Soluções à medida para startups e scale-ups
As empresas jovens crescem com clientes maiores do que elas. Esses clientes verificam como trata os dados antes de assinar. O Sightadel ajuda a criar cedo uma base leve segundo a ISO 27001, que cresce com a empresa e mais tarde suporta também o SOC 2 ou a NIS2.
Ponto de partida
Nos primeiros anos, cada hora conta para o produto e as vendas. A segurança da informação vai acontecendo em paralelo, muitas vezes bem, mas raramente por escrito. Acessos, cópias de segurança e cifragem estão configurados, mas ninguém conseguiria comprovar de imediato quem verificou o quê e quando.
Isso muda com o primeiro grande cliente. As compras enviam um questionário de segurança, o departamento jurídico um acordo de subcontratação, e a TI quer ver um certificado. Numa ronda de financiamento, os investidores perguntam pelos mesmos temas na due diligence.
Quem começa cedo tem a vida mais fácil. Uma equipa pequena com poucos sistemas descreve-se depressa, e os bons hábitos formam-se antes de os maus se instalarem. Quando a empresa cresce, o SGSI cresce com ela, em vez de ser reconstruído mais tarde com esforço.
Porquê agora
O fecho depende de um certificado ou de um questionário preenchido. Sem evidência, o contrato atrasa-se ou vai para um concorrente.
Os investidores verificam a segurança da informação e a proteção de dados na due diligence. Respostas com evidência poupam tempo e perguntas.
Os clientes nos EUA pedem quase sempre um relatório SOC 2. Quem já implementou a ISO 27001 aproveita grande parte dos controlos.
Com cada nova pessoa chegam acessos, dispositivos e ferramentas. Sem regras para entradas e saídas, perde-se depressa a visão de conjunto.
Bancos, seguradoras e empresas abrangidas pela NIS2 têm de avaliar os seus prestadores. Também uma pequena empresa de software recebe estes requisitos através do contrato.
A partir de 50 trabalhadores ou mais de 10 milhões de euros de volume de negócios e de balanço total, a NIS2 pode aplicar-se diretamente, por exemplo a fornecedores de nuvem ou prestadores de serviços geridos. Quem cresce depressa deve ter isto em conta.
Frameworks relevantes
Resumido por palavras nossas, não constitui aconselhamento jurídico. Prevalece o texto original na versão em vigor.
A evidência habitual no mercado europeu. Um âmbito pequeno e bem delimitado, por exemplo um produto e o seu ambiente, torna o início gerível. O certificado de um organismo acreditado é válido por três anos, com auditorias de acompanhamento anuais.
Ver framework →Pedido assim que chegam clientes dos EUA. O Type I descreve a conceção dos controlos numa data de referência; o Type II, a sua eficácia ao longo de um período. O relatório é elaborado por uma sociedade de auditoria norte-americana (CPA).
Ver framework →Aplica-se desde o primeiro cliente com dados pessoais. Quem trata dados por conta de outrem precisa de acordos nos termos do art. 28.º do RGPD, de uma lista de subcontratantes ulteriores e de medidas técnicas e organizativas descritas.
Ver framework →Para empresas jovens, normalmente ainda não é um tema direto, porque os limiares de dimensão não são atingidos. Para alguns serviços, porém, a BSIG aplica-se independentemente da dimensão. Se os requisitos chegam através de clientes, muitas vezes um SGSI segundo a ISO 27001 basta como resposta.
Ver framework →Para empresas cujo produto assenta em IA. Clientes e investidores perguntam como os modelos são escolhidos, como os dados são usados e como os riscos são avaliados. A ISO 42001 tem a mesma estrutura que a ISO 27001.
Ver framework →Ordem recomendada
Que clientes quer conquistar e que evidência exigem? Normalmente é a ISO 27001; para clientes dos EUA, o SOC 2. A proteção de dados é sempre necessária.
Um produto, os seus ambientes e as pessoas que trabalham nele. Um âmbito estreito e bem fundamentado pode ser alargado mais tarde.
Muito já funciona: revisões de código, cópias de segurança, autenticação multifator. É preciso uma política curta e uma evidência com data. O que falta torna-se tarefa.
Revisões de acessos, entradas, saídas e alterações precisam de evidências regulares. Quem recolhe só antes da auditoria fica com lacunas.
