Soluções à medida para empresas B2B
Quem fornece grandes empresas é avaliado regularmente: com questionários, auditorias de clientes e requisitos no contrato. A NIS2 e o DORA obrigam os seus clientes a avaliar a cadeia de abastecimento. O Sightadel reúne as suas respostas e evidências num só sítio, para que cada avaliação parta do mesmo ponto de situação.
Ponto de partida
Para fornecedores e prestadores de serviços, a segurança no cliente faz parte da encomenda. Têm acesso a sistemas, dados ou processos de produção dos seus clientes. Um incidente na sua empresa pode causar danos lá. Por isso, os grandes clientes querem saber, antes e durante a colaboração, como trabalha.
Os requisitos chegam de muitas formas. Um questionário com cem perguntas, uma auditoria de fornecedor no local, um anexo de segurança ao contrato-quadro, o pedido de um certificado. Desde que vigoram a NIS2 e o DORA, muitos clientes estão legalmente obrigados a gerir a segurança da sua cadeia de abastecimento. Transferem essa obrigação para si através de contratos.
As perguntas parecem-se; os formulários, não. Quem responde a cada questionário em separado ocupa vezes sem conta as vendas, a TI e a gestão de topo com os mesmos temas. Com um SGSI segundo a ISO 27001, as respostas são verificadas e comprovadas uma vez, e um certificado responde a muitas perguntas de antemão.
Porquê agora
A data está marcada e o auditor chega com uma lista. Pergunta por políticas, acessos, plano de emergência e gestão de incidentes, cada um com a sua evidência.
Cada cliente envia o seu próprio formulário, muitas vezes em Excel e com prazo. As respostas repartem-se por várias pessoas e por vezes contradizem-se.
Segundo o § 30 da BSIG, a segurança da cadeia de abastecimento faz parte da gestão de riscos das entidades importantes e essenciais. Por isso os seus clientes têm de o avaliar e vincular contratualmente.
O DORA exige às entidades financeiras que registem e avaliem os seus prestadores de serviços de TIC e celebrem contratos com um conteúdo mínimo fixo. Como prestador, nota-o nos questionários e anexos ao contrato.
Grandes entidades públicas e privadas põem muitas vezes a ISO 27001 como condição. Sem certificado não entra na seleção final.
O que o seu cliente lhe exige, muitas vezes tem de passar aos seus próprios subcontratados. Também essa cadeia precisa de evidências.
Frameworks relevantes
Resumido por palavras nossas, não constitui aconselhamento jurídico. Prevalece o texto original na versão em vigor.
A evidência que a maioria dos clientes conhece e reconhece. Um certificado de um organismo acreditado responde de antemão a muitas perguntas de questionários e auditorias. É válido por três anos, com auditorias de acompanhamento anuais.
Ver framework →Afeta-o diretamente se o seu setor constar da BSIG e atingir os limiares de dimensão. Indiretamente afeta-o quase sempre, assim que os seus clientes estão abrangidos e têm de gerir a segurança da cadeia de abastecimento nos termos do § 30 da BSIG.
Ver framework →Se trata dados pessoais por conta dos seus clientes, é subcontratante. Precisa então de acordos nos termos do art. 28.º do RGPD, de medidas descritas e de uma cadeia de notificação para violações de dados.
Ver framework →Aplica-se a entidades financeiras. Se presta serviços de TIC a bancos ou seguradoras, recebe os requisitos através de contratos, questionários e direitos de auditoria. A evidência apresenta-a normalmente através do seu SGSI.
Ver framework →Exigida de qualquer forma em muitas relações de fornecimento. O controlo de documentos, a auditoria interna e a revisão pela gestão são geridos em conjunto com a ISO 27001.
Ver framework →Ordem recomendada
Que clientes exigem o quê? Questionários, anexos contratuais e relatórios de auditoria dos últimos anos mostram que temas se repetem e que evidência tem mais efeito.
Um SGSI segundo a ISO 27001 cobre a maior parte. Os requisitos específicos de clientes que vão além disso são refletidos como framework próprio, ligando as evidências existentes.
Onde estão os dados, quem tem acesso, como se fazem as cópias, como se notificam os incidentes? Cada resposta recebe uma evidência com data e uma pessoa responsável.
As auditorias de clientes e a auditoria de certificação usam a mesma documentação. Os auditores recebem no Sightadel um acesso próprio sem permissão para apagar.
Certificados, políticas aprovadas, medidas e subcontratados constam de uma página própria. Os novos questionários responde-os com uma ligação e as poucas perguntas individuais.
Foco
Os questionários de fornecedores não desaparecem. Com estes passos responde-lhes mais depressa e de forma coerente.
