Segura por natureza, comprovada por auditoria: os bastidores da jornada ISO 27001 e 27701 do Whom

O dado é o ativo mais valioso da sua empresa. Quem trata o seu?

Com essa provocação, Bianca Medran (DPO da doc9) e Maik Soares (Diretor de Atração e Retenção de Clientes) abriram a palestra “Segura por natureza. Comprovada por auditoria.” no primeiro dia da Fenalaw 2026.

Ao longo da conversa, os dois contaram os bastidores de uma jornada. Primeiro, o Whom era seguro por natureza. Depois, passou a ser seguro by design. Hoje, é comprovado por auditoria externa. E, principalmente, o que isso muda na prática para quem está do lado do jurídico.

O desafio do jurídico mudou de escala

Por muito tempo, o foco tradicional do departamento jurídico foi ganhar causas e gerenciar prazos. Isso continua importante, mas já não basta. Hoje, o maior desafio é gerenciar risco e reputação institucional em escala.

Nesse cenário, dados sensíveis, acessos e fornecedores entram na conta do jurídico. Afinal, o ecossistema jurídico movimenta volumes massivos de informações sensíveis todos os dias. Por isso, segurança da informação e privacidade deixaram de ser assunto exclusivo da TI e passaram a funcionar como aceleradores de governança.

Além disso, Bianca lembrou no palco que a governança digital deixou de ser um item de prateleira. Hoje, ela é a espinha dorsal das grandes empresas.

Segurança que veio antes do selo

As certificações não foram o começo da história de segurança da doc9. Elas coroam um legado construído ao longo do tempo:

• 16 anos de doc9;
• 5 anos de operação do Whom;
• 100 milhões de acessos por ano;
• zero vazamentos.

A diferença é que, agora, esse legado deixa de depender da palavra da empresa e passa a ser verificável por terceiros.

De segura por natureza a comprovada por auditoria

No mercado jurídico, é comum passar boa parte do tempo apagando incêndios. Para Bianca, a verdadeira maturidade aparece quando a postura muda de reativa para preventiva. Foi essa a virada da doc9, que pode ser resumida em três etapas.

Primeiro, a empresa era segura por natureza: cultura e boas práticas sustentaram anos de operação sem vazamentos.

Em seguida, tornou-se segura by design, com segurança e privacidade incorporadas ao desenho dos processos e do produto.

Por fim, passou a ser comprovada por auditoria, com uma chancela externa de gestão contínua de riscos.

Em outras palavras, a doc9 deixou de dizer “somos seguros porque fazemos bem”. Agora, a frase é outra: “somos seguros e um auditor independente comprova isso”.

Os bastidores: segurança não é opcional, nem puxadinho

Para que a segurança esteja de fato no DNA dos processos, a jornada passou por quatro frentes:

• Mapeamento de fluxos: cada entrada e saída de dados é conhecida, com responsáveis definidos.
• Gestão contínua de riscos: riscos identificados, tratados e revisados em ciclo permanente.
• Controle de acessos: todo acesso é auditável.
• Pessoas treinadas: treinamentos em dia, porque segurança também é cultura.

Duas normas, uma governança

Muita gente ainda enxerga a ISO como um selo na parede ou como mais burocracia de auditoria. Por isso, Maik levou a pergunta direto para a Bianca: o que muda, de fato, na rotina e na governança de um jurídico?

A resposta começou pela tradução do “juridiquês” e do “tecniquês”. A ISO/IEC 27001 trata da segurança da informação e garante a tríade que protege o dado: confidencialidade, integridade e disponibilidade. Já a ISO/IEC 27701 amplia a 27001 para a privacidade da informação. Por isso, conversa diretamente com a LGPD e com as exigências da ANPD.

Sua operação depende de sorte ou de processo?

Na prática, ter esses frameworks implementados significa não depender da sorte nem da boa vontade das pessoas. Em vez disso, a operação conta com processos definidos para:

• transferência de arquivos, com trocas de documentos sob controles estabelecidos;
• automação de fluxos, com menos etapas manuais e, portanto, menos pontos de falha;
• acessos restritos, com perfis personalizados e rastreabilidade de cada ação;
• mitigação de vulnerabilidades, para que ameaças sejam tratadas antes de virarem incidentes.

