Soluções · Software e serviços de TI
Quem fornece software, serviços em nuvem ou operação de TI é avaliado antes de cada contrato de maior porte. Questionários, certificados, relatórios de auditoria, cláusulas contratuais. Soma-se a isso a NIS2 para provedores de nuvem, data centers e prestadores de serviços gerenciados. O Sightadel orienta você pela ISO 27001, pelo SOC 2 e pelo C5 do Serviço Federal Alemão de Segurança da Informação (BSI), mantém as evidências reunidas ao longo do período de auditoria e mostra sua situação no Trust Center.
Ponto de partida
Para os fornecedores de software e serviços de TI, a segurança da informação faz parte do produto. Os clientes confiam a eles dados, acessos ou processos de negócio inteiros. Antes disso, querem saber como tudo é tratado. Isso aparece nas vendas: compras envia um questionário de segurança com cem perguntas, o jurídico exige anexos ao contrato, a TI do cliente quer ver certificados e relatórios.
As perguntas são quase sempre as mesmas, só formuladas de outro jeito. Mesmo assim, muitos fornecedores respondem a cada questionário à mão, dividindo o trabalho entre desenvolvimento, operações e administração. Isso custa tempo que falta no produto, e surgem respostas contraditórias. Um certificado ou relatório de auditoria encurta essas rodadas, mas não as substitui por completo.
Qual é a evidência certa depende dos clientes. No mercado alemão e europeu, a ISO 27001 é a referência habitual. Clientes nos EUA pedem o SOC 2. A saúde e o setor público esperam dos provedores de nuvem um relatório de asseguração segundo o BSI C5. Com o tempo, muitos fornecedores precisam de mais de uma dessas evidências. Quem as constrói sobre uma base comum faz a maior parte do trabalho uma única vez.
Por que agora
O contrato está ao alcance, mas compras exige um certificado ou um relatório de auditoria. Sem evidência, o fechamento atrasa ou não acontece. A data muitas vezes já consta da proposta.
Clientes norte-americanos pedem quase sempre um relatório SOC 2. Um certificado ISO muitas vezes é reconhecido, mas não responde a todas as perguntas dos departamentos de segurança de lá.
Órgãos públicos contratantes e prestadores de serviços de saúde perguntam pelo BSI C5 quando se trata de serviços em nuvem. Para o tratamento de dados de saúde na nuvem, um relatório de asseguração atual é condição necessária.
Provedores de nuvem, data centers e prestadores de serviços gerenciados pertencem aos setores de alta criticidade da lei alemã do BSI (BSIG). A partir do médio porte, são entidades importantes; a partir do grande porte, entidades essenciais.
Mesmo quem não está abrangido recebe os requisitos por meio dos clientes. Bancos, seguradoras e empresas sujeitas à NIS2 precisam avaliar seus prestadores de serviços e vinculá-los por contrato.
Investidores e compradores verificam a segurança da informação das empresas de software na due diligence. Um SGSI mantido em dia responde a essas perguntas sem horas extras.
Frameworks relevantes
Resumido com nossas próprias palavras, não constitui consultoria jurídica. Vale o texto original na versão em vigor.
A norma de segurança da informação no mercado europeu e a base comum para todas as outras evidências. O certificado de um organismo acreditado vale por três anos, com auditorias de manutenção anuais. Para muitos fornecedores, é o primeiro objetivo.
Ver framework →Pedido assim que chegam clientes nos EUA ou grupos com atuação internacional. O Type I descreve o desenho dos controles em uma data de referência; o Type II, a eficácia deles ao longo de um período. O relatório é elaborado por uma empresa de auditoria norte-americana (CPA). Com um SGSI ISO 27001 existente, grande parte dos controles já está implementada.
Ver framework →Para provedores de nuvem com clientes da saúde, do setor público ou de setores regulados. Desde a primavera europeia de 2026 vale o C5:2026. Para períodos de auditoria que comecem a partir de 1º de junho de 2027, só a nova versão é aceita. O relatório de asseguração é emitido por um auditor independente (empresa de auditoria) segundo a ISAE 3000.
Ver framework →Os provedores de serviços de computação em nuvem e de data centers pertencem às infraestruturas digitais; os prestadores de serviços gerenciados e de serviços de segurança gerenciados, à gestão de serviços de TIC. Os dois setores constam do anexo 1 da BSIG. Marketplaces online, mecanismos de busca e redes sociais estão abrangidos no anexo 2 como prestadores de serviços digitais. Alguns serviços ficam abrangidos independentemente do porte.