A maioria das perguntas aborda os mesmos temas: acessos, cifragem, cópias de segurança, plano de emergência, formações e subcontratados. As respostas estão no SGSI e servem para todos os clientes.
Os catálogos recorrentes de grandes clientes são importados a partir de Excel ou Word. Cada requisito torna-se um ponto de controlo, e liga as evidências existentes em vez de as procurar de novo.
No Trust Center mostra certificados, resumos de políticas e subcontratados. O que é confidencial, como relatórios de auditoria ou diagramas de rede, só partilha mediante pedido.
O que os clientes lhe exigem, verifica nos seus próprios prestadores. O módulo Fornecedores gere-os com risco, contrato e evidências com data de validade.
Como o Sightadel ajuda
Os catálogos de requisitos de clientes e anexos de segurança são criados como framework próprio, também por importação a partir de Excel ou Word. Trabalha com eles como com qualquer outro framework.
Saber mais →Uma página própria com certificados, documentos aprovados, medidas de segurança e subcontratados. As compras dos seus clientes encontram as respostas por si.
Saber mais →A ISO 27001 e a NIS2 são trabalhadas controlo a controlo. Onde os requisitos coincidem com catálogos de clientes, uma evidência serve para todos.
Saber mais →As evidências têm data, versão e data de validade. Se um cliente pedir uma evidência na auditoria, encontra-a no mesmo sítio que para a auditoria de certificação.
Saber mais →Os seus próprios subcontratados constam de uma lista com criticidade, questionário e evidências. Certificados caducados são detetados antes de o cliente perguntar.
Saber mais →O Sightadel verifica a superfície de ataque dos seus domínios visível de fora. Muitos clientes avaliam fornecedores exatamente a partir desta vista.
Saber mais →Mediante acordo
Alguns grandes clientes enviam anexos de segurança extensos ou pedem relatórios num formato específico. Os frameworks próprios cria-os por si. Se um catálogo for muito extenso ou precisar de outra ligação, implementamos isso para si mediante acordo.
Fornecedores e prestadores com grandes catálogos de clientes ou requisitos especiais
O âmbito e os custos constam antes da proposta. Só se implementa após a sua aceitação.
Ver adaptações à medidaEsforço e duração
Os intervalos são valores de experiência, não um compromisso. O que mais influencia é o número e a extensão dos requisitos dos clientes e quanto disso já está comprovado.
O que licencia · tipicamente Professional
Um fornecedor típico gere a ISO 27001 e o RGPD na edição Professional. Esta inclui dez utilizadores, 25 fornecedores e três frameworks próprios, o suficiente para os catálogos dos clientes mais importantes. Licença para a ISO 27001: a partir de 750 € por mês. Se a ISO 27001 estiver incluída, o RGPD e, se necessário, a NIS2 custam menos de forma permanente. Com muitos catálogos de clientes ou sociedades, a Enterprise é a mais adequada.
Licença por framework, duração mínima de um ano, pagamento mensal ou anual. Todos os preços, descontos e uma calculadora estão na página de preços. Os custos de um organismo de certificação ou de auditoria acrescem à parte.
Perguntas e respostas
Mais nas nossas perguntas frequentes ou diretamente através do nosso formulário de contacto.
Raramente por completo. Muitos clientes aceitam o certificado para grande parte das perguntas e querem resposta para o resto, por exemplo sobre instalações, subcontratados ou detalhes do contrato. Com certificado e Trust Center ficam normalmente poucas perguntas individuais.
Não automaticamente. Estar abrangido depende do seu setor e da sua dimensão. Independentemente disso, o seu cliente tem de avaliar a cadeia de abastecimento e transfere requisitos para si através do contrato. O enquadramento de cada caso esclarece com a sua assessoria.
Os catálogos recorrentes são importados como framework próprio, ligando as evidências existentes. Para questionários pontuais usa as respostas verificadas do seu SGSI e remete para o Trust Center.
Os auditores recebem um acesso próprio sem permissão para apagar. Decide por si se dá esse acesso a um cliente para uma auditoria ou se partilha documentos de forma seletiva.
Certificados, resumos de políticas, medidas de segurança e a lista de subcontratados. Nomes internos de sistemas, diagramas de rede ou relatórios de auditoria completos não pertencem a uma página pública. Esses partilha mediante pedido.
Verifique primeiro a lista de frameworks disponíveis. Se a norma faltar, reflita os requisitos de que dispõe como framework próprio. Se isso basta como evidência perante o cliente, esclarece com ele ou com o organismo de avaliação competente.
14 dias, acesso completo, sem dados de pagamento. Tudo o que configurar mantém-se no plano pago.
