ISO 27001, NIS2 e RGPD na prática

Do check à implementação

O Diagnóstico UE mostra onde sua empresa está em relação às exigências dos clientes da UE. Depois disso, normalmente surge uma de três situações. Um cliente exige um certificado como ISO 27001 ou ISO 9001. Há um questionário sobre NIS2 ou sobre o RGPD na mesa, e ele precisa ser respondido com comprovações. Ou a própria TI precisa ser organizada de modo que um incidente de segurança não custe o contrato de exportação.

Em qualquer um desses casos, você pode trabalhar com sua própria equipe, com consultores locais ou com o fornecedor que preferir. O conteúdo do MercoEU não pressupõe nenhum produto específico. As ofertas a seguir são da neonotu GmbH, de Munique, que opera o MercoEU. Não informamos preços aqui; eles estão nas páginas de cada produto ou são passados sob consulta.

Sightadel: plataforma GRC para normas e marcos regulatórios

O Sightadel conduz sua equipe passo a passo por uma norma. Você escolhe o marco regulatório, o Sightadel cria todos os pontos de verificação por capítulo da norma e mostra a qualquer momento o que já está feito e o que vem a seguir. Para cada requisito há modelos por setor, vindos da prática de consultoria e certificação. Uma IA transforma as informações que você já forneceu em sugestões, que você pode aceitar, alterar ou descartar. Decisões como a avaliação dos seus riscos continuam sendo suas.

Entre os marcos suportados estão ISO/IEC 27001, ISO 9001, ISO/IEC 42001, NIS2, DORA, RGPD, HACCP, SOC 2 e o EU AI Act. Exigências próprias de clientes podem ser cadastradas como um framework próprio. O que você elaborou para uma norma, o Sightadel reaproveita na próxima. Uma software house de Montevidéu que começa pela ISO 27001 já terá reunido assim boa parte das respostas para o questionário de NIS2 do seu cliente em Frankfurt.

O Sightadel é desenvolvido, operado e hospedado na Alemanha. O tratamento de dados ocorre como operação por conta do controlador, nos termos do art. 28 do RGPD. Na auditoria, o auditor recebe um acesso próprio, sem permissão para excluir dados. A plataforma pode ser testada gratuitamente por 14 dias.

Sightadel com pacote de consultoria: até o certificado

Algumas perguntas nenhum modelo responde. Como delimitar o escopo quando a embalagem fica no Uruguai e as vendas no Brasil? A metodologia de riscos vai ser suficiente para o auditor? Para isso existe o Sightadel em pacote, com a plataforma e o acompanhamento pessoal de consultores com experiência em auditoria e certificação, se você quiser até a certificação.

Os consultores trabalham diretamente no Sightadel: você faz a pergunta no controle em que está trabalhando, e a resposta fica documentada ali. A auditoria em si é feita por um organismo de certificação independente e acreditado. Consultor e auditor nunca são a mesma pessoa, e nem a neonotu nem os auditores recebem comissão por auditorias. A neonotu GmbH é certificada ISO 9001 e ISO/IEC 27001, mas não emite certificados.

Se sua empresa não tem ninguém internamente responsável por segurança da informação, é possível contratar também um encarregado externo de segurança da informação ou CISO da neonotu GmbH. Isso ajuda quando um cliente da UE exige no contrato um responsável nomeado pela segurança da informação. Pedidos sobre o pacote são feitos pelo sightadel.com.

veyrisk: sua superfície de ataque, verificada de fora

Muitos questionários de segurança perguntam como você identifica vulnerabilidades e com que rapidez as corrige. O veyrisk responde continuamente à primeira metade dessa pergunta. O serviço procura, de fora, tudo o que deixa sua empresa acessível pela internet: domínios, servidores, aplicações web, contas em nuvem e até sistemas de teste esquecidos. Cada achado recebe uma prioridade conforme a gravidade, a exploração conhecida e a importância do sistema. Depois da correção, uma nova varredura confirma que a falha foi fechada.

O veyrisk é um serviço. Para a verificação externa, você não instala nada. Os resultados ficam em um portal do cliente, onde também podem ser usados como relatório para um cliente ou auditor. Além da superfície de ataque externa, o veyrisk cobre, se você quiser, a gestão de vulnerabilidades de sistemas internos, aplicações web e APIs, configurações de nuvem na AWS, no Azure e no Google Cloud e identidades no Microsoft 365. O serviço é operado na Alemanha.

Valar: firewall de hardware da Alemanha

O Valar é um firewall de hardware da neonotu GmbH. O software de todos os modelos é mantido pela neonotu na Alemanha e atualizado diretamente. Entre as funções estão regras por zona, conforme área da rede, aplicação e usuário, prevenção de intrusão, inspeção SSL por zona, VPN para filiais e colaboradores em mobilidade, filtro web e uma detecção própria por IA para comportamentos suspeitos sem assinatura conhecida.

São quatro modelos, da pequena filial com cerca de 25 usuários até operadores de infraestrutura crítica. Para um escritório de exportação em Antofagasta, o menor aparelho costuma bastar; uma unidade de processamento com várias plantas precisa de um modelo maior. A licença depende apenas do modelo e do prazo, sem módulos adicionais.

Quem está por trás

Sightadel, veyrisk e Valar são produtos da neonotu GmbH, com sede em Munique. A neonotu desenvolve soluções de segurança da informação e compliance e presta serviços de cibersegurança. A empresa é certificada ISO 9001 e ISO/IEC 27001.

O MercoEU se financia com essas ofertas. Mesmo assim, todo o conteúdo, o Diagnóstico UE e as respostas do “Pergunte para mim” podem ser usados sem compra e sem compromisso. Se você não tem certeza de que precisa fazer algo, comece pelo check.

FAQ