A INSSIDE lan\u00e7ou recentemente nossa plataforma de conformidade regulat\u00f3ria e gerenciamento de riscos. \u00c9 um produto inovador que nasceu com o objetivo de facilitar e agilizar o trabalho dos auditores e de todos os respons\u00e1veis \u200b\u200bpela condu\u00e7\u00e3o de uma auditoria.<\/p>\n\n\n\n
Sem d\u00favida, o INSSIDE Security Suite (ISS) \u00e9 uma proposta em constante aperfei\u00e7oamento e otimiza\u00e7\u00e3o, lan\u00e7ando novidades que o colocam na vanguarda do que auditores e empresas precisam para atender aos requisitos das normas mais conhecidas e exigentes mercados.<\/p>\n\n\n\n
Esta semana tivemos o prazer de conversar com a nossa especialista, Ing. Agostina Lambertucci, QSA e uma das idealizadoras do novo produto que oferecemos da INSSIDE que promete ser a m\u00e3o direita dos auditores.<\/p>\n\n\n\n
O que te inspirou a desenvolver este aplicativo?<\/strong> Conte-me sobre a experi\u00eancia do usu\u00e1rio ao usar o aplicativo. Como voc\u00ea facilita o processo de an\u00e1lise de lacunas e melhora a conformidade?<\/strong> Que tipos de regulamentos de seguran\u00e7a cibern\u00e9tica a plataforma cobre?<\/strong> Um recurso interessante \u00e9 a capacidade de vincular evid\u00eancias e metas de conformidade. Como isso simplifica o gerenciamento e a documenta\u00e7\u00e3o para os usu\u00e1rios?<\/strong> Quais s\u00e3o os principais benef\u00edcios que os agentes de seguran\u00e7a e gerentes de GRC podem esperar ao usar essa ferramenta?<\/strong> Como o aplicativo ajuda a medir o n\u00edvel atual de conformidade e avaliar o risco associado \u00e0 n\u00e3o conformidade?<\/strong> Voc\u00ea poderia compartilhar algumas hist\u00f3rias de sucesso ou exemplos de como o aplicativo ajudou as empresas a melhorar sua seguran\u00e7a cibern\u00e9tica e conformidade regulat\u00f3ria?<\/strong> A capacidade de registrar as mudan\u00e7as de estado dos controles parece muito \u00fatil. Como isso contribui para manter a conformidade cont\u00ednua e demonstrar melhorias ao longo do tempo?<\/strong>
Primeiro, a maioria de nossos clientes deve manter a conformidade com v\u00e1rios regulamentos, seja por necessidade comercial, por defini\u00e7\u00e3o do CISO ou pelo pr\u00f3prio setor. O acompanhamento dessas normativas costuma ser feito por meio de arquivos Excel, pr\u00e1tica que torna mais complexo o acompanhamento e a visibilidade do processo. Portanto, o objetivo do INSSIDE Security Suite (ISS) \u00e9 que eles possam ter todas as informa\u00e7\u00f5es em uma mesma plataforma, com facilidade de monitoramento e centraliza\u00e7\u00e3o dos dados.
Nas pr\u00f3ximas vers\u00f5es da ferramenta, todos os projetos poder\u00e3o ser associados com o objetivo de reaproveitar as informa\u00e7\u00f5es que j\u00e1 foram carregadas anteriormente para uma norma e que s\u00e3o necess\u00e1rias para outro marco regulat\u00f3rio.<\/p>\n\n\n\n
H\u00e1 tr\u00eas pontos importantes a serem destacados a esse respeito: recomenda\u00e7\u00f5es de remedia\u00e7\u00e3o, evid\u00eancias e os respons\u00e1veis.
Nossos consultores especializados em GRC carregaram as recomenda\u00e7\u00f5es de remedia\u00e7\u00e3o nos regulamentos, para que nossos clientes obtenham automaticamente as medidas a serem implementadas para cumprir os controles do padr\u00e3o avaliado.
