Soluções sob medida para empresas B2B
Quem fornece grandes empresas é avaliado regularmente: com questionários, auditorias de clientes e requisitos no contrato. A NIS2 e o DORA obrigam os seus clientes a avaliar a cadeia de abastecimento. O Sightadel reúne as suas respostas e evidências em um só lugar, para que cada avaliação parta da mesma situação.
Ponto de partida
Para fornecedores e prestadores de serviços, a segurança no cliente faz parte do contrato. Têm acesso a sistemas, dados ou processos de produção dos seus clientes. Um incidente na sua empresa pode causar danos lá. Por isso, os grandes clientes querem saber, antes e durante a colaboração, como trabalha.
Os requisitos chegam de muitas formas. Um questionário com cem perguntas, uma auditoria de fornecedor no local, um anexo de segurança ao contrato-quadro, o pedido de um certificado. Desde que vigoram a NIS2 e o DORA, muitos clientes estão legalmente obrigados a gerenciar a segurança da sua cadeia de abastecimento. Eles transferem essa obrigação para você através de contratos.
As perguntas se parecem; os formulários, não. Quem responde a cada questionário em separado ocupa repetidamente as vendas, a TI e a alta direção com os mesmos temas. Com um SGSI segundo a ISO 27001, as respostas são verificadas e comprovadas uma vez, e um certificado responde a muitas perguntas de antemão.
Por que agora
A data está marcada e o auditor chega com uma lista. Pergunta por políticas, acessos, plano de emergência e gestão de incidentes, cada um com a sua evidência.
Cada cliente envia o seu próprio formulário, muitas vezes em Excel e com prazo. As respostas ficam espalhadas entre várias pessoas e às vezes se contradizem.
Segundo o § 30 da BSIG, a segurança da cadeia de abastecimento faz parte da gestão de riscos das entidades importantes e essenciais. Por isso os seus clientes precisam avaliá-lo e vincular contratualmente.
O DORA exige às entidades financeiras que registrem e avaliem os seus prestadores de serviços de TIC e celebrem contratos com um conteúdo mínimo fixo. Como prestador, você percebe isso nos questionários e anexos ao contrato.
Grandes entidades públicas e privadas põem muitas vezes a ISO 27001 como condição. Sem certificado não entra na seleção final.
O que o seu cliente exige de você, muitas vezes você precisa repassar aos seus próprios subcontratados. Também essa cadeia precisa de evidências.
Frameworks relevantes
Resumido com nossas próprias palavras, não constitui consultoria jurídica. Vale o texto original na versão em vigor.
A evidência que a maioria dos clientes conhece e reconhece. Um certificado de um organismo acreditado responde de antemão a muitas perguntas de questionários e auditorias. É válido por três anos, com auditorias de acompanhamento anuais.
Ver framework →Afeta você diretamente se o seu setor constar da BSIG e atingir os limites de porte. Indiretamente afeta você quase sempre, assim que os seus clientes estão abrangidos e precisam gerenciar a segurança da cadeia de abastecimento nos termos do § 30 da BSIG.
Ver framework →Se trata dados pessoais por conta dos seus clientes, é operador. Precisa então de contratos nos termos do art. 28 do GDPR, de medidas descritas e de uma cadeia de notificação para violações de dados.
Ver framework →Vale para entidades financeiras. Se presta serviços de TIC a bancos ou seguradoras, recebe os requisitos através de contratos, questionários e direitos de auditoria. A evidência normalmente é apresentada através do seu SGSI.
Ver framework →Exigida de qualquer forma em muitas relações de fornecimento. O controle de documentos, a auditoria interna e a revisão pela gestão são gerenciados em conjunto com a ISO 27001.
Ver framework →Ordem recomendada
Que clientes exigem o quê? Questionários, anexos contratuais e relatórios de auditoria dos últimos anos mostram que temas se repetem e que evidência tem mais efeito.
Um SGSI segundo a ISO 27001 cobre a maior parte. Os requisitos específicos de clientes que vão além disso são refletidos como framework próprio, vinculando as evidências existentes.
Onde estão os dados, quem tem acesso, como se fazem as cópias, como se notificam os incidentes? Cada resposta recebe uma evidência com data e uma pessoa responsável.
As auditorias de clientes e a auditoria de certificação usam a mesma documentação. Os auditores recebem no Sightadel um acesso próprio sem permissão para excluir.
Certificados, políticas aprovadas, medidas e subcontratados constam de uma página própria. Os novos questionários você responde com um link e as poucas perguntas individuais.
Foco
Os questionários de fornecedores não desaparecem. Com estes passos você os responde mais rápido e de forma coerente.