Ver framework →Quem trata dados pessoais em nome de clientes é operador. Isso implica contratos nos termos do art. 28 do GDPR (Regulamento Geral sobre a Proteção de Dados da UE), uma lista de suboperadores, medidas técnicas e organizacionais e um processo para violações de dados que também informe os clientes a tempo.
Ver framework →Para fornecedores cujo produto inclui funcionalidades de IA. Os clientes perguntam cada vez mais como os modelos são escolhidos, os dados usados e os riscos avaliados. Um sistema de gestão segundo a ISO/IEC 42001 se apoia na mesma estrutura da ISO 27001.
Ver framework →Ordem recomendada
Quais clientes você quer conquistar e o que eles exigem? Disso resulta a ordem. Normalmente, a ISO 27001 é o primeiro passo, seguida do SOC 2 ou do C5. Em paralelo, verifique se a sua operação está abrangida pela NIS2.
Qual produto, quais ambientes, quais locais e quais subcontratados estão incluídos? Para o SOC 2 e o C5, disso resulta a descrição do sistema. Um escopo restrito e bem justificado é melhor do que um amplo que não é aplicado na prática.
Análise de riscos, políticas, controle de acesso, desenvolvimento seguro, gestão de mudanças, registro de logs, backups e gestão de incidentes. Muito disso já funciona há tempos no desenvolvimento e nas operações e só precisa de uma prova datada.
No SOC 2 Type II e no C5 tipo 2, conta que os controles tenham sido eficazes ao longo de meses. Revisões de acesso, admissões, desligamentos e mudanças precisam de provas contínuas. Quem só coleta pouco antes da auditoria não cobre o período.
O certificado ISO é emitido por um organismo de certificação acreditado, o relatório SOC 2 por uma empresa de auditoria norte-americana (CPA), o relatório de asseguração C5 por um auditor independente. No Sightadel, os auditores comentam, só editam após a sua aprovação e nunca excluem nada.
Certificados, políticas aprovadas, medidas de segurança e subcontratados ficam em uma página própria. O comercial indica essa página, em vez de responder a cada questionário do zero.
Foco
Para os fornecedores de software e serviços de TI, os questionários de segurança fazem parte das vendas. Não dá para eliminá-los, mas é possível respondê-los muito mais rápido.
As respostas às perguntas típicas dos clientes já estão no SGSI: onde ficam os servidores, quem tem acesso, como é feita a criptografia, com que frequência são feitos backups, como os incidentes são notificados. Quando essas respostas estão verificadas e comprovadas, ninguém precisa reformulá-las.
No Trust Center, você mostra certificados, resumos de políticas, medidas de segurança e subcontratados. O que é confidencial, como relatórios de auditoria ou diagramas de rede, só é disponibilizado mediante solicitação.
Hospedagem, envio de e-mails, monitoramento, ferramentas de suporte. Os clientes querem saber quem mais vê seus dados. O módulo Fornecedores gerencia seus subcontratados com avaliação e evidências, e o Trust Center mostra a lista atual.
Alguns clientes enviam catálogos de requisitos próprios que se repetem. Eles são criados como framework próprio, também por importação do Excel ou do Word, e vinculados às evidências existentes, em vez de procurar tudo de novo.
Como o Sightadel ajuda
Uma página própria com frameworks, documentos aprovados, medidas de segurança e subcontratados. O setor de compras dos seus clientes encontra as respostas sozinho, em vez de esperar por um questionário preenchido.
Saiba mais →A ISO 27001, o SOC 2 e o C5 são trabalhados controle a controle. Onde os requisitos coincidem, uma evidência fica vinculada a vários frameworks, por exemplo a revisão de acessos à ISO 27001 e ao SOC 2 ao mesmo tempo.
Saiba mais →As provas têm data, versão e data de validade. Os controles recorrentes funcionam como ciclo, e o Sightadel avisa antes que uma data passe dentro do período de auditoria.
Saiba mais →Provedores de hospedagem, plataformas de nuvem e outros subcontratados são gerenciados com criticidade, questionário e evidências com data de validade. É daí que vem a lista no Trust Center.
Saiba mais →O Sightadel verifica a superfície de ataque dos seus domínios visível de fora e mostra cada problema com instruções de correção. É justamente essa perspectiva que os clientes também usam quando avaliam você de fora.