Al\u00e9m disso, eles prepararam listas de evid\u00eancias a serem revisadas para cada norma, portanto, no momento de iniciar o projeto, nosso cliente pode usar essa lista ou modific\u00e1-la conforme necess\u00e1rio. Cada controle ter\u00e1 suas respectivas evid\u00eancias associadas, para vincular o reposit\u00f3rio onde est\u00e1 hospedado, bem como o status da revis\u00e3o. Desta forma, as provas ser\u00e3o centralizadas e n\u00e3o ser\u00e1 necess\u00e1rio o acompanhamento por e-mail.
Por \u00faltimo, ao n\u00edvel dos respons\u00e1veis, para cada controlo poder\u00e1 ser atribu\u00eddo o(s) respons\u00e1vel(is) correspondente(s) juntamente com a data de execu\u00e7\u00e3o, com o objetivo de facilitar a manuten\u00e7\u00e3o da conformidade ao longo do processo.<\/p>\n\n\n\n
Atualmente, a ISS possui os marcos regulat\u00f3rios PCI DSS, CIS, NIST e ISO 27002. No entanto, voc\u00ea pode fazer o upload de todos os regulamentos que desejar, independentemente de sua natureza. O importante \u00e9 conseguir organiz\u00e1-lo em requisitos, sub-requisitos e controles.<\/p>\n\n\n\n
Com esta funcionalidade, o compliance officer ter\u00e1 apenas que indicar por controle as evid\u00eancias que devem ser apresentadas. Isso permitir\u00e1 que cada pessoa envolvida seja responsabilizada pela execu\u00e7\u00e3o do controle e apresenta\u00e7\u00e3o das respectivas evid\u00eancias, evitando o envio de muitos e-mails exigindo as evid\u00eancias, a perda de tempo solicitando as informa\u00e7\u00f5es em v\u00e1rias ocasi\u00f5es e, at\u00e9 mesmo, a poss\u00edvel perda disso. <\/p>\n\n\n\n
Entre os principais benef\u00edcios, podemos citar agilidade, recomenda\u00e7\u00f5es de implementa\u00e7\u00e3o feitas por especialistas, f\u00e1cil rastreamento de evid\u00eancias, centraliza\u00e7\u00e3o do processo de compliance, entre outros.<\/p>\n\n\n\n
Com o ISS, ao avaliar o cumprimento da norma, controle por controle, ser\u00e1 poss\u00edvel obter o n\u00edvel de conformidade total. Dos controles identificados como n\u00e3o conformidade, ser\u00e1 poss\u00edvel saber o n\u00edvel de risco que eles representam para a organiza\u00e7\u00e3o, pois, como bem sabemos, n\u00e3o realizar a conscientiza\u00e7\u00e3o anual n\u00e3o gera o mesmo risco que n\u00e3o ter um processo de gerenciamento de vulnerabilidade . Ou seja, existem diferentes tipos de controles e com base na import\u00e2ncia de cada um, o ISS determina o n\u00edvel de risco a que uma organiza\u00e7\u00e3o est\u00e1 exposta por n\u00e3o cumprir um ou outro.<\/p>\n\n\n\n
Por um lado, temos um grande n\u00famero de clientes utilizando o ISS para completar o PCI DSS SAQ exigido pelos adquirentes. Neste caso, s\u00e3o clientes com volume anual de transa\u00e7\u00f5es muito baixo, que n\u00e3o necessitam dos servi\u00e7os de um QSA. Por meio da ISS, eles preenchem rapidamente o SAQ correspondente e depois o entregam a quem o solicitar.
Por outro lado, v\u00e1rias empresas est\u00e3o utilizando-o para gerenciar os processos de gest\u00e3o de fornecedores. Atrav\u00e9s do ISS, pedem aos seus fornecedores que cumpram a avalia\u00e7\u00e3o de seguran\u00e7a definida e assim guardam toda a informa\u00e7\u00e3o de forma centralizada.<\/p>\n\n\n\n
O fato de registrar as mudan\u00e7as de status nos controles permite manter o n\u00edvel de conformidade atualizado, dando visibilidade a todos os envolvidos e mostrando o andamento do processo de remedia\u00e7\u00e3o.<\/p>\n\n\n\n