Soluções sob medida para startups e scale-ups
As empresas jovens crescem com clientes maiores do que elas. Esses clientes verificam como você trata os dados antes de assinar. O Sightadel ajuda a criar cedo uma base leve segundo a ISO 27001, que cresce com a empresa e mais tarde suporta também o SOC 2 ou a NIS2.
Ponto de partida
Nos primeiros anos, cada hora conta para o produto e as vendas. A segurança da informação vai acontecendo em paralelo, muitas vezes bem, mas raramente por escrito. Acessos, backups e criptografia estão configurados, mas ninguém conseguiria comprovar de imediato quem verificou o quê e quando.
Isso muda com o primeiro grande cliente. As compras enviam um questionário de segurança, o departamento jurídico um contrato de operação de dados, e a TI quer ver um certificado. Em uma rodada de financiamento, os investidores perguntam pelos mesmos temas na due diligence.
Quem começa cedo tem a vida mais fácil. Uma equipe pequena com poucos sistemas é descrita rápido, e os bons hábitos se formam antes de os maus se instalarem. Quando a empresa cresce, o SGSI cresce com ela, em vez de ser reconstruído mais tarde com esforço.
Por que agora
O fechamento depende de um certificado ou de um questionário preenchido. Sem evidência, o contrato atrasa ou vai para um concorrente.
Os investidores verificam a segurança da informação e a proteção de dados na due diligence. Respostas com evidência poupam tempo e perguntas.
Os clientes nos EUA pedem quase sempre um relatório SOC 2. Quem já implementou a ISO 27001 aproveita grande parte dos controles.
Com cada nova pessoa chegam acessos, dispositivos e ferramentas. Sem regras para entradas e saídas, a visão de conjunto se perde rápido.
Bancos, seguradoras e empresas abrangidas pela NIS2 precisam avaliar os seus prestadores. Também uma pequena empresa de software recebe estes requisitos através do contrato.
A partir de 50 funcionários ou mais de 10 milhões de euros de faturamento e de balanço patrimonial, a NIS2 pode valer diretamente, por exemplo a fornecedores de nuvem ou prestadores de serviços gerenciados. Quem cresce rápido deve ter isto em conta.
Frameworks relevantes
Resumido com nossas próprias palavras, não constitui consultoria jurídica. Vale o texto original na versão em vigor.
A evidência habitual no mercado europeu. Um escopo pequeno e bem delimitado, por exemplo um produto e o seu ambiente, torna o início administrável. O certificado de um organismo acreditado é válido por três anos, com auditorias de acompanhamento anuais.
Ver framework →Pedido assim que chegam clientes dos EUA. O Type I descreve a concepção dos controles em uma data de referência; o Type II, a sua eficácia ao longo de um período. O relatório é elaborado por uma empresa de auditoria norte-americana (CPA).
Ver framework →Vale desde o primeiro cliente com dados pessoais. Quem trata dados em nome de terceiros precisa de contratos nos termos do art. 28 do GDPR, de uma lista de suboperadores e de medidas técnicas e organizativas descritas.
Ver framework →Para empresas jovens, normalmente ainda não é um tema direto, porque os limites de porte não são atingidos. Para alguns serviços, porém, a BSIG vale independentemente do porte. Se os requisitos chegam através de clientes, muitas vezes um SGSI segundo a ISO 27001 basta como resposta.
Ver framework →Para empresas cujo produto assenta em IA. Clientes e investidores perguntam como os modelos são escolhidos, como os dados são usados e como os riscos são avaliados. A ISO 42001 tem a mesma estrutura que a ISO 27001.
Ver framework →Ordem recomendada
Que clientes quer conquistar e que evidência exigem? Normalmente é a ISO 27001; para clientes dos EUA, o SOC 2. A proteção de dados é sempre necessária.
Um produto, os seus ambientes e as pessoas que trabalham nele. Um escopo estreito e bem fundamentado pode ser alargado mais tarde.
Muito já funciona: revisões de código, backups, autenticação multifator. É preciso uma política curta e uma evidência com data. O que falta vira tarefa.
Revisões de acessos, entradas, saídas e alterações precisam de evidências regulares. Quem coleta só antes da auditoria fica com lacunas.
