Saltar para o conteúdo
BigTree108

Serviços de conformidade de segurança e preparação para auditorias

Conformidade de segurança e preparação para auditorias para ISO 27001, SOC 2, RGPD, PCI DSS, HIPAA, NIS2 e DORA: avaliações de lacunas, os controlos técnicos que os auditores testam, políticas e registos de risco, e as provas de que cada controlo funciona, com engenheiros de compliance dedicados à sua equipa ou um projeto de preparação entregue até à sua auditoria.

Trabalho de compliance que assumimos

  • Implementação da ISO 27001

    O âmbito, a avaliação de risco e a Declaração de Aplicabilidade do seu SGSI, os controlos do Anexo A incorporados nos seus sistemas e processos, políticas que as pessoas realmente seguem, e uma auditoria interna e uma revisão pela gestão concluídas antes das auditorias de Fase 1 e Fase 2 do organismo de certificação.

  • Preparação para o SOC 2

    Os Trust Services Criteria no âmbito escolhidos consigo, lacunas encontradas e fechadas, controlos em funcionamento antes de um relatório Type I e provas recolhidas ao longo do período de observação que um relatório Type II abrange, prontas para os testes da firma de CPA.

  • Medidas técnicas do RGPD

    Dados pessoais mapeados por bases de dados, logs e fornecedores, pedidos de acesso e de apagamento tratados pelo produto e não à mão, retenção imposta por eliminação agendada, cifragem e pseudonimização onde o risco o exige, e registos de tratamento e AIPD mantidos atualizados.

  • Apoio ao trabalho de campo da auditoria

    Um engenheiro nomeado na lista de pedidos do auditor durante o trabalho de campo: populações exportadas para amostragem, demonstrações de como cada controlo funciona, e cada exceção respondida com um plano de correção datado antes de o relatório ser finalizado.

  • Conformidade PCI DSS

    Âmbito de dados de titulares de cartão reduzido com tokenização e campos de pagamento alojados, controlos construídos segundo o PCI DSS v4.0.1, incluindo o inventário e a monitorização de integridade dos scripts nas páginas de pagamento, análises ASV trimestrais e o teste de intrusão anual, prontos para um questionário de autoavaliação ou para o Report on Compliance de um QSA.

  • Salvaguardas HIPAA

    As salvaguardas administrativas, físicas e técnicas da HIPAA Security Rule incorporadas no produto: uma análise de risco documentada, IDs de utilizador únicos, registos de auditoria em cada acesso a informação de saúde protegida, cifragem, e acordos de associado de negócio (business associate agreements) com cada fornecedor cloud e SaaS que toca nos dados.

  • Preparação para a NIS2

    As medidas de gestão de risco e a comunicação de incidentes que a lei NIS2 do seu país exige: governação aprovada pela gestão, segurança da cadeia de abastecimento, autenticação multifator, cifragem, continuidade de negócio e um processo de comunicação que cumpre os prazos da autoridade nacional.

  • Risco TIC e resiliência DORA

    Para entidades financeiras e os fornecedores de TIC que as servem: o quadro de gestão do risco de TIC, a classificação e a comunicação de incidentes graves relacionados com TIC, o registo de informação sobre prestadores terceiros de serviços de TIC, as cláusulas contratuais que o DORA exige e os testes de resiliência planeados e documentados.

  • Questionários de segurança e trust centres

    Questionários de segurança de clientes, como SIG e CAIQ, respondidos a partir de uma única biblioteca mantida de respostas aprovadas, um trust centre que partilha os seus relatórios sob NDA, e os controlos por trás de cada resposta mantidos verdadeiros à medida que o produto muda.

Contratar engenheiros de compliance

  • engenheiros de compliance dedicados

    Engenheiros de compliance que integram a sua equipa a tempo inteiro, trabalham nas suas ferramentas e no seu processo, e reportam ao seu responsável. A sua empresa entrevista-os; nós assumimos o contrato ucraniano, o processamento salarial, a faturação e as férias.

  • Projetos de Engenharia de compliance

    Uma parcela definida de engenharia de compliance, com âmbito, plano fixo e um responsável identificado do nosso lado, que responde pelo resultado e reporta o progresso nos seus canais.

  • engenharia de compliance em regime contínuo

    Engenharia de compliance como serviço contínuo: as mesmas pessoas todos os meses, um backlog que a sua empresa prioriza e horas que pode consultar no nosso portal e na fatura.

A página da equipa dedicada explica como os especialistas integram a sua equipa, e a página de outsourcing aborda a entrega de projetos, as tomadas a cargo e a forma como cobramos.