O certificado ISO é emitido por um organismo de certificação acreditado. Depois mostra o certificado, as medidas e os subcontratantes no Trust Center, em vez de responder de novo a cada questionário.
Foco
Um SGSI para dez pessoas é diferente de um para duzentas. Estes pontos ajudam a não o construir duas vezes.
Um produto e uma instalação são um bom começo. Se surgirem produtos, instalações ou sociedades, alarga o âmbito em vez de recomeçar.
O SOC 2, a NIS2 ou a ISO 42001 usam as evidências que já gere para a ISO 27001. Novo é só o que o framework adicional exige a mais.
Os investidores perguntam por políticas, riscos, incidentes e fornecedores. Com um SGSI bem mantido, reúne a documentação sem turnos extra.
Os programadores trabalham como Contributor apenas nas suas tarefas e carregam aí as evidências. Não existe ligação a ferramentas de desenvolvimento.
Como o Sightadel ajuda
A ISO 27001 e o SOC 2 são trabalhados controlo a controlo, com explicação e opções de resposta. Onde os requisitos coincidem, uma evidência fica ligada aos dois frameworks.
Saber mais →As políticas começam com um modelo em vez de um documento em branco. A IA ajuda a redigir a partir dos seus dados; as decisões da gestão ficam assinaladas.
Saber mais →As evidências têm data, versão e data de validade. Os controlos recorrentes funcionam em ciclo e o Sightadel lembra antes da data.
Saber mais →Uma página própria com certificados, documentos aprovados, medidas de segurança e subcontratantes. As vendas remetem para ela em vez de responder a cada questionário em separado.
Saber mais →A plataforma de nuvem, o envio de e-mails, a monitorização e as ferramentas de suporte constam de uma lista com risco e evidências. Daí resulta a lista de subcontratantes no Trust Center.
Saber mais →O Sightadel verifica a superfície de ataque dos seus domínios visível de fora. É a mesma vista que os clientes usam quando o avaliam.
Saber mais →Esforço e duração
Os intervalos são valores de experiência, não um compromisso. O que mais influencia é a dimensão do âmbito, o número de serviços utilizados e quanto tempo a equipa dedica além do trabalho no produto.
O que licencia · tipicamente Basic
Uma empresa jovem com um produto começa normalmente com a ISO 27001 e o RGPD na edição Basic. Esta inclui cinco utilizadores e dez fornecedores. Licença para a ISO 27001: a partir de 750 € por mês. Como a ISO 27001 está incluída, o RGPD e mais tarde o SOC 2 custam menos de forma permanente. Se a equipa ou o número de serviços crescer, passa para a Professional.
Licença por framework, duração mínima de um ano, pagamento mensal ou anual. Todos os preços, descontos e uma calculadora estão na página de preços. Os custos de um organismo de certificação ou de auditoria acrescem à parte.
Perguntas e respostas
Mais nas nossas perguntas frequentes ou diretamente através do nosso formulário de contacto.
A norma não fixa uma dimensão mínima. Para uma equipa pequena, o SGSI é mais leve: menos sistemas, menos funções, políticas mais curtas. O decisivo é cumprir e comprovar os requisitos para o seu âmbito.
Pela evidência que os seus clientes mais importantes exigem. Na Europa é normalmente a ISO 27001; nos EUA, o SOC 2. Quem tem os dois mercados em vista começa muitas vezes pela ISO 27001 e usa depois as evidências para o SOC 2.
Antes de um cliente fixar uma data. Mesmo com uma equipa pequena passam alguns meses até estar pronto para auditoria. Quem começa mais cedo não negoceia sob pressão de tempo.
Enquanto não atingir os limiares de dimensão, normalmente não de forma direta. Há exceções para alguns serviços abrangidos independentemente da dimensão. Mas os requisitos chegam-lhe através de clientes que estão abrangidos. O enquadramento de cada caso esclarece com a sua assessoria.
Muitas vezes políticas, regras de acesso, incidentes dos últimos anos, proteção de dados, subcontratantes e certificados existentes. Com um SGSI bem mantido, esta documentação está num só sítio.
Alarga o âmbito, os utilizadores e os fornecedores e, se necessário, passa para uma edição maior. As evidências e tarefas existentes mantêm-se.
14 dias, acesso completo, sem dados de pagamento. Tudo o que configurar mantém-se no plano pago.
