Software · GRC
GRC significa Governance, Risk e Compliance (governação, risco e conformidade). Um software GRC reúne requisitos, riscos, evidências e medidas num só sítio, mesmo quando se aplicam várias normas e leis ao mesmo tempo. Esta página mostra o que uma ferramenta GRC deve fazer, a que deve prestar atenção na escolha e como o Sightadel o concretiza.
Ponto de partida
Governance designa a condução pela gestão de topo: objetivos, políticas, funções e deliberações. Risk designa a gestão do risco: identificar, avaliar, tratar e voltar a apresentar os riscos. Compliance designa o cumprimento de normas, leis e requisitos de clientes e a respetiva comprovação. As três áreas estão interligadas. Uma avaliação de risco sem deliberação da gestão de topo é tão pouco auditável como uma política sem evidência de que é efetivamente aplicada.
Em muitas empresas, isto está hoje em ficheiros separados. Uma folha de cálculo para a Declaração de Aplicabilidade da ISO 27001, outra para as medidas da NIS2, uma lista de fornecedores nas compras, comprovativos em pastas e caixas de correio. Com cada normativo adicional, o esforço cresce, porque os mesmos temas são documentados várias vezes: cópias de segurança, direitos de acesso, formações, fornecedores, auditoria interna.
Um software GRC substitui esta coleção por um modelo de dados comum. Os requisitos vêm dos frameworks, as evidências e as medidas são criadas uma única vez e associadas a todos os requisitos que comprovam. As decisões ficam onde as normas as exigem: na gestão de topo. Os objetivos, a aceitação do risco e as responsabilidades são definidos pela sua empresa, não pelo software.
Porquê agora
Tem a ISO 9001 ou a ISO 27001 e passa agora a estar abrangido pela NIS2 ou pelo DORA, ou um grande cliente exige um anexo de segurança próprio. O mais tardar agora, compensa um sistema em que uma evidência conta para vários requisitos.
O organismo de certificação, o revisor oficial de contas ou a autoridade de supervisão querem ver comprovativos com data. Quem só os reúne antes da data volta a procurar tudo do início todos os anos.
A NIS2 e o DORA tornam expressamente responsável a administração ou o órgão de administração. A gestão de topo precisa de um ponto de situação que consiga ler e de deliberações arquivadas de forma rastreável.
O responsável conhece todas as folhas de cálculo, mais ninguém. Se se ausentar ou mudar de funções, o sistema para. Uma ferramenta GRC torna as responsabilidades e os prazos visíveis para todos.
Cada cliente pergunta os mesmos temas num formato diferente. Um ponto de situação mantido em dia e um Trust Center respondem às perguntas habituais uma vez para todos.
Frameworks relevantes
Resumido por palavras nossas, não constitui aconselhamento jurídico. Prevalece o texto original na versão em vigor.
O referencial mais difundido para a segurança da informação. As cláusulas 4 a 10 regulam o sistema de gestão, o Anexo A contém 93 controlos. Muitas evidências da ISO 27001 servem também para a NIS2, o DORA e as medidas técnicas do RGPD.
Ver framework →Obrigatória para entidades importantes e entidades essenciais nos termos da lei alemã do BSI (BSIG). Dez áreas de medidas segundo o § 30 da BSIG, obrigações de notificação segundo o § 32, registo segundo o § 33 e responsabilidade da administração segundo o § 38.
Ver framework →Vinculativo para as entidades financeiras na UE desde janeiro de 2025 e, nesse âmbito, prevalece sobre a NIS2. À gestão do risco de TIC e à notificação de incidentes juntam-se os testes de resiliência e o registo de informação sobre os prestadores de serviços de TIC.
Ver framework →Gestão da qualidade com a mesma estrutura de base das cláusulas 4 a 10 que a ISO 27001. O controlo de documentos, a auditoria interna, a revisão pela gestão e as ações corretivas podem ser geridos em conjunto.
Ver framework →Aplica-se a qualquer organização que trate dados pessoais. As medidas técnicas e organizativas do art. 32.º podem ser comprovadas com as mesmas evidências que muitos controlos da ISO 27001.
Ver framework →Ordem recomendada
Esclareça que normas e leis se aplicam à sua empresa e o que os clientes exigem adicionalmente. Isso determina que frameworks cria no Sightadel.
As folhas de cálculo existentes de requisitos, riscos e fornecedores entram por importação do Excel, as políticas por importação do Word. Os comprovativos são carregados no arquivo de evidências e associados.
Percorra de forma guiada o framework com a data mais próxima, controlo a controlo. Os restantes frameworks são criados em paralelo. O que já está comprovado aparece aí como comprovado.
As lacunas tornam-se planos de ação com responsável e prazo. Os colegas de TI, recursos humanos e compras tratam da sua parte com a função Contributor, a gestão de topo acompanha a leitura como Viewer.
A auditoria interna, a revisão pela gestão, as avaliações de fornecedores e as evidências a expirar decorrem como datas com lembrete. Assim, o sistema mantém-se atualizado entre as auditorias.
Escolha
A maioria das ferramentas GRC parece semelhante na demonstração. As diferenças revelam-se no segundo ano: na manutenção, no segundo framework e na auditoria.
Verifique se um comprovativo pode ser arquivado uma vez e associado a requisitos de vários normativos. Cópias por framework levam a versões diferentes.