A maioria das perguntas aborda os mesmos temas: acessos, criptografia, backups, plano de emergência, treinamentos e subcontratados. As respostas estão no SGSI e servem para todos os clientes.
Os catálogos recorrentes de grandes clientes são importados a partir de Excel ou Word. Cada requisito vira um ponto de controle, e vincula as evidências existentes em vez de procurá-las de novo.
No Trust Center mostra certificados, resumos de políticas e subcontratados. O que é confidencial, como relatórios de auditoria ou diagramas de rede, você só compartilha mediante solicitação.
O que os clientes exigem de você, você verifica nos seus próprios prestadores. O módulo Fornecedores os gerencia com risco, contrato e evidências com data de validade.
Como o Sightadel ajuda
Os catálogos de requisitos de clientes e anexos de segurança são criados como framework próprio, também por importação a partir de Excel ou Word. Trabalha com eles como com qualquer outro framework.
Saiba mais →Uma página própria com certificados, documentos aprovados, medidas de segurança e subcontratados. O setor de compras dos seus clientes encontra as respostas sozinho.
Saiba mais →A ISO 27001 e a NIS2 são trabalhadas controle a controle. Onde os requisitos coincidem com catálogos de clientes, uma evidência serve para todos.
Saiba mais →As evidências têm data, versão e data de validade. Se um cliente pedir uma evidência na auditoria, você a encontra no mesmo lugar que para a auditoria de certificação.
Saiba mais →Os seus próprios subcontratados constam de uma lista com criticidade, questionário e evidências. Certificados vencidos são detectados antes de o cliente perguntar.
Saiba mais →O Sightadel verifica a superfície de ataque dos seus domínios visível de fora. Muitos clientes avaliam fornecedores exatamente a partir desta vista.
Saiba mais →Mediante acordo
Alguns grandes clientes enviam anexos de segurança extensos ou pedem relatórios em um formato específico. Os frameworks próprios você mesmo cria. Se um catálogo for muito extenso ou precisar de outra integração, implementamos isso para você mediante acordo.
Fornecedores e prestadores com grandes catálogos de clientes ou requisitos especiais
O escopo e os custos constam antes da proposta. Só se implementa após a sua aceitação.
Ver adaptações sob medidaEsforço e duração
Os intervalos são valores de experiência, não um compromisso. O que mais influencia é o número e a extensão dos requisitos dos clientes e quanto disso já está comprovado.
O que você licencia · normalmente Professional
Um fornecedor típico gerencia a ISO 27001 e o GDPR na edição Professional. Esta inclui dez usuários, 25 fornecedores e três frameworks próprios, o suficiente para os catálogos dos clientes mais importantes. Licença para a ISO 27001: a partir de € 750 por mês. Se a ISO 27001 estiver incluída, o GDPR e, se necessário, a NIS2 custam menos de forma permanente. Com muitos catálogos de clientes ou empresas do grupo, a Enterprise é a mais indicada.
Licença por framework, prazo mínimo de um ano, pagamento mensal ou anual. Todos os preços, descontos e uma calculadora estão na página de preços. Os custos de um organismo de certificação ou de auditoria são cobrados à parte.
Perguntas e respostas
Mais em nossas perguntas frequentes ou diretamente pelo nosso formulário de contato.
Raramente por completo. Muitos clientes aceitam o certificado para grande parte das perguntas e querem resposta para o resto, por exemplo sobre unidades, subcontratados ou detalhes do contrato. Com certificado e Trust Center ficam normalmente poucas perguntas individuais.
Não automaticamente. Estar abrangido depende do seu setor e do seu porte. Independentemente disso, o seu cliente precisa avaliar a cadeia de abastecimento e transfere requisitos para você através do contrato. O enquadramento de cada caso deve ser esclarecido com a sua assessoria.
Os catálogos recorrentes são importados como framework próprio, vinculando as evidências existentes. Para questionários pontuais usa as respostas verificadas do seu SGSI e remete para o Trust Center.
Os auditores recebem um acesso próprio sem permissão para excluir. Você decide se dá esse acesso a um cliente para uma auditoria ou se compartilha documentos de forma seletiva.
Certificados, resumos de políticas, medidas de segurança e a lista de subcontratados. Nomes internos de sistemas, diagramas de rede ou relatórios de auditoria completos não pertencem a uma página pública. Esses você compartilha mediante solicitação.
Verifique primeiro a lista de frameworks disponíveis. Se a norma faltar, reflita os requisitos de que dispõe como framework próprio. Se isso basta como evidência junto ao cliente, você esclarece com ele ou com o organismo de avaliação competente.
14 dias, acesso completo, sem dados de pagamento. Tudo o que você configurar continua valendo no plano pago.
