Software · GRC
GRC significa governança, risco e compliance. Um software GRC reúne requisitos, riscos, evidências e medidas em um só lugar, mesmo quando várias normas e leis se aplicam ao mesmo tempo. Esta página mostra o que uma ferramenta GRC precisa oferecer, o que você deve observar na escolha e como o Sightadel faz isso.
Ponto de partida
Governança é a condução pela alta direção: objetivos, diretrizes, funções e decisões. Risco é a gestão de riscos: identificar, avaliar, tratar e reavaliar riscos. Compliance é o cumprimento de normas, leis e requisitos de clientes e a comprovação disso. As três áreas se entrelaçam. Uma avaliação de riscos sem decisão da alta direção é tão pouco auditável quanto uma política sem evidência de que é seguida na prática.
Em muitas empresas, isso hoje está em arquivos separados. Uma planilha para a Declaração de Aplicabilidade da ISO 27001, outra para as medidas da NIS2, uma lista de fornecedores no setor de compras, comprovantes em pastas e caixas de e-mail. A cada novo regulamento o esforço cresce, porque os mesmos temas são documentados várias vezes: backup, direitos de acesso, treinamentos, fornecedores, auditoria interna.
Um software GRC substitui essa coleção por um modelo de dados comum. Os requisitos vêm dos frameworks; evidências e medidas são criadas uma única vez e vinculadas a todos os requisitos que comprovam. As decisões ficam onde as normas exigem: com a alta direção. Objetivos, aceitação de riscos e responsabilidades são definidos pela sua empresa, não pelo software.
Por que agora
Você tem ISO 9001 ou ISO 27001 e agora está sujeito à NIS2 ou ao DORA, ou um grande cliente exige um anexo de segurança próprio. A partir daí, compensa um sistema em que uma evidência vale para vários requisitos.
O organismo de certificação, o auditor das demonstrações financeiras ou a autoridade supervisora querem ver comprovantes com data. Quem só reúne tudo antes da data marcada recomeça a busca do zero todo ano.
A NIS2 e o DORA tornam expressamente responsável a diretoria ou o órgão de administração. A alta direção precisa de uma visão da situação que consiga ler e de decisões registradas de forma rastreável.
O responsável conhece todas as planilhas, mais ninguém. Se ele se ausenta ou sai, o sistema para. Uma ferramenta GRC torna responsabilidades e prazos visíveis para todos.
Cada cliente pergunta os mesmos temas em um formato diferente. Uma situação bem mantida e um Trust Center respondem às perguntas habituais uma vez, para todos.
Frameworks relevantes
Resumido com nossas próprias palavras, não constitui consultoria jurídica. Vale o texto original na versão em vigor.
O referencial mais difundido para segurança da informação. Os capítulos 4 a 10 regulam o sistema de gestão, e o Anexo A contém 93 controles. Muitas evidências da ISO 27001 servem também para a NIS2, o DORA e as medidas técnicas do GDPR (Regulamento Geral sobre a Proteção de Dados da UE).
Ver framework →Obrigatória para entidades importantes e essenciais segundo a lei alemã do BSI (BSIG). Dez áreas de medidas conforme o § 30 da BSIG, obrigações de notificação conforme o § 32, registro conforme o § 33 e responsabilidade da diretoria conforme o § 38.
Ver framework →Obrigatório para entidades financeiras na UE desde janeiro de 2025 e, nesse setor, prevalece sobre a NIS2. Além da gestão de riscos de TIC e da notificação de incidentes, há testes de resiliência e o registro de informações sobre prestadores de serviços de TIC.
Ver framework →Gestão da qualidade com a mesma estrutura básica das seções 4 a 10 da ISO 27001. Controle de documentos, auditoria interna, análise crítica pela direção e ações corretivas podem ser conduzidos em conjunto.
Ver framework →Aplica-se a toda organização que trata dados pessoais. As medidas técnicas e organizacionais do art. 32 podem ser comprovadas com as mesmas evidências que muitos controles da ISO 27001.
Ver framework →Ordem recomendada
Esclareça quais normas e leis se aplicam a você e o que os clientes exigem adicionalmente. Isso determina quais frameworks você cria no Sightadel.
Planilhas existentes de requisitos, riscos e fornecedores entram por importação do Excel, políticas por importação do Word. Os comprovantes você carrega no arquivo de evidências e os associa.
Percorra de forma guiada o framework com a data mais próxima, controle por controle. Outros frameworks você cria ao lado. O que já está comprovado aparece lá como comprovado.
As lacunas viram planos de ação com responsável e prazo. Colegas de TI, RH e compras trabalham na sua parte com a função Contributor, e a alta direção acompanha como Viewer.
Auditoria interna, análise crítica pela direção, avaliações de fornecedores e evidências a vencer funcionam como compromissos com lembrete. Assim o sistema se mantém atualizado entre as auditorias.
Escolha
A maioria das ferramentas GRC parece semelhante na demonstração. As diferenças aparecem no segundo ano: na manutenção, no segundo framework e na auditoria.
Verifique se um comprovante pode ser arquivado uma vez e vinculado a requisitos de vários regulamentos. Cópias por framework levam a versões divergentes.