Um teste de recuperação ou uma lista de formação ficam desatualizados. A ferramenta deve conhecer versão, validade e lembrete antes da expiração, não apenas o arquivo de ficheiros.
Uma lista com textos normativos pouco ajuda as áreas funcionais. Procure perguntas de controlo com explicação, a que também colegas sem conhecimento das normas consigam responder.
A IA pode fornecer rascunhos. Os objetivos, a aceitação do risco e as responsabilidades têm de ser definidos pela gestão de topo, e a ferramenta deve assinalar esses pontos em vez de os pré-preencher.
Um acesso próprio para o auditor, sem permissão para apagar, poupa o envio de ficheiros. Os consultores externos devem poder colaborar com função própria, de forma rastreável no registo.
Pergunte onde ficam os dados, quem os opera e como os pode voltar a obter. A exportação para Excel e Word faz parte do equipamento de base.
Como o Sightadel ajuda
Cada requisito como pergunta com explicação, controlo a controlo, com modelos setoriais de longa experiência em consultoria e certificação. Resposta, fundamentação e comprovativo ficam no mesmo sítio.
Saber mais →Comprovativos com versão, data de validade e lembrete antes da expiração. Uma evidência é associada a controlos de vários frameworks, por exemplo um plano de cópias de segurança à ISO 27001, à NIS2 e ao DORA ao mesmo tempo.
Saber mais →As lacunas de avaliações, auditorias internas e constatações externas tornam-se medidas com responsável e prazo. Os pontos em atraso ficam visíveis para todos os envolvidos.
Saber mais →Prestadores de serviços com criticidade, questionários e evidências numa lista, com lembrete da próxima avaliação. Isto cobre os requisitos de cadeia de abastecimento de vários normativos.
Saber mais →As políticas do grupo ou os anexos de segurança de clientes são criados como framework próprio. Este utiliza as mesmas evidências e medidas que as normas.
Saber mais →Sincronização regular com Jira, Confluence, Zendesk, Microsoft Azure, SAP, Microsoft Dynamics e Salesforce. Os ativos, as evidências e as tarefas vêm dos sistemas onde já são criados.
Saber mais →Esforço e duração
Os intervalos refletem a experiência e não constituem um compromisso. O que mais pesa é o ponto de partida, a dimensão do âmbito e o tempo que resta além do trabalho do dia a dia. O software encurta a procura, a manutenção e o acompanhamento, não as decisões.
O que licencia · tipicamente Professional
A licença é atribuída por framework e edição. Uma empresa com SGSI, sujeita à NIS2 e com proteção de dados escolhe tipicamente a ISO 27001, a NIS2 e o RGPD na edição Professional. Como a ISO 27001 está incluída, a NIS2 e o RGPD custam permanentemente menos. Com muitas sociedades ou fornecedores, a edição Enterprise é a adequada.
Licença por framework, duração mínima de um ano, pagamento mensal ou anual. Todos os preços, descontos e uma calculadora estão na página de preços. Os custos de um organismo de certificação ou de auditoria acrescem à parte.
Perguntas e respostas
Mais nas nossas perguntas frequentes ou diretamente através do nosso formulário de contacto.
Um sistema em que convergem governação, gestão do risco e conformidade: requisitos de normas e leis, riscos, evidências, medidas e deliberações da gestão de topo. O essencial é que uma evidência conta para vários normativos e que os prazos não dependem de uma só pessoa.
Para um framework e uma pessoa responsável, o Excel pode bastar. Com vários normativos, muitos envolvidos e evidências que expiram, torna-se penoso: as versões divergem e os prazos só são notados na auditoria. As folhas de cálculo existentes podem ser importadas para o Sightadel; não começa do zero.
O Sightadel é licenciado por framework e edição. Se a ISO 27001 ou a ISO 9001 estiver licenciada, cada um dos outros frameworks custa permanentemente menos. Os valores atuais estão na página de preços. Pode experimentar grátis durante 14 dias, sem dados de pagamento.
Entre outros, a ISO 27001, a NIS2, o DORA, a ISO 9001 e o RGPD. O que um software deve fazer para cada normativo é descrito nas páginas sobre software ISO 27001, software NIS2, software DORA e software ISO 9001. Requisitos próprios, como políticas do grupo ou requisitos de clientes, são criados como framework próprio.
Não. O Sightadel guia através dos requisitos e regista o ponto de situação. O consultor é escolhido na rede de parceiros na aplicação, ou traz o seu. A auditoria é feita por auditores independentes e acreditados. O Sightadel não certifica e não recebe qualquer comissão, nem os parceiros.
Nada. Faz sugestões a partir de dados que já registou ou importou. Aceita-as, altera-as ou completa-as. Os objetivos, a aceitação do risco e as responsabilidades são definidos por si.
Sim, através de integrações com Jira, Confluence, Zendesk, Microsoft Azure, SAP, Microsoft Dynamics e Salesforce, com sincronização regular. São transferidos ativos, evidências e tarefas. Os utilizadores são criados manualmente ou por CSV. Não existe uma API pública para clientes; outros sistemas mediante pedido.
O Sightadel é desenvolvido e operado na Alemanha. Com cada cliente celebramos um acordo de subcontratação nos termos do art. 28.º do RGPD.
14 dias, acesso completo, sem dados de pagamento. Tudo o que configurar mantém-se no plano pago.
