Soluções · Responsáveis de segurança e CISO
Como responsável pela segurança da informação (CISO), mantém o SGSI a funcionar, responde a questionários de clientes, prepara auditorias e reporta à gestão de topo. O Sightadel reúne requisitos, riscos, evidências e medidas num só sítio, mesmo quando se aplicam vários frameworks ao mesmo tempo.
Ponto de partida
Em muitas empresas, o SGSI é um conjunto de ficheiros. Uma folha de cálculo para a Declaração de Aplicabilidade, outra para os riscos, outra para os fornecedores, além de pastas com políticas e uma caixa de correio cheia de evidências. Funciona enquanto uma pessoa tiver tudo na cabeça. Torna-se penoso assim que se junta um segundo framework, um colega se ausenta ou o auditor pergunta quando foi verificada pela última vez uma prova.
Com a NIS2, a situação tornou-se ainda mais exigente. Muitas empresas têm agora de manter a ISO 27001, cumprir as obrigações da lei alemã do BSI (BSIG) e comprovar as medidas técnicas exigidas pelo RGPD, tudo em simultâneo. Os temas sobrepõem-se fortemente. A documentação deve, por isso, fazer o mesmo: uma evidência sobre cópias de segurança válida para os três, em vez de três cópias com três versões diferentes.
A isto junta-se uma função entre várias frentes. Precisa de contributos da TI, dos recursos humanos, das compras e das áreas funcionais, mas nenhum destes departamentos lhe reporta. O Sightadel torna visíveis as responsabilidades e os prazos, sem que tenha de andar atrás de cada tarefa por e-mail. E dá à gestão de topo um ponto de situação que consegue ler sem explicações.
Porquê agora
Opera um SGSI segundo a ISO 27001 e passa agora também a estar abrangido pela lei do BSI. A cadeia de notificação, o registo junto do Serviço Federal Alemão de Segurança da Informação (BSI) e os deveres da gestão de topo são novos. O resto não deve ser documentado em duplicado.
O auditor quer ver que o sistema está vivo: auditorias internas, revisão pela gestão, riscos atualizados, ações corretivas concluídas. Evidências que eram válidas há um ano podem já não o ser hoje.
O antecessor saiu e os ficheiros estão dispersos. Antes de poder melhorar, tem de perceber o que existe, o que está em vigor e o que está desatualizado. Uma importação organizada é mais rápida do que começar do zero.
Cada grande cliente envia o seu próprio questionário sobre a cadeia de abastecimento. As perguntas são parecidas, os formatos não. Um ponto de situação mantido em dia e um Trust Center respondem às perguntas habituais uma única vez para todos.
A NIS2 e a ISO 27001 exigem que avalie os prestadores de serviços e fixe contratualmente requisitos de segurança. Sem uma lista central com datas de validade, um certificado expirado só é detetado quando alguém pergunta por ele.
Frameworks relevantes
Resumido por palavras nossas, não constitui aconselhamento jurídico. Prevalece o texto original na versão em vigor.
O referencial sobre o qual assenta a maioria dos SGSI. As cláusulas 4 a 10 regulam o sistema de gestão; o Anexo A contém 93 controlos em quatro temas. O certificado é válido por três anos, com duas auditorias de acompanhamento anuais e posterior recertificação. As auditorias internas e a revisão pela gestão são os pontos onde os sistemas mostram fragilidades com mais frequência na auditoria.
Ver framework →Obrigatória para entidades importantes e essenciais nos termos da lei do BSI. As dez áreas de medidas do § 30 da BSIG coincidem em grande parte com o Anexo A. As novidades são sobretudo o registo junto do BSI, a cadeia de notificação de 24 horas, 72 horas e um mês e os deveres da gestão de topo previstos no § 38.
Ver framework →As medidas técnicas e organizativas do art. 32.º podem ser comprovadas com as mesmas evidências que muitos controlos do Anexo A. Um incidente de segurança pode ser, ao mesmo tempo, uma violação de dados pessoais. Por isso compensa uma articulação estreita com a proteção de dados.
Ver framework →Para fornecedores de nuvem cujos clientes vêm do setor público, da saúde ou de setores regulados. O catálogo de critérios do BSI assenta na ISO 27001 e acrescenta temas específicos da nuvem. O resultado é um relatório de atestação emitido por um auditor independente (revisor oficial de contas).
Ver framework →Para as entidades financeiras, prevalece sobre a NIS2. A gestão do risco associado às TIC, a gestão de incidentes e o controlo de acessos assentam nas mesmas bases que o SGSI. Acrescem o registo de informações sobre os prestadores de serviços de TIC e os testes de resiliência.
Ver framework →Ordem recomendada
A Declaração de Aplicabilidade, as listas de riscos e as tabelas de fornecedores existentes entram no Sightadel por importação de Excel ou Word. As políticas e as provas são carregadas na biblioteca de evidências e associadas aos requisitos. Assim vê rapidamente o que já existe.
Crie a ISO 27001, a NIS2 e, se necessário, o RGPD em simultâneo. Uma evidência é guardada uma vez e associada a todos os requisitos que comprova. O que já está feito para um framework aparece como comprovado no outro.
Os riscos são avaliados com um método fixo, recebem tratamento e responsáveis e são associados a medidas. Os mesmos dados de entrada conduzem a resultados comparáveis. Os riscos residuais aceites são confirmados pela gestão de topo.
As lacunas dão origem a planos de ação com responsáveis e prazos. Colegas da TI, dos recursos humanos e das compras recebem a função Contributor e tratam diretamente a sua parte. Prestadores de serviços externos e consultores são convidados com função própria.
Revisões de permissões, formações, avaliações de fornecedores, testes de emergência, auditoria interna e revisão pela gestão funcionam como ciclos recorrentes com datas fixas. As evidências têm data de validade, e o Sightadel avisa antes de expirarem.
