O que faz um bom Trust Center
Um Trust Center responde às perguntas que os setores de compras e de segurança fazem repetidamente, antes que sejam feitas. Quais frameworks você segue e existe um certificado ou relatório de asseguração? Quem é o contato para questões de segurança? Como os dados são criptografados, onde fica a hospedagem, como os incidentes são tratados? Quais suboperadores estão envolvidos?
Um Trust Center é bom quando responde a essas perguntas de forma concreta e atual. Frases genéricas sobre a grande importância da segurança não ajudam ninguém. São melhores informações curtas e verificáveis: quais áreas estão cobertas, quais documentos existem, quando foram atualizados pela última vez.
A atualidade é o ponto mais importante. Uma página com um certificado vencido faz mais mal do que não ter página nenhuma. No Sightadel, os conteúdos vêm do sistema em que você já trabalha. Os frameworks, as evidências e os suboperadores são mantidos lá, e as atualizações aparecem com data na página.
Por fim, conta a facilidade de encontrar a página. Inclua o endereço no seu site, nas suas propostas e na sua assinatura de e-mail. O time comercial pode mencioná-lo cedo na conversa, e não só quando chega o questionário.
O que publicar e o que não publicar
Tudo o que você aprovar no Trust Center é público. Essa é a finalidade da página e, ao mesmo tempo, o seu limite mais importante. Antes de aprovar, verifique cada documento quanto a informações que possam ajudar atacantes: nomes de sistemas internos, endereços IP, diagramas de rede, nomes e ramais de administradores, detalhes sobre os produtos de segurança usados.
São adequados os certificados, uma versão resumida da política de segurança da informação, uma visão geral das medidas técnicas e organizacionais em nível genérico e a lista de suboperadores. Também são adequadas respostas a perguntas frequentes, por exemplo sobre hospedagem, criptografia ou tratamento de incidentes de segurança.
Não pertencem à página pública relatórios de auditoria completos, políticas internas na íntegra, resultados de testes de invasão e planos de emergência. Esses documentos são disponibilizados mediante solicitação a clientes específicos, na dúvida só depois de um acordo de confidencialidade.
Veja a página sem login antes da publicação e após cada alteração. Só assim você vê o que um visitante realmente vê. Cada documento é aprovado individualmente. O que deve ficar interno, fica interno.
Como o Trust Center encurta os questionários
Os questionários de segurança dos clientes muitas vezes são longos, e a maioria das perguntas se repete de cliente para cliente. Local de hospedagem, criptografia, controle de acesso, backups, gestão de incidentes, treinamento dos funcionários, suboperadores: as respostas quase não mudam.
O Trust Center absorve essas perguntas-padrão. Muitos clientes aceitam um link como resposta ou como anexo ao questionário. Assim, você só precisa responder ao que é realmente individual, por exemplo particularidades contratuais ou perguntas sobre a integração com os sistemas do cliente.
Para que isso funcione, as informações do Trust Center e as respostas aos questionários precisam coincidir. Por isso, mantenha as respostas-padrão em um único lugar. Se algo mudar, por exemplo com um novo suboperador, atualize primeiro o Trust Center.
Para o time comercial, isso significa que o link deve aparecer cedo na conversa. Um interessado que, já na fase de seleção, vê quais frameworks você segue e quais evidências existem faz menos perguntas no processo de compra. Isso economiza tempo para os dois lados.
Útil mesmo sem certificado
Um Trust Center não pressupõe um certificado. Para a NIS2 não existe obrigação de certificação, e também para o GDPR um certificado é pouco comum. Mesmo assim, os clientes perguntam como você atende aos requisitos. O Trust Center mostra quais frameworks você gerencia ativamente e quais medidas estão implementadas.
Ele também é útil no caminho para uma certificação. Mostra que você trabalha segundo a ISO 27001 e planeja uma auditoria, sem alegar um certificado que ainda não tem. Preste atenção a formulações precisas. Só fale em certificação quando um organismo acreditado tiver emitido o certificado. Antes disso, cabe uma formulação como “gestão da segurança da informação com base na ISO 27001”.
O Sightadel não emite certificações. A auditoria é realizada por um organismo externo e independente, da rede de parceiros no aplicativo ou escolhido livremente. Quando você tiver o certificado, envie-o para a biblioteca de evidências, aprove-o no Trust Center e publique uma atualização com data. Os clientes veem na hora desde quando ele é válido.
