Cibersegurança para PME. Antes do incidente, não depois
Já têm antivírus, cópias e Microsoft 365. O que provavelmente não têm é alguém que confirme, todos os meses, que aquilo continua a funcionar. Todos os meses verificamos os controlos que interessam, guardamos a prova com data, e dizemos o que precisa de ser corrigido e por quem.
Diagnóstico em duas fases · desde 390 € · pago depois de cada entrega
Ver o modelo do relatório- 01Identidade e autenticação
- 02Contas e acessos
- 03Proteção dos equipamentos
- 04Vulnerabilidades e fim de suporte
- 05Exposição na Internet
- 06Segurança do correio
Trabalhamos com PME em Portugal e Espanha
Três passos. Sem promessas vazias.
Primeiro o Diagnóstico, que mostra o que está exposto. Depois o plano, que sai do que o Diagnóstico encontrou — nunca de uma tabela. Não acompanhamos um ambiente que ainda não conhecemos.
- Duas fases · desde 390 €
Diagnóstico. Fase 1 remota; Fase 2 no local, ou guiada por vídeo com quem está lá. Sai um relatório semafórico com cinco ações prioritárias e a atribuição de fonte de evidência aos quinze domínios.
- Projeto orçamentado
- Desde 109 €/mês
Olhamos para o seu caso real
Diagnóstico. Fase 1 remota; Fase 2 no local, ou guiada por vídeo com quem está lá. Sai um relatório semafórico com cinco ações prioritárias e a atribuição de fonte de evidência aos quinze domínios.
Dizemos o que falta e quem o faz
Detetar está incluído. Corrigir orçamenta-se antes de começar, e executa-o quem opera os sistemas — vocês, o vosso fornecedor de informática, ou a Valluris como projeto à parte.
Verificamos os controlos que interessam todos os meses
Verificação mensal com prova datada, boletim com prioridades e sessão de decisão. Não perguntamos o que mudou: comparamos e sabemos.
A metodologia Valluris organiza a verificação em 15 domínios, definidos pela Valluris para PME. Não é uma norma nem a lista de tudo o que existe em segurança, e não substitui a ISO/IEC 27001 nem as medidas do RJC.
Sem letras pequenas. Sem retórica.
Sem prazo mínimo de fidelização e sem letras pequenas no fim do contrato.
72, 48 ou 24 horas úteis, conforme o plano, até à primeira interlocução qualificada. Não até à resolução.
Tarefa falhada dois meses seguidos dá crédito automático. Três prazos falhados em doze meses e sai quando quiser.
É o valor a pagar. Sem custo de instalação e sem taxas adicionais. Trabalho de projeto orçamentado antes de começar.
Quem faz o trabalho é sempre a mesma pessoa, e o nome está no relatório.
Nash Dalpin · Head Consultant
Se estiver ausente mais de quinze dias, suspende a avença sem custo pelo período correspondente — está no contrato.
Não somos uma plataforma. Somos uma pessoa com nome.
Não há fila de tickets, não há chatbots, e não há a quem repetir o contexto ao terceiro mês.
Não somos uma plataforma com chatbots e tickets.
Falamos consigo. Por telefone, email, WhatsApp.
Não somos o seu fornecedor de informática, e não viemos substituí-lo.
Verificamos o que ele montou, e coordenamos com ele o que precisa de ser corrigido.
Não vendemos software, apólices, nem comissão de ninguém.
Vendemos verificação com prova datada. Quem vende a ferramenta não pode ser quem verifica se ela funciona.
As alternativas reais.
- Porque parece suficiente
- «Já pagamos ao nosso informático.»
- Onde falha, estruturalmente
- Instala e mantém. Não se verifica a si próprio — e é ele quem tem as contas de administrador, as que têm mais poder e menos supervisão.
- A nossa resposta
- «Não vimos substituir ninguém. Vimos verificar o que já está montado — e há coisas que quem monta não pode verificar a si próprio.»
- Porque parece suficiente
- É o serviço «a sério».
- Onde falha, estruturalmente
- Escala e preço de outra dimensão: custa várias vezes a avença e responde a um problema que a vossa empresa ainda não tem.
- A nossa resposta
- «Isso é excelente e é para outra dimensão de orçamento. Quando lá chegarem, encaminhamos.»
- Porque parece suficiente
- Tem proteção, tem cópias, tem cofre.
- Onde falha, estruturalmente
- Vende licenças. Ter a licença não é o mesmo que ter instalado, e é essa diferença que aparece no dia mau.
- A nossa resposta
- «Essa consola diz quantos equipamentos estão protegidos. Nós comparamos com quantos existem.»
- Porque parece suficiente
- Já vem paga.
- Onde falha, estruturalmente
- Faz varrimento e boletins. Não compara mês a mês, não vê contas e privilégios dentro do ambiente, e a prova que produz não é prova independente perante a própria seguradora.
- A nossa resposta
- «Onde houver sobreposição, entramos na plataforma da apólice e lemos o resultado. Não deve pagar duas vezes pela mesma verificação.»
- Porque parece suficiente
- Dá um painel verde.
- Onde falha, estruturalmente
- Recolhe o que os sistemas declaram. Ninguém decide, ninguém assina, ninguém aceita a correção contra critério escrito.
