Soluções · Gestores de segurança e CISO
Como gestor de segurança da informação (CISO), você mantém o SGSI funcionando, responde a questionários de clientes, prepara auditorias e reporta à alta direção. O Sightadel reúne requisitos, riscos, evidências e medidas em um só lugar, mesmo quando vários frameworks valem ao mesmo tempo.
Ponto de partida
Em muitas empresas, o SGSI é um conjunto de arquivos. Uma planilha para a Declaração de Aplicabilidade, outra para os riscos, outra para os fornecedores, além de pastas com políticas e uma caixa de e-mail cheia de evidências. Funciona enquanto uma pessoa tiver tudo na cabeça. Fica penoso assim que entra um segundo framework, um colega se ausenta ou o auditor pergunta quando uma prova foi verificada pela última vez.
Com a NIS2, a situação ficou ainda mais exigente. Muitas empresas agora precisam manter a ISO 27001, cumprir as obrigações da lei alemã do BSI (BSIG) e comprovar as medidas técnicas exigidas pelo GDPR (Regulamento Geral sobre a Proteção de Dados da UE), tudo ao mesmo tempo. Os temas se sobrepõem bastante. Por isso, a documentação deve fazer o mesmo: uma evidência sobre backups válida para os três, em vez de três cópias com três versões diferentes.
Soma-se a isso uma função entre várias frentes. Você precisa de contribuições da TI, de recursos humanos, de compras e das áreas, mas nenhum desses departamentos se reporta a você. O Sightadel torna visíveis as responsabilidades e os prazos, sem que você precise correr atrás de cada tarefa por e-mail. E dá à alta direção uma visão da situação que ela consegue ler sem explicações.
Por que agora
Você opera um SGSI segundo a ISO 27001 e agora também passa a ser abrangido pela lei do BSI. A cadeia de notificação, o cadastro no Serviço Federal Alemão de Segurança da Informação (BSI) e os deveres da alta direção são novos. O resto não deve ser documentado em duplicidade.
O auditor quer ver que o sistema está vivo: auditorias internas, análise crítica pela direção, riscos atualizados, ações corretivas concluídas. Evidências que eram válidas há um ano podem não ser mais hoje.
O antecessor saiu e os arquivos estão espalhados. Antes de poder melhorar, você precisa entender o que existe, o que está em vigor e o que está desatualizado. Uma importação organizada é mais rápida do que começar do zero.
Cada grande cliente envia seu próprio questionário sobre a cadeia de suprimentos. As perguntas são parecidas, os formatos não. Uma situação mantida em dia e um Trust Center respondem às perguntas de sempre uma única vez para todos.
A NIS2 e a ISO 27001 exigem que você avalie os prestadores de serviços e fixe requisitos de segurança em contrato. Sem uma lista central com datas de validade, um certificado vencido só é descoberto quando alguém pergunta por ele.
Frameworks relevantes
Resumido com nossas próprias palavras, não constitui consultoria jurídica. Vale o texto original na versão em vigor.
O referencial em que a maioria dos SGSI se apoia. As cláusulas 4 a 10 regulam o sistema de gestão; o Anexo A contém 93 controles em quatro temas. O certificado vale por três anos, com duas auditorias de manutenção anuais e depois a recertificação. As auditorias internas e a análise crítica pela direção são os pontos em que os sistemas mais mostram fragilidades na auditoria.
Ver framework →Obrigatória para entidades importantes e essenciais nos termos da lei do BSI. As dez áreas de medidas do § 30 da BSIG coincidem em grande parte com o Anexo A. As novidades são principalmente o cadastro no BSI, a cadeia de notificação de 24 horas, 72 horas e um mês e os deveres da alta direção previstos no § 38.
Ver framework →As medidas técnicas e organizacionais do art. 32 podem ser comprovadas com as mesmas evidências de muitos controles do Anexo A. Um incidente de segurança pode ser, ao mesmo tempo, uma violação de dados pessoais. Por isso, vale a pena uma articulação estreita com a proteção de dados.
Ver framework →Para provedores de nuvem cujos clientes vêm do setor público, da saúde ou de setores regulados. O catálogo de critérios do BSI se apoia na ISO 27001 e acrescenta temas específicos de nuvem. O resultado é um relatório de asseguração emitido por um auditor independente (empresa de auditoria).
Ver framework →Para as entidades financeiras, prevalece sobre a NIS2. A gestão de riscos de TIC, a gestão de incidentes e o controle de acesso se apoiam nas mesmas bases do SGSI. Somam-se o registro de informações sobre os prestadores de serviços de TIC e os testes de resiliência.
Ver framework →Ordem recomendada
A Declaração de Aplicabilidade, as listas de riscos e as tabelas de fornecedores existentes entram no Sightadel por importação do Excel ou do Word. As políticas e as provas são enviadas para a biblioteca de evidências e vinculadas aos requisitos. Assim você vê rapidamente o que já existe.
Crie a ISO 27001, a NIS2 e, se necessário, o GDPR ao mesmo tempo. Uma evidência é armazenada uma vez e vinculada a todos os requisitos que comprova. O que já está pronto para um framework aparece como comprovado no outro.
Os riscos são avaliados com um método fixo, recebem tratamento e responsáveis e são vinculados a medidas. Os mesmos dados de entrada levam a resultados comparáveis. Os riscos residuais aceitos são confirmados pela alta direção.
As lacunas dão origem a planos de ação com responsáveis e prazos. Colegas de TI, de recursos humanos e de compras recebem a função Contributor e cuidam diretamente da sua parte. Prestadores de serviços externos e consultores são convidados com função própria.
Revisões de permissões, treinamentos, avaliações de fornecedores, testes de emergência, auditoria interna e análise crítica pela direção funcionam como ciclos recorrentes com datas fixas. As evidências têm data de validade, e o Sightadel avisa antes de elas vencerem.
