/certificacoes.md, e o material da ANPD
• Primeiro exame que vale: ISO 27001 Lead Implementer ou Foundation, se a sua empresa segue ISO
• No Brasil, especificamente: certificação em LGPD/DPO tem procura real
• Longo prazo: CISA (auditoria) ou CISM (gestão) — as duas pedem experiência comprovada

Nesta trilha, certificação pesa mais que em Red Team, porque auditoria valoriza credencial formal.

Você terminou esta trilha quando consegue, sem consultar nada:

• Explicar a diferença entre política, norma, procedimento e diretriz
• Citar as bases legais da LGPD e dar um exemplo de uso de cada
• Conduzir um gap assessment e apresentar o resultado para diretoria em uma página
• Montar registro de risco com metodologia explícita de probabilidade e impacto
• Dizer a diferença entre risco inerente e risco residual, com exemplo
• Explicar o que fazer nas primeiras 24h de um incidente com dado pessoal
• Escrever uma política que alguém consiga cumprir sem parar de trabalhar

O último é o mais difícil e o mais raro.

• "Como você prioriza controle com orçamento limitado?" — risco sobre esforço
• "A área de negócio recusa um controle. O que você faz?" — negociação, risco aceito formalmente
• "Explique LGPD para quem nunca ouviu falar" — tradução, em dois minutos
• "Diferença entre conformidade e segurança" — conformidade é piso, não teto
• "Como você mede se o programa está funcionando?" — indicador, não sensação

• Blue Team — se você quiser a base técnica para exigir controle com autoridade
• Cloud Security — conformidade em nuvem é onde mais falta gente que entenda as duas partes

← Voltar às trilhas · ← Voltar ao índice