O certificado ISO é emitido por um organismo de certificação acreditado. Depois mostra o certificado, as medidas e os operadores no Trust Center, em vez de responder de novo a cada questionário.
Foco
Um SGSI para dez pessoas é diferente de um para duzentas. Estes pontos ajudam a não construí-lo duas vezes.
Um produto e uma unidade são um bom começo. Se surgirem produtos, unidades ou empresas, você amplia o escopo em vez de recomeçar.
O SOC 2, a NIS2 ou a ISO 42001 usam as evidências que já gerencia para a ISO 27001. Novo é só o que o framework adicional exige a mais.
Os investidores perguntam por políticas, riscos, incidentes e fornecedores. Com um SGSI bem mantido, reúne a documentação sem horas extras.
Os desenvolvedores trabalham como Contributor apenas nas suas tarefas e enviam ali as evidências. Não existe integração com ferramentas de desenvolvimento.
Como o Sightadel ajuda
A ISO 27001 e o SOC 2 são trabalhados controle a controle, com explicação e opções de resposta. Onde os requisitos coincidem, uma evidência fica vinculada aos dois frameworks.
Saiba mais →As políticas começam com um modelo em vez de um documento em branco. A IA ajuda a redigir a partir dos seus dados; as decisões da gestão ficam assinaladas.
Saiba mais →As evidências têm data, versão e data de validade. Os controles recorrentes funcionam em ciclo e o Sightadel avisa antes da data.
Saiba mais →Uma página própria com certificados, documentos aprovados, medidas de segurança e operadores. As vendas remetem para ela em vez de responder a cada questionário em separado.
Saiba mais →A plataforma de nuvem, o envio de e-mails, o monitoramento e as ferramentas de suporte constam de uma lista com risco e evidências. Daí resulta a lista de operadores no Trust Center.
Saiba mais →O Sightadel verifica a superfície de ataque dos seus domínios visível de fora. É a mesma vista que os clientes usam quando o avaliam.
Saiba mais →Esforço e duração
Os intervalos são valores de experiência, não um compromisso. O que mais influencia é o porte do escopo, o número de serviços utilizados e quanto tempo a equipe dedica além do trabalho no produto.
O que você licencia · normalmente Basic
Uma empresa jovem com um produto começa normalmente com a ISO 27001 e o GDPR na edição Basic. Esta inclui cinco usuários e dez fornecedores. Licença para a ISO 27001: a partir de € 750 por mês. Como a ISO 27001 está incluída, o GDPR e mais tarde o SOC 2 custam menos de forma permanente. Se a equipe ou o número de serviços crescer, passa para a Professional.
Licença por framework, prazo mínimo de um ano, pagamento mensal ou anual. Todos os preços, descontos e uma calculadora estão na página de preços. Os custos de um organismo de certificação ou de auditoria são cobrados à parte.
Perguntas e respostas
Mais em nossas perguntas frequentes ou diretamente pelo nosso formulário de contato.
A norma não fixa um porte mínimo. Para uma equipe pequena, o SGSI é mais leve: menos sistemas, menos funções, políticas mais curtas. O decisivo é cumprir e comprovar os requisitos para o seu escopo.
Pela evidência que os seus clientes mais importantes exigem. Na Europa é normalmente a ISO 27001; nos EUA, o SOC 2. Quem tem os dois mercados em vista começa muitas vezes pela ISO 27001 e usa depois as evidências para o SOC 2.
Antes de um cliente fixar uma data. Mesmo com uma equipe pequena passam alguns meses até estar pronto para auditoria. Quem começa mais cedo não negoceia sob pressão de tempo.
Enquanto não atingir os limites de porte, normalmente não de forma direta. Há exceções para alguns serviços abrangidos independentemente do porte. Mas os requisitos chegam até você através de clientes que estão abrangidos. O enquadramento de cada caso deve ser esclarecido com a sua assessoria.
Muitas vezes políticas, regras de acesso, incidentes dos últimos anos, proteção de dados, operadores e certificados existentes. Com um SGSI bem mantido, esta documentação está em um só lugar.
Você amplia o escopo, os usuários e os fornecedores e, se necessário, passa para uma edição maior. As evidências e tarefas existentes são mantidas.
14 dias, acesso completo, sem dados de pagamento. Tudo o que você configurar continua valendo no plano pago.