Uma auditoria interna honesta algumas semanas antes revela as últimas lacunas. O auditor externo vê os requisitos, as respostas e as provas em seu contexto.
O seu dia a dia
A implementação é um projeto. A operação é rotina, e é justamente nela que, sem sistema, mais tempo se perde.
Um teste de restauração de 14 meses atrás, uma lista de treinamento do ano anterior. Cada evidência no Sightadel tem uma data de validade. O que vence em breve aparece como tarefa, e não como constatação na auditoria.
A mesma política em três versões para três frameworks. No Sightadel ela existe uma única vez, com versão e aprovação, vinculada a todos os requisitos que cobre.
Distribuir tarefas por e-mail e acompanhá-las na agenda. Os planos de ação com responsáveis e prazos substituem isso. Os pontos em atraso ficam visíveis para você e para a alta direção, sem precisar perguntar.
Uma apresentação nova para cada reunião. O painel mostra o progresso por framework, os problemas em aberto e as medidas em atraso. A alta direção acompanha com a função Viewer, e cabe a você acrescentar o contexto.
Quem alterou isto e quando, e onde está a prova? O registro de atividades responde à primeira pergunta, a biblioteca de evidências à segunda. O auditor vê os dois por conta própria e nunca pode excluir nada.
Como o Sightadel ajuda
Cada requisito está formulado como pergunta com explicação, controle a controle. Resposta, justificativa e prova ficam no mesmo lugar. Isso ajuda tanto na Declaração de Aplicabilidade quanto nas contribuições de colegas que não conhecem a norma.
Saiba mais →Provas com versão, status e data de validade. Uma evidência pode ser vinculada a requisitos de vários frameworks, por exemplo um plano de backup à ISO 27001, à NIS2 e às medidas técnicas do GDPR ao mesmo tempo.
Saiba mais →Lacunas das avaliações, das auditorias internas e de constatações externas viram medidas com responsável e prazo. Criação, alteração e encerramento ficam no registro de atividades, com data, hora e pessoa.
Saiba mais →Prestadores de serviços com criticidade, questionários, contratos e evidências em uma só lista. Certificados vencidos e respostas ausentes saltam aos olhos. Isso cobre o dever relativo à cadeia de suprimentos da NIS2 e os controles correspondentes do Anexo A.
Saiba mais →O Security Score mostra a superfície de ataque dos seus domínios vista de fora, como nota e número, com uma lista de problemas concretos e instruções de correção. As constatações são tratadas com status e alimentam a sua gestão de vulnerabilidades.
Saiba mais →Requisitos internos, políticas do grupo ou anexos de segurança de grandes clientes são criados como framework próprio. Eles ficam ao lado da ISO 27001 e da NIS2 e usam as mesmas evidências.
Saiba mais →Esforço e duração
Os intervalos refletem a experiência e não constituem um compromisso. O que mais pesa é o ponto de partida, o tamanho do escopo e o tempo que sobra para você além do trabalho do dia a dia.
O que você licencia · normalmente Professional
Uma empresa com SGSI segundo a ISO 27001 e sujeita à NIS2 escolhe os dois frameworks na edição Professional. Ela inclui dez usuários, dez ativos e 25 fornecedores. Como a ISO 27001 está incluída, há um desconto permanente na NIS2. O GDPR pode ser acrescentado depois e usa as mesmas evidências.
Licença por framework, prazo mínimo de um ano, pagamento mensal ou anual. Todos os preços, descontos e uma calculadora estão na página de preços. Os custos de um organismo de certificação ou de auditoria são cobrados à parte.
Perguntas e respostas
Mais em nossas perguntas frequentes ou diretamente pelo nosso formulário de contato.
Sim. A Declaração de Aplicabilidade, as listas de riscos e as tabelas de fornecedores podem ser importadas do Excel, e as políticas, do Word. Depois você vincula os documentos aos requisitos. Você não começa do zero; você põe ordem no que já existe.
Cada framework tem seus próprios requisitos e seu próprio progresso. As evidências e as medidas, porém, são criadas uma única vez e vinculadas a todos os requisitos adequados. Propositalmente não indicamos um número para a sobreposição, porque ela depende do seu escopo.
Pela função Consultant externo. Seu consultor trabalha diretamente na sua conta, e o registro de atividades indica que o acesso veio de fora. Se você não tiver consultor, contrate consultoria como pacote no aplicativo.
O auditor recebe uma função própria. Ele vê os requisitos, as respostas, as evidências e o registro de atividades, comenta e, após a sua aprovação, cria ou edita registros. Ele nunca pode excluir nada. Isso economiza tempo de preparação e o envio de arquivos.
Um organismo de certificação independente e acreditado. Você o escolhe na nossa rede de parceiros no aplicativo ou traz o seu. O Sightadel não certifica, e as auditorias não geram nenhuma comissão, nem para nós nem para os parceiros.
Sim. O programa de auditoria é planejado como ciclo recorrente, as constatações viram medidas com prazo e os resultados alimentam a análise crítica pela direção. A auditoria interna deve ser feita por alguém que não tenha implementado pessoalmente o tema auditado.
Ela fornece rascunhos a partir de modelos setoriais e ajuda na redação. Propositalmente, nem tudo vem pré-preenchido. A avaliação de riscos, os riscos residuais e a decisão sobre quais controles se aplicam ficam com você. É exatamente isso que o auditor verifica.
O Sightadel é desenvolvido na Alemanha e operado na Alemanha. Com cada cliente firmamos um contrato de operador de dados nos termos do art. 28 do GDPR.
14 dias, acesso completo, sem dados de pagamento. Tudo o que você configurar continua valendo no plano pago.
