Soluções · Software e serviços de TI
Quem fornece software, serviços de nuvem ou operação de TI é avaliado antes de cada contrato de maior dimensão. Questionários, certificados, relatórios de auditoria, cláusulas contratuais. A isto junta-se a NIS2 para fornecedores de nuvem, centros de dados e prestadores de serviços geridos. O Sightadel orienta-o pela ISO 27001, pelo SOC 2 e pelo C5 do Serviço Federal Alemão de Segurança da Informação (BSI), mantém as evidências reunidas ao longo do período de auditoria e mostra o seu ponto de situação no Trust Center.
Ponto de partida
Para os fornecedores de software e serviços de TI, a segurança da informação faz parte do produto. Os clientes confiam-lhes dados, acessos ou processos de negócio inteiros. Antes de o fazerem, querem saber como são tratados. Isso nota-se nas vendas: as compras enviam um questionário de segurança com cem perguntas, o departamento jurídico exige anexos ao contrato, a TI do cliente quer ver certificados e relatórios.
As perguntas são quase sempre as mesmas, só formuladas de outra maneira. Mesmo assim, muitos fornecedores respondem a cada questionário à mão, repartindo o trabalho entre desenvolvimento, operações e administração. Isso custa tempo que falta no produto, e surgem respostas contraditórias. Um certificado ou relatório de auditoria encurta estas rondas, mas não as substitui por completo.
Qual é a evidência certa depende dos clientes. No mercado alemão e europeu, a ISO 27001 é a referência habitual. Os clientes nos EUA pedem o SOC 2. A saúde e o setor público esperam dos fornecedores de nuvem um relatório de atestação segundo o BSI C5. Com o tempo, muitos fornecedores precisam de mais do que uma destas evidências. Quem as constrói sobre uma base comum faz a maior parte do trabalho uma única vez.
Porquê agora
O contrato está ao alcance, mas as compras exigem um certificado ou um relatório de auditoria. Sem evidência, o fecho atrasa-se ou falha por completo. A data já consta muitas vezes da proposta.
Os clientes norte-americanos pedem quase sempre um relatório SOC 2. Um certificado ISO é muitas vezes reconhecido, mas não responde a todas as perguntas dos departamentos de segurança de lá.
As entidades adjudicantes públicas e os prestadores de cuidados de saúde perguntam pelo BSI C5 quando se trata de serviços de nuvem. Para o tratamento de dados de saúde na nuvem, um relatório de atestação atual é condição necessária.
Os fornecedores de nuvem, os centros de dados e os prestadores de serviços geridos pertencem aos setores de elevada criticidade da lei alemã do BSI (BSIG). A partir da média dimensão são entidades importantes; a partir da grande dimensão, entidades essenciais.
Mesmo quem não está abrangido recebe os requisitos através dos clientes. Bancos, seguradoras e empresas sujeitas à NIS2 têm de avaliar os seus prestadores de serviços e vinculá-los contratualmente.
Investidores e compradores verificam a segurança da informação das empresas de software na due diligence. Um SGSI mantido em dia responde a estas perguntas sem turnos extraordinários.
Frameworks relevantes
Resumido por palavras nossas, não constitui aconselhamento jurídico. Prevalece o texto original na versão em vigor.
A norma de segurança da informação no mercado europeu e a base comum para todas as outras evidências. O certificado de um organismo acreditado é válido por três anos, com auditorias de acompanhamento anuais. Para muitos fornecedores, é o primeiro objetivo.
Ver framework →Pedido assim que chegam clientes nos EUA ou grupos com presença internacional. O Type I descreve a conceção dos controlos numa data de referência; o Type II, a sua eficácia ao longo de um período. O relatório é elaborado por uma sociedade de auditoria norte-americana (CPA). Com um SGSI ISO 27001 existente, grande parte dos controlos já está implementada.
Ver framework →Para fornecedores de nuvem com clientes da saúde, do setor público ou de setores regulados. Desde a primavera de 2026 aplica-se o C5:2026. Para períodos de auditoria que comecem a partir de 1 de junho de 2027, só a nova versão é admitida. O relatório de atestação é emitido por um auditor independente (revisor oficial de contas) segundo a ISAE 3000.
