O que faz um bom Trust Center
Um Trust Center responde às perguntas que os departamentos de compras e de segurança fazem repetidamente, antes de serem feitas. Que frameworks segue e existe um certificado ou relatório de atestação? Quem é o contacto para questões de segurança? Como são cifrados os dados, onde é feito o alojamento, como são tratados os incidentes? Que subcontratantes estão envolvidos?
Um Trust Center é bom quando responde a estas perguntas de forma concreta e atual. Frases genéricas sobre a grande importância da segurança não ajudam ninguém. São preferíveis informações curtas e verificáveis: que áreas estão cobertas, que documentos existem, quando foram atualizados pela última vez.
A atualidade é o ponto mais importante. Uma página com um certificado expirado faz mais mal do que não ter página nenhuma. No Sightadel, os conteúdos vêm do sistema em que já trabalha. Os frameworks, as evidências e os subcontratantes são mantidos aí, e as atualizações aparecem com data na página.
Por fim, conta a facilidade de encontrar a página. Inclua o endereço no seu site, nas suas propostas e na sua assinatura de e-mail. A equipa comercial pode mencioná-lo cedo na conversa, e não apenas quando chega o questionário.
O que publicar e o que não publicar
Tudo o que aprovar no Trust Center é público. É essa a finalidade da página e, ao mesmo tempo, o seu limite mais importante. Antes de aprovar, verifique cada documento quanto a informações que possam ajudar atacantes: nomes de sistemas internos, endereços IP, diagramas de rede, nomes e extensões telefónicas de administradores, pormenores sobre os produtos de segurança utilizados.
São adequados os certificados, uma versão resumida da política de segurança da informação, uma visão geral das medidas técnicas e organizativas a nível genérico e a lista de subcontratantes. Também são adequadas respostas a perguntas frequentes, por exemplo sobre alojamento, cifragem ou tratamento de incidentes de segurança.
Não pertencem à página pública os relatórios de auditoria completos, as políticas internas na íntegra, os resultados de testes de intrusão e os planos de emergência. Estes documentos são disponibilizados a pedido a clientes específicos, em caso de dúvida só depois de um acordo de confidencialidade.
Veja a página sem sessão iniciada antes da publicação e após cada alteração. Só assim vê o que um visitante realmente vê. Cada documento é aprovado individualmente. O que deve ficar interno, fica interno.
Como o Trust Center encurta os questionários
Os questionários de segurança dos clientes são muitas vezes longos, e a maioria das perguntas repete-se de cliente para cliente. Localização do alojamento, cifragem, controlo de acessos, cópias de segurança, gestão de incidentes, formação dos colaboradores, subcontratantes: as respostas quase não mudam.
O Trust Center absorve estas perguntas-padrão. Muitos clientes aceitam uma ligação como resposta ou como anexo ao questionário. Só tem então de responder ao que é realmente individual, por exemplo particularidades contratuais ou perguntas sobre a ligação aos sistemas do cliente.
Para que isto funcione, as informações do Trust Center e as respostas aos questionários têm de coincidir. Mantenha, por isso, as respostas-padrão num único lugar. Se algo mudar, por exemplo com um novo subcontratante, atualize primeiro o Trust Center.
Para a equipa comercial, isto significa que a ligação deve surgir cedo na conversa. Um interessado que, na fase de seleção, já vê que frameworks segue e que evidências existem faz menos perguntas no processo de compra. Isso poupa tempo a ambas as partes.
Útil mesmo sem certificado
Um Trust Center não pressupõe um certificado. Para a NIS2 não existe obrigação de certificação, e também para o RGPD um certificado é pouco habitual. Ainda assim, os clientes perguntam como cumpre os requisitos. O Trust Center mostra que frameworks gere ativamente e que medidas estão implementadas.
Também é útil no caminho para uma certificação. Mostra que trabalha segundo a ISO 27001 e que planeia uma auditoria, sem alegar um certificado que ainda não tem. Tenha atenção a formulações precisas. Só fale de certificação quando um organismo acreditado tiver emitido o certificado. Antes disso, adequa-se uma formulação como «gestão da segurança da informação com base na ISO 27001».
O Sightadel não emite certificações. A auditoria é realizada por um organismo externo e independente, da rede de parceiros na aplicação ou escolhido livremente. Quando tiver o certificado, carregue-o na biblioteca de evidências, aprove-o no Trust Center e publique uma atualização com data. Os clientes veem então de imediato desde quando é válido.