Saiba mais →Catálogos específicos de clientes e requisitos internos são criados como framework próprio. Arquivos existentes do Excel e do Word podem ser importados.
Saiba mais →Visão de fora
Quase nenhum questionário de segurança deixa de perguntar com que frequência você verifica suas aplicações quanto a vulnerabilidades e quando foi o último teste de invasão. Junto com a veyrisk, oferecemos as verificações correspondentes. Os relatórios e as constatações corrigidas ficam armazenados como evidência no Sightadel e podem ser disponibilizados, se necessário, pelo Trust Center.
Fornecedores de software, nuvem e serviços gerenciados
As verificações podem ser contratadas independentemente da sua licença Sightadel. Você recebe a proposta após uma conversa rápida.
Solicitar consultoriaEsforço e duração
Os intervalos refletem a experiência e não constituem um compromisso. O que mais pesa é o tamanho do escopo, o número de subcontratados e o tempo que o desenvolvimento e as operações conseguem dedicar além do trabalho no produto.
O que você licencia · normalmente Professional
Um fornecedor de SaaS típico, com clientes na Europa e nos EUA, gerencia a ISO 27001 e o SOC 2 na edição Professional. Ela inclui dez usuários, dez ativos e 25 fornecedores. Se a ISO 27001 estiver incluída, há um desconto permanente no SOC 2. Equipes menores com um só produto muitas vezes se viram com a Basic. O BSI C5 é acrescentado quando os clientes o exigem.
Licença por framework, prazo mínimo de um ano, pagamento mensal ou anual. Todos os preços, descontos e uma calculadora estão na página de preços. Os custos de um organismo de certificação ou de auditoria são cobrados à parte.
Perguntas e respostas
Mais em nossas perguntas frequentes ou diretamente pelo nosso formulário de contato.
Pela evidência que seus clientes mais importantes exigem. Para clientes na Alemanha e na Europa, normalmente é a ISO 27001; para clientes nos EUA, o SOC 2. Quem atende os dois mercados muitas vezes começa pela ISO 27001, porque o SGSI é a base do SOC 2. No Sightadel, os dois frameworks usam as mesmas evidências.
A parte pela qual você é responsável. O data center e a segurança física são cobertos pelo provedor de nuvem com seus próprios certificados e relatórios. A configuração, os acessos, a segurança das aplicações, os backups e a gestão de incidentes cabem a você. As evidências do provedor são armazenadas no módulo Fornecedores e referenciadas.
Depende de como o seu serviço é classificado e do porte da sua empresa. Os serviços de computação em nuvem, os data centers e os serviços gerenciados estão listados no anexo 1 da BSIG; marketplaces online, mecanismos de busca e redes sociais, no anexo 2. Nem todo software como serviço é automaticamente um serviço de computação em nuvem no sentido da lei. A classificação é uma questão jurídica para a sua assessoria.
A partir do médio porte, a sua empresa está ela mesma abrangida, com cadastro no BSI, gestão de riscos, obrigações de notificação e responsabilidade da alta direção. Em especial destaque estão seus acessos a sistemas de clientes, porque um ataque contra você atinge muitos clientes ao mesmo tempo. Além disso, seus clientes exigem evidências, porque precisam avaliar a cadeia de suprimentos deles.
Ele tira do processo as perguntas recorrentes. Quanto tempo isso economiza depende dos seus clientes; não indicamos um número genérico. A experiência mostra que sobram algumas perguntas individuais. As perguntas-padrão sobre certificados, hospedagem, criptografia e subcontratados o cliente encontra sozinho.
O relatório de asseguração continua válido. Para períodos de auditoria que comecem a partir de 1º de junho de 2027, só o C5:2026 é aceito. Planeje o trabalho de diferenças com antecedência antes do próximo período de auditoria. No Sightadel, você vincula as medidas existentes aos novos critérios e vê o que é novo ou mais exigente.
Eles trabalham como Contributor apenas nas suas tarefas e enviam ali as provas, por exemplo um extrato do pipeline ou um registro da revisão de acessos. Não existe integração com ferramentas de desenvolvimento. Quem precisar de mais visão do todo vê no painel a situação de todos os frameworks.
14 dias, acesso completo, sem dados de pagamento. Tudo o que você configurar continua valendo no plano pago.