Ver framework →Os fornecedores de serviços de computação em nuvem e de centros de dados pertencem às infraestruturas digitais; os prestadores de serviços geridos e de serviços de segurança geridos, à gestão de serviços de TIC. Ambos os setores constam do anexo 1 da BSIG. Os mercados em linha, os motores de pesquisa e as redes sociais estão abrangidos no anexo 2 como prestadores de serviços digitais. Alguns serviços ficam abrangidos independentemente da dimensão.
Ver framework →Quem trata dados pessoais por conta de clientes é subcontratante. Isso implica acordos nos termos do art. 28.º do RGPD, uma lista de subcontratantes ulteriores, medidas técnicas e organizativas e um processo para violações de dados que informe também os clientes atempadamente.
Ver framework →Para fornecedores cujo produto inclui funcionalidades de IA. Os clientes perguntam cada vez mais como os modelos são escolhidos, os dados utilizados e os riscos avaliados. Um sistema de gestão segundo a ISO/IEC 42001 assenta na mesma estrutura que a ISO 27001.
Ver framework →Ordem recomendada
Que clientes quer conquistar e o que exigem? Daí resulta a ordem. Normalmente, a ISO 27001 é o primeiro passo, seguindo-se o SOC 2 ou o C5. Em paralelo, verifique se a sua operação está abrangida pela NIS2.
Que produto, que ambientes, que locais e que subcontratados estão incluídos? Para o SOC 2 e o C5, daí resulta a descrição do sistema. Um âmbito restrito e bem fundamentado é melhor do que um amplo que não é aplicado na prática.
Análise de risco, políticas, controlo de acessos, desenvolvimento seguro, gestão de alterações, registo de eventos, cópias de segurança e gestão de incidentes. Muito disto já funciona há muito no desenvolvimento e nas operações e só precisa de uma prova datada.
No SOC 2 Type II e no C5 tipo 2, conta que os controlos tenham sido eficazes ao longo de meses. Revisões de acessos, entradas, saídas e alterações precisam de provas contínuas. Quem só recolhe pouco antes da auditoria não cobre o período.
O certificado ISO é emitido por um organismo de certificação acreditado, o relatório SOC 2 por uma sociedade de auditoria norte-americana (CPA), o relatório de atestação C5 por um auditor independente. No Sightadel, os auditores recebem uma função própria, sem permissão para apagar.
Certificados, políticas aprovadas, medidas de segurança e subcontratados constam de uma página própria. As vendas remetem para ela, em vez de responderem a cada questionário do zero.
Foco
Para os fornecedores de software e serviços de TI, os questionários de segurança fazem parte das vendas. Não se podem eliminar, mas podem ser respondidos muito mais depressa.
As respostas às perguntas típicas dos clientes já estão no SGSI: onde estão os servidores, quem tem acesso, como se cifra, com que frequência se fazem cópias de segurança, como se notificam incidentes. Quando estas respostas estão verificadas e comprovadas, ninguém tem de as reformular.
No Trust Center mostra certificados, resumos de políticas, medidas de segurança e subcontratados. O que é confidencial, como relatórios de auditoria ou diagramas de rede, só é disponibilizado mediante pedido.
Alojamento, envio de e-mails, monitorização, ferramentas de suporte. Os clientes querem saber quem mais vê os seus dados. O módulo Fornecedores gere os seus subcontratados com avaliação e evidências, e o Trust Center mostra a lista atual.
Alguns clientes enviam catálogos de requisitos próprios que se repetem. São criados como framework próprio, também por importação de Excel ou Word, e associados às evidências existentes, em vez de procurar tudo de novo.
Como o Sightadel ajuda
Uma página própria com frameworks, documentos aprovados, medidas de segurança e subcontratados. As compras dos seus clientes encontram as respostas sozinhas, em vez de esperarem por um questionário preenchido.
Saber mais →A ISO 27001, o SOC 2 e o C5 são trabalhados controlo a controlo. Onde os requisitos coincidem, uma evidência fica associada a vários frameworks, por exemplo a revisão de acessos à ISO 27001 e ao SOC 2 em simultâneo.
Saber mais →As provas têm data, versão e data de validade. Os controlos recorrentes funcionam como ciclo, e o Sightadel avisa antes de passar uma data dentro do período de auditoria.
Saber mais →Fornecedores de alojamento, plataformas de nuvem e outros subcontratados são geridos com criticidade, questionário e evidências com data de validade. É daí que se alimenta a lista no Trust Center.
Saber mais →O Sightadel verifica a superfície de ataque dos seus domínios visível de fora e mostra cada problema com instruções de correção. É precisamente esta perspetiva que os clientes também usam quando o avaliam de fora.