Um teste de restauração ou uma lista de treinamento fica desatualizado. A ferramenta deve conhecer versão, validade e lembrete antes do vencimento, e não apenas armazenar arquivos.
Uma lista com textos de normas ajuda pouco as áreas de negócio. Observe se há perguntas de controle com explicação, que também colegas sem conhecimento da norma consigam responder.
A IA pode fornecer rascunhos. Objetivos, aceitação de riscos e responsabilidades precisam ser definidos pela alta direção, e a ferramenta deve sinalizar esses pontos em vez de pré-preenchê-los.
Um acesso próprio para o auditor, sem permissão de exclusão, dispensa o envio de arquivos. Consultores externos devem poder colaborar com função própria, de forma rastreável no registro.
Pergunte onde os dados ficam, quem os opera e como você os recupera. Exportação para Excel e Word faz parte do básico.
Como o Sightadel ajuda
Cada requisito como pergunta com explicação, controle por controle, com modelos setoriais baseados em longa experiência em consultoria e certificação. Resposta, justificativa e comprovante ficam no mesmo lugar.
Saiba mais →Comprovantes com versão, data de validade e lembrete antes do vencimento. Uma evidência é vinculada a controles de vários frameworks, por exemplo um plano de backup à ISO 27001, à NIS2 e ao DORA ao mesmo tempo.
Saiba mais →Lacunas de avaliações, auditorias internas e constatações externas viram medidas com responsável e prazo. Os pontos em atraso ficam visíveis para todos os envolvidos.
Saiba mais →Prestadores de serviços com criticidade, questionários e evidências em uma lista, com lembrete da próxima avaliação. Isso cobre os requisitos de cadeia de suprimentos de vários regulamentos.
Saiba mais →Diretrizes do grupo ou anexos de segurança de clientes você cria como framework próprio. Ele usa as mesmas evidências e medidas que as normas.
Saiba mais →Sincronização regular com Jira, Confluence, Zendesk, Microsoft Azure, SAP, Microsoft Dynamics e Salesforce. Ativos, evidências e tarefas vêm dos sistemas em que já são gerados.
Saiba mais →Esforço e duração
Os intervalos refletem a experiência e não constituem um compromisso. O que mais pesa é o ponto de partida, o tamanho do escopo e o tempo que sobra além do trabalho do dia a dia. O software encurta a busca, a manutenção e o acompanhamento, não as decisões.
O que você licencia · normalmente Professional
O licenciamento é por framework e edição. Uma empresa com SGSI, obrigação da NIS2 e proteção de dados normalmente escolhe ISO 27001, NIS2 e GDPR na edição Professional. Como a ISO 27001 está incluída, a NIS2 e o GDPR custam permanentemente menos. Com muitas empresas do grupo ou fornecedores, a Enterprise é a mais adequada.
Licença por framework, prazo mínimo de um ano, pagamento mensal ou anual. Todos os preços, descontos e uma calculadora estão na página de preços. Os custos de um organismo de certificação ou de auditoria são cobrados à parte.
Perguntas e respostas
Mais em nossas perguntas frequentes ou diretamente pelo nosso formulário de contato.
Um sistema em que governança, gestão de riscos e compliance se encontram: requisitos de normas e leis, riscos, evidências, medidas e decisões da alta direção. O essencial é que uma evidência vale para vários regulamentos e que os prazos não dependem de uma só pessoa.
Para um framework e uma pessoa responsável, o Excel pode bastar. Com vários regulamentos, muitos envolvidos e evidências que vencem, fica trabalhoso: as versões divergem e os prazos só aparecem na auditoria. Planilhas existentes podem ser importadas no Sightadel, e você não começa do zero.
O Sightadel é licenciado por framework e edição. Se a ISO 27001 ou a ISO 9001 estiver licenciada, cada um dos outros frameworks custa permanentemente menos. Os valores atuais estão na página de preços. Você pode testar grátis por 14 dias, sem dados de pagamento.
Entre outros, ISO 27001, NIS2, DORA, ISO 9001 e GDPR. O que um software precisa oferecer para cada regulamento está descrito nas páginas sobre software ISO 27001, software NIS2, software DORA e software ISO 9001. Requisitos próprios, como diretrizes do grupo ou exigências de clientes, você cria como framework próprio.
Não. O Sightadel guia você pelos requisitos e registra a situação. Os consultores você escolhe na rede de parceiros no aplicativo ou traz o seu. A auditoria é feita por auditores independentes e acreditados. O Sightadel não certifica e não recebe comissão, nem os parceiros.
Nada. Ela faz sugestões a partir de dados que você já registrou ou importou. Você aceita, altera ou complementa. Objetivos, aceitação de riscos e responsabilidades você mesmo define.
Sim, por meio de integrações com Jira, Confluence, Zendesk, Microsoft Azure, SAP, Microsoft Dynamics e Salesforce, com sincronização regular. São transferidos ativos, evidências e tarefas. Os usuários você cria manualmente ou por CSV. Não há API pública para clientes; outros sistemas, sob consulta.
O Sightadel é desenvolvido na Alemanha e operado na Alemanha. Com cada cliente firmamos um contrato de operador de dados nos termos do art. 28 do GDPR.
14 dias, acesso completo, sem dados de pagamento. Tudo o que você configurar continua valendo no plano pago.