Uma auditoria interna honesta algumas semanas antes revela as últimas lacunas. O auditor externo recebe a função «Auditor», sem permissão para apagar, e vê os requisitos, as respostas e as provas no seu contexto.
O seu dia a dia
A implementação é um projeto. A operação é rotina, e é precisamente aí que, sem sistema, se perde mais tempo.
Um teste de recuperação de há 14 meses, uma lista de formação do ano anterior. Cada evidência no Sightadel tem uma data de validade. O que expira em breve aparece como tarefa, e não como constatação na auditoria.
A mesma política em três versões para três frameworks. No Sightadel existe uma única vez, com versão e aprovação, associada a todos os requisitos que cobre.
Distribuir tarefas por e-mail e acompanhá-las no calendário. Os planos de ação com responsáveis e prazos substituem isso. Os pontos em atraso são visíveis para si e para a gestão de topo, sem ter de perguntar.
Uma apresentação nova para cada reunião. O painel mostra o progresso por framework, os problemas em aberto e as medidas em atraso. A gestão de topo acompanha com a função Viewer, e cabe-lhe a si acrescentar o enquadramento.
Quem alterou isto e quando, e onde está a prova? O registo de atividade responde à primeira pergunta, a biblioteca de evidências à segunda. O auditor vê ambos por si próprio, com a sua função «Auditor».
Como o Sightadel ajuda
Cada requisito está formulado como pergunta com explicação, controlo a controlo. Resposta, fundamentação e prova estão no mesmo sítio. Isto ajuda tanto na Declaração de Aplicabilidade como nos contributos de colegas que não conhecem a norma.
Saber mais →Provas com versão, estado e data de validade. Uma evidência pode ser associada a requisitos de vários frameworks, por exemplo um plano de cópias de segurança à ISO 27001, à NIS2 e às medidas técnicas do RGPD em simultâneo.
Saber mais →Lacunas das avaliações, das auditorias internas e de constatações externas tornam-se medidas com responsável e prazo. A criação, a alteração e o encerramento ficam no registo de atividade, com data, hora e pessoa.
Saber mais →Prestadores de serviços com criticidade, questionários, contratos e evidências numa só lista. Certificados expirados e respostas em falta saltam à vista. Isto cobre o dever relativo à cadeia de abastecimento da NIS2 e os controlos correspondentes do Anexo A.
Saber mais →O Security Score mostra a superfície de ataque dos seus domínios vista de fora, como nota e número, com uma lista de problemas concretos e instruções de correção. As constatações são tratadas com estado e alimentam a sua gestão de vulnerabilidades.
Saber mais →Requisitos internos, políticas do grupo ou anexos de segurança de grandes clientes são criados como framework próprio. Ficam ao lado da ISO 27001 e da NIS2 e utilizam as mesmas evidências.
Saber mais →Esforço e duração
Os intervalos refletem a experiência e não constituem um compromisso. O que mais pesa é o ponto de partida, a dimensão do âmbito e o tempo que lhe resta além do trabalho do dia a dia.
O que licencia · tipicamente Professional
Uma empresa com SGSI segundo a ISO 27001 e sujeita à NIS2 escolhe os dois frameworks na edição Professional. Esta inclui dez utilizadores, dez ativos e 25 fornecedores. Como a ISO 27001 está incluída, há um desconto permanente na NIS2. O RGPD pode ser acrescentado mais tarde e utiliza as mesmas evidências.
Licença por framework, duração mínima de um ano, pagamento mensal ou anual. Todos os preços, descontos e uma calculadora estão na página de preços. Os custos de um organismo de certificação ou de auditoria acrescem à parte.
Perguntas e respostas
Mais nas nossas perguntas frequentes ou diretamente através do nosso formulário de contacto.
Sim. A Declaração de Aplicabilidade, as listas de riscos e as tabelas de fornecedores podem ser importadas do Excel, e as políticas do Word. Depois associa os documentos aos requisitos. Não começa do zero; põe ordem no que já existe.
Cada framework tem os seus próprios requisitos e o seu próprio progresso. As evidências e as medidas, porém, são criadas uma única vez e associadas a todos os requisitos adequados. Não indicamos deliberadamente um número para a sobreposição, porque depende do seu âmbito.
Através da função Consultant externo. O seu consultor trabalha diretamente na sua conta, e o registo de atividade assinala que o acesso veio de fora. Se não tiver consultor, adquira consultoria como pacote na aplicação.
O auditor tem uma função própria: vê os requisitos, as respostas, as evidências e o registo de atividade, comenta e, após a sua aprovação, cria ou edita entradas. Nunca pode apagar nada. Isto poupa tempo de preparação e o envio de ficheiros.
Um organismo de certificação independente e acreditado. Escolhe-o na nossa rede de parceiros na aplicação ou traz o seu. O Sightadel não certifica, e as auditorias não geram qualquer comissão, nem para nós nem para os parceiros.
Sim. O programa de auditoria é planeado como ciclo recorrente, as constatações tornam-se medidas com prazo e os resultados alimentam a revisão pela gestão. A auditoria interna deve ser realizada por alguém que não tenha sido o próprio a implementar o tema auditado.
Fornece rascunhos a partir de modelos setoriais e ajuda na redação. Deliberadamente, nem tudo vem pré-preenchido. A avaliação de risco, os riscos residuais e a decisão sobre que controlos se aplicam são tomados por si. É precisamente isso que o auditor verifica.
O Sightadel é desenvolvido e operado na Alemanha. Com cada cliente celebramos um acordo de subcontratação nos termos do art. 28.º do RGPD.
14 dias, acesso completo, sem dados de pagamento. Tudo o que configurar mantém-se no plano pago.