Saber mais →Catálogos específicos de clientes e requisitos internos são criados como framework próprio. Os ficheiros Excel e Word existentes podem ser importados.
Saber mais →Visão de fora
Quase nenhum questionário de segurança dispensa a pergunta sobre a frequência com que verifica as suas aplicações quanto a vulnerabilidades e quando foi o último teste de penetração. Em conjunto com a veyrisk, oferecemos as verificações correspondentes. Os relatórios e as constatações corrigidas ficam guardados como evidência no Sightadel e podem ser disponibilizados, se necessário, através do Trust Center.
Fornecedores de software, nuvem e serviços geridos
As verificações podem ser contratadas independentemente da sua licença Sightadel. Recebe a proposta após uma breve conversa.
Pedir consultoriaEsforço e duração
Os intervalos refletem a experiência e não constituem um compromisso. O que mais pesa é a dimensão do âmbito, o número de subcontratados e o tempo que o desenvolvimento e as operações conseguem dedicar além do trabalho no produto.
O que licencia · tipicamente Professional
Um fornecedor de SaaS típico, com clientes na Europa e nos EUA, gere a ISO 27001 e o SOC 2 na edição Professional. Esta inclui dez utilizadores, dez ativos e 25 fornecedores. Se a ISO 27001 estiver incluída, há um desconto permanente no SOC 2. Equipas mais pequenas com um só produto muitas vezes chegam com a Basic. O BSI C5 é acrescentado quando os clientes o exigem.
Licença por framework, duração mínima de um ano, pagamento mensal ou anual. Todos os preços, descontos e uma calculadora estão na página de preços. Os custos de um organismo de certificação ou de auditoria acrescem à parte.
Perguntas e respostas
Mais nas nossas perguntas frequentes ou diretamente através do nosso formulário de contacto.
Pela evidência que os seus clientes mais importantes exigem. Para clientes na Alemanha e na Europa, é normalmente a ISO 27001; para clientes nos EUA, o SOC 2. Quem serve os dois mercados começa muitas vezes pela ISO 27001, porque o SGSI é a base do SOC 2. No Sightadel, os dois frameworks utilizam as mesmas evidências.
A parte pela qual é responsável. O centro de dados e a segurança física são cobertos pelo fornecedor de nuvem com os seus próprios certificados e relatórios. A configuração, os acessos, a segurança das aplicações, as cópias de segurança e a gestão de incidentes cabem-lhe a si. As evidências do fornecedor são guardadas no módulo Fornecedores e referenciadas.
Depende de como o seu serviço é classificado e da dimensão da sua empresa. Os serviços de computação em nuvem, os centros de dados e os serviços geridos estão referidos no anexo 1 da BSIG; os mercados em linha, os motores de pesquisa e as redes sociais, no anexo 2. Nem todo o software como serviço é automaticamente um serviço de computação em nuvem na aceção da lei. A classificação é uma questão jurídica para a sua assessoria.
A partir da média dimensão, a sua empresa está ela própria abrangida, com registo junto do BSI, gestão de riscos, obrigações de notificação e responsabilidade da gestão de topo. Em especial destaque estão os seus acessos a sistemas de clientes, porque um ataque contra si atinge muitos clientes ao mesmo tempo. Além disso, os seus clientes exigem evidências, porque têm de avaliar a sua cadeia de abastecimento.
Retira do processo as perguntas recorrentes. Quanto tempo isso poupa depende dos seus clientes; não indicamos um número genérico. A experiência mostra que ficam algumas perguntas individuais. As perguntas-padrão sobre certificados, alojamento, cifragem e subcontratados o cliente encontra sozinho.
O relatório de atestação mantém-se válido. Para períodos de auditoria que comecem a partir de 1 de junho de 2027, só o C5:2026 é admitido. Planeie o trabalho de diferenças atempadamente antes do próximo período de auditoria. No Sightadel associa as medidas existentes aos novos critérios e vê o que é novo ou mais exigente.
Trabalham como Contributor apenas nas suas tarefas e carregam aí as provas, por exemplo um extrato do pipeline ou um registo da revisão de acessos. Não existe ligação a ferramentas de desenvolvimento. Quem precisar de mais visão de conjunto vê no painel o ponto de situação de todos os frameworks.
14 dias, acesso completo, sem dados de pagamento. Tudo o que configurar mantém-se no plano pago.