Do “eu acho” ao “nós operamos sob padrões globais”

Uma das mensagens mais fortes da palestra foi sobre mudança de postura. Na prática, a certificação comprova, por meio de auditoria, três pontos. Primeiro, a empresa gerencia riscos de forma contínua. Além disso, conhece seus fluxos de dados e suas responsabilidades. Por fim, mantém os treinamentos em dia.

Assim, se algum problema acontecer, a empresa sabe que fez tudo para evitá-lo. Mais do que isso, tem evidências auditáveis de boa-fé e de melhores esforços perante o mercado. É o fim do “eu acho que estamos seguros” e o início do “nós operamos sob padrões globais de segurança”.

Conformidade atrai eficiência

Existe uma ideia antiga de que segurança e produtividade estão em lados opostos. Bianca defendeu o contrário: conformidade atrai eficiência.

Isso acontece porque, ao organizar os processos para atender à norma, a empresa mapeia seus fluxos. Com isso, ganha visibilidade de ponta a ponta sobre o dado.

Além disso, revisa e automatiza rotinas e, com isso, limpa gargalos, reduzindo retrabalho e erro manual. O resultado é um jurídico mais rápido e com risco de incidentes muito menor. Com governança, não é preciso escolher entre segurança e produtividade.

O questionário de compliance travou a contratação de novo?

Quem é do jurídico conhece o desgaste da due diligence e dos questionários de compliance que parecem não ter fim. Sem governança certificada, esses questionários são respondidos do zero a cada cliente. Além disso, a validação do fornecedor demora mais. E, no fim, cada lado opera com seu próprio padrão.

Com governança certificada, a lógica muda. Há evidência auditada por terceiro, pronta para ser apresentada. As barreiras na homologação diminuem, e fornecedor e cliente passam a falar o mesmo padrão.

Pronto para sentar à mesa com gente grande?

Para Maik, há um erro comum no mercado: tratar compliance como obstáculo. Na verdade, ter governança significa estar pronto para se relacionar com as maiores corporações do país, com maturidade institucional para isso.

O efeito se espalha pela cadeia. O fornecedor certificado permite que o jurídico do cliente opere com uma cadeia de terceiros também certificada. Consequentemente, conselho, matriz e clientes recebem a prova de maturidade que exigem.

Prova disso é que clientes da doc9 já pedem declarações de que contratam a empresa. Dessa forma, conseguem demonstrar uma cadeia de terceiros certificada e inovadora.

Whom: governança ativa de identidade digital

As grandes companhias não têm mais tempo nem apetite para soluções improvisadas. Nesse contexto, o Whom vai além de um cofre de certificados. Na verdade, é uma plataforma de governança ativa de identidade digital, desenhada desde o core com a ISO 27001 e a ISO 27701.

Na prática, isso se traduz em três pilares. O primeiro é a certificação no core, em um produto preparado para auditorias rigorosas. O segundo é o controle e a rastreabilidade, com perfis personalizados, cada ação rastreada e cada acesso auditável. O terceiro é a adequação regulatória, incluindo a conformidade com a Portaria 140/2024 do CNJ, via 2FAGOV.

Assim, o Whom fala o mesmo idioma de governança que o conselho, a matriz ou o cliente mais exigente cobram. Para quem contrata, portanto, o resultado é tranquilidade para aprovar projetos estratégicos e focar no crescimento. Afinal, a estrutura por trás é sólida, auditada e segura.

O recado da palestra

Se houve um insight central, foi este: não contrate apenas uma ferramenta, contrate governança embarcada. Ou seja, olhe para parceiros e fornecedores de tecnologia com a lente da maturidade processual.

Bianca encerrou com uma frase que resume a conversa: “A governança na prática se faz escolhendo os aliados certos.” Afinal, mitigar riscos jurídicos e de imagem começa na escolha de quem trata os dados com você no dia a dia.