Quem trabalha em engenharia de compliance para a sua empresa

  • Engenheiros de conformidade

    Controlos, provas e pedidos do auditor

  • Gestores de segurança da informação

    SGSI, políticas, registos de risco e revisões pela gestão

  • Engenheiros de cloud e DevOps

    Controlos técnicos como infraestrutura como código

  • Engenheiros de privacidade

    Mapeamento de dados RGPD, retenção e pedidos de titulares de dados

  • Especialistas em testes de intrusão

    Os testes que os auditores e as normas exigem

Como o preparamos para uma auditoria

Os certificados são emitidos por organismos de certificação acreditados, os relatórios SOC 2 por firmas de CPA independentes e os Reports on Compliance PCI DSS por QSA; a nossa parte são os controlos e as provas que eles testam. O trabalho começa com uma avaliação de lacunas face à norma e ao âmbito de que precisa, depois um plano ordenado pelo que o auditor testa primeiro, com cada controlo incorporado nos seus sistemas e não apenas escrito numa política.

Os controlos são implementados como código sempre que possível: regras de acesso, cifragem, registo, cópias de segurança e aprovação de alterações vivem no Terraform e nos pipelines, pelo que a prova é um registo que o sistema produz e não uma captura de ecrã feita na semana anterior à auditoria. Aplicamos a mesma disciplina aos nossos próprios dispositivos: os nossos portáteis são verificados por um agente que escrevemos em Rust face à nossa baseline de segurança, em Windows, macOS e Ubuntu, com verificações mapeadas para ISO 27001, CIS, Cyber Essentials, Essential Eight e SOC 2.

Outros serviços de cloud, DevOps e segurança

Visão geral de Cloud, DevOps e segurança

Perguntas sobre conformidade de segurança

Em que setores trabalham os vossos engenheiros de compliance?

Sobretudo empresas SaaS e de software que se preparam para o SOC 2 e a ISO 27001 porque os clientes os pedem; fintech, banca e seguros, sob o PCI DSS e o DORA; produtos de saúde e medtech que tratam dados de pacientes sob a HIPAA e o RGPD; negócios de comércio eletrónico e retalho que aceitam pagamentos com cartão; empresas de cibersegurança; e empresas industriais, de energia, de alojamento e de telecomunicações abrangidas pela NIS2.

Quanto tempo leva a preparação para uma auditoria ISO 27001 ou SOC 2?

Depende do âmbito e de quanto já está implementado, por isso começa-se por uma avaliação de lacunas que termina com um plano datado. Um relatório SOC 2 Type II exige ainda um período de observação, geralmente de três a doze meses, durante o qual os controlos funcionam e deixam provas, e esse período pode começar assim que os controlos estejam ativos.

A NIS2, o DORA e o Cyber Resilience Act aplicam-se a nós?

Depende do seu setor, da sua dimensão e do que vende na UE. A NIS2 abrange entidades de média e grande dimensão em setores críticos através da lei de cada país; o DORA aplica-se a entidades financeiras da UE desde 17 de janeiro de 2025 e chega aos seus fornecedores de TIC através de contratos; e o Cyber Resilience Act exige que os fabricantes de produtos com elementos digitais comuniquem vulnerabilidades ativamente exploradas a partir de 11 de setembro de 2026, com as suas principais obrigações a aplicar-se a partir de 11 de dezembro de 2027. Mapeamos o que se aplica a si e construímos os controlos que cada um exige.

Em quanto tempo podem começar engenheiros de compliance?

Quando o engenheiro de compliance adequado está disponível, o arranque depende apenas da sua entrevista, do NDA e da cedência de propriedade intelectual. Caso contrário, fazemos uma pesquisa, que normalmente produz perfis de candidatos em duas a três semanas, e ninguém começa antes de a sua empresa dar o seu acordo.

Como contratamos engenheiros de compliance através da BigTree108?

Diga-nos qual é o trabalho, a senioridade e o horário de que precisa. Propomos uma ou duas pessoas com os respetivos perfis, a sua empresa entrevista-as como entrevistaria uma contratação própria, e assina um único contrato com a BIG TREE 108 LLC e recebe uma fatura por mês.

A quem pertence o trabalho que produzem?

A sua empresa. Cada especialista tem um contrato assinado com a BigTree108 que atribui à empresa todo o trabalho produzido, e o nosso contrato com a sua empresa atribui-lho. O código, os designs e os documentos são entregues nos seus próprios repositórios e ferramentas, e não mantidos onde só nós os podemos alterar.

A preparar uma auditoria?

Diga-nos a norma, o âmbito e qualquer data de auditoria ou prazo de cliente para que esteja a trabalhar. Recebe resposta no prazo de um dia útil: um âmbito para uma avaliação de lacunas, um plano de preparação ou perfis de candidatos.

Enviar e-mail para hello@bigtree108.comComo respondemos