Quem escolhe pela primeira vez um software de segurança da informação e conformidade costuma comparar listas de funcionalidades. São muito parecidas em quase todos os fornecedores. As diferenças só surgem no dia a dia: quando entra um segundo normativo, quando o auditor quer ver documentos ou quando uma evidência expira. Os dez critérios seguintes ajudam a identificar essas diferenças antes da compra.
Uma nota prévia: o Sightadel é também um software deste tipo. Por isso formulámos os critérios de forma a que os possa aplicar da mesma maneira a qualquer fornecedor.
Primeiro a pergunta: precisa mesmo de uma plataforma?
Nem todas as empresas precisam de uma plataforma especializada. Um repositório de documentos bem gerido, com uma estrutura de pastas clara e uma folha de cálculo para as medidas, basta muitas vezes quando se verificam estes pontos:
- Implementa exatamente um normativo, e não se prevê um segundo.
- Uma ou duas pessoas tratam de tudo, e ambas deverão continuar na empresa.
- Os clientes raramente pedem evidências, e os questionários são a exceção.
- Não há fornecedores cuja segurança tenha de avaliar regularmente.
Uma plataforma compensa assim que se juntam vários normativos, vários departamentos colaboram ou as evidências têm de ser renovadas com regularidade. Nessa altura, manter folhas de cálculo depressa dá mais trabalho do que o próprio software.
Os dez critérios
1. Normativos hoje e daqui a dois anos
Defina de que normativos precisa agora e quais deverão juntar-se, por exemplo a NIS2 depois da ISO 27001, ou o DORA para um cliente do setor financeiro. Verifique também se é possível incluir requisitos próprios, como diretrizes do grupo ou exigências de um grande cliente.
2. Uma evidência para vários requisitos
Muitos requisitos sobrepõem-se. Um bom software guarda uma evidência uma única vez e associa-a a todos os requisitos correspondentes. Quem cria uma cópia para cada normativo acaba depressa com versões diferentes.
3. Evidências com data de expiração
Um teste de restauro ou uma lista de formação não é válido para sempre. Pergunte por versões, data de validade e um lembrete antes do fim do prazo. Um simples armazenamento de ficheiros não faz isso.
4. Orientação em vez de modelos vazios
Pergunte como o software o conduz através de um requisito. Uma lista de 93 controlos com um campo de carregamento por linha ajuda pouco se ninguém souber o que se pretende. As decisões sobre riscos e objetivos têm, ainda assim, de continuar a ser suas.
5. Funções e permissões
Quem pode ver e alterar o quê? São importantes funções próprias para consultores externos e para o auditor. Um acesso só de leitura para o auditor evita o envio de ficheiros por e-mail.
6. Avaliação de fornecedores
A NIS2, o DORA e a ISO 27001 exigem que se tenham em conta os riscos da cadeia de abastecimento. Verifique se os fornecedores podem ser avaliados por risco e se as alterações a essa avaliação ficam registadas.
7. Rastreabilidade
Cada alteração a uma medida ou evidência deve ficar registada com a pessoa e a hora. Numa auditoria, esta é muitas vezes uma das primeiras perguntas.
8. Relatório para a gestão de topo
A gestão precisa de perceber o ponto de situação sem percorrer listas de controlos. É necessária uma vista geral que mostre o progresso, os pontos em aberto e os prazos.
9. Integrações, com conta, peso e medida
As ligações a sistemas de tickets ou contas na cloud poupam trabalho se utilizar realmente esses sistemas. Pergunte pelas integrações de que precisa hoje. Uma longa lista de logótipos diz pouco sobre se a integração que lhe interessa funciona bem.
10. Localização dos dados, saída e custo total
Pergunte onde ficam os dados, quem opera os servidores e como recupera os seus dados. O custo não é só a licença. Inclua a implementação, a formação e o tempo interno de manutenção, e verifique como o preço muda quando se acrescenta um normativo.
A matriz de pontuação
Pondere os critérios de acordo com a sua situação antes de olhar para os fornecedores. Caso contrário, ganha o fornecedor com a melhor apresentação. Atribua um peso de 1 (secundário) a 3 (decisivo), depois classifique cada fornecedor de 0 (não cumpre) a 3 (cumpre totalmente) e multiplique os dois valores.
| Critério | Peso | Fornecedor A | Fornecedor B | Fornecedor C |
|---|---|---|---|---|
| 1. Normativos hoje e daqui a dois anos | ||||
| 2. Uma evidência para vários requisitos | ||||
| 3. Evidências com data de expiração | ||||
| 4. Orientação em vez de modelos vazios | ||||
| 5. Funções e permissões | ||||
| 6. Avaliação de fornecedores | ||||
| 7. Rastreabilidade | ||||
| 8. Relatório para a gestão de topo | ||||
| 9. Integrações | ||||
| 10. Localização dos dados, saída, custo total | ||||
| Total |
Peça para ver os três critérios mais importantes numa demonstração com um exemplo seu, e não com dados preparados. Uma conta de teste onde carregue uma evidência real da sua empresa diz mais do que qualquer diapositivo.
Como o Sightadel responde aos critérios
- ISO 27001, NIS2, DORA, RGPD, ISO 9001, BSI C5 e outros normativos estão incluídos. Pode criar frameworks próprios.
- As evidências são guardadas uma vez e associadas a vários frameworks, com versão, data de validade e lembrete.
- Os fornecedores são avaliados por risco inerente e risco residual.
- Os planos de ação têm um responsável e um prazo, e cada alteração fica registada.
- Auditores e consultores trabalham na conta com funções próprias.
- O Sightadel é desenvolvido e alojado na Alemanha. Os seus dados podem ser exportados.
Encontra uma visão geral de outros fornecedores na nossa comparação de fornecedores. Pode experimentar o Sightadel gratuitamente durante 14 dias ou marcar uma demonstração.
Situação em: 13 de outubro de 2026 · Não constitui aconselhamento jurídico. Prevalece a norma ou a lei na versão em vigor.