- A nossa resposta
- «Um painel diz «segundo fator: sim». Nós dizemos em que contas, desde quando, com que exceções, e se continua assim este mês.»
- Porque parece suficiente
- Nunca aconteceu nada.
- Onde falha, estruturalmente
- Uma auditoria é uma fotografia. A validade de qualquer prova de segurança é de meses, não de anos.
- A nossa resposta
- «Uma auditoria diz como estava naquele dia. Se lhe perguntarem hoje, o que responde?»
| Alternativa | Porque parece suficiente | Onde falha, estruturalmente | A nossa resposta |
|---|---|---|---|
| O fornecedor de informática atual | «Já pagamos ao nosso informático.» | Instala e mantém. Não se verifica a si próprio — e é ele quem tem as contas de administrador, as que têm mais poder e menos supervisão. | «Não vimos substituir ninguém. Vimos verificar o que já está montado — e há coisas que quem monta não pode verificar a si próprio.» |
| vCISO, consultora grande ou SOC gerido | É o serviço «a sério». | Escala e preço de outra dimensão: custa várias vezes a avença e responde a um problema que a vossa empresa ainda não tem. | «Isso é excelente e é para outra dimensão de orçamento. Quando lá chegarem, encaminhamos.» |
| Pacote de tecnologia por posto | Tem proteção, tem cópias, tem cofre. | Vende licenças. Ter a licença não é o mesmo que ter instalado, e é essa diferença que aparece no dia mau. | «Essa consola diz quantos equipamentos estão protegidos. Nós comparamos com quantos existem.» |
| A plataforma incluída na apólice | Já vem paga. | Faz varrimento e boletins. Não compara mês a mês, não vê contas e privilégios dentro do ambiente, e a prova que produz não é prova independente perante a própria seguradora. | «Onde houver sobreposição, entramos na plataforma da apólice e lemos o resultado. Não deve pagar duas vezes pela mesma verificação.» |
| Software de conformidade automatizado | Dá um painel verde. | Recolhe o que os sistemas declaram. Ninguém decide, ninguém assina, ninguém aceita a correção contra critério escrito. | «Um painel diz «segundo fator: sim». Nós dizemos em que contas, desde quando, com que exceções, e se continua assim este mês.» |
| Não fazer nada, ou uma auditoria de vez em quando | Nunca aconteceu nada. | Uma auditoria é uma fotografia. A validade de qualquer prova de segurança é de meses, não de anos. | «Uma auditoria diz como estava naquele dia. Se lhe perguntarem hoje, o que responde?» |
Cada linha descreve o que a alternativa faz bem e o que, estruturalmente, não pode fazer. Não é uma crítica a nenhum fornecedor concreto.
Três pessoas na empresa. O que cada uma fica a ter.
Para quem assina
No fim de cada mês sabe exatamente o que mudou e o que falta. Numa folha.
Para a informática
Não vimos fazer o seu trabalho nem dizer que está mal feito. Vimos confirmar por escrito o que já sabe, para que deixe de ser opinião.
Para quem responde a clientes e seguradoras
Quando o cliente, o auditor ou a seguradora perguntar, já tem a resposta com data.
Três funções. Não três níveis.
Ver o que está exposto, validar que funciona, supervisionar o risco. O plano sai do que o Diagnóstico encontrou.
Insight
- 4 dos 15 domínios da metodologia Valluris, um parcial
- Exposição na Internet verificada todos os meses
- Boletim mensal com prioridades, no máximo três pontos
- Declaração de Acompanhamento, uma por ano
- Primeira resposta em 72 horas úteis
- × Não serve como prova para seguro
- × A comparação de contas faz-se com a lista que vocês nos enviam
- × Sem acessos e sem visitas
Essential
- Os 15 domínios da metodologia Valluris, com prova datada
- Comparação mensal de contas: quem entrou, quem saiu, quem passou a administrador
- Restauro testado e cronometrado — o tempo real de reposição fica escrito
- Estado de Segurança mensal e sessão de decisão de quinze minutos
- Aceitação independente da correção, contra critério escrito
- × Exige alguém do outro lado
- × Verifica e acompanha; as alterações fazem-se à parte
- × As visitas dependem de circuito ativo
Executive
- Tudo o que o Essential faz, com profundidade acrescida
- Governação, fornecedores críticos e risco da cadeia
- Plano de resposta testado em exercício de mesa, com ata e tempos medidos
- Revisão anual dos registos RGPD — dizemos até quando cada prova vale
- Primeira resposta em 24 horas úteis
- × Vários locais ou entidades orçamentam-se caso a caso
- × Revisão de âmbito antes de propor
- × A supervisão pelos órgãos de gestão não se delega
Apoio em dias úteis, das 9h00 às 18h00 (hora de Portugal). Franquia de triagem não cumulativa. Denúncia com 30 dias de pré-aviso. Diagnóstico prévio obrigatório, orçamentado em separado. É o valor a pagar, sem custo de instalação e sem taxas adicionais. Aos valores indicados acrescem impostos apenas quando legalmente devidos, à taxa em vigor à data da fatura.
Respostas diretas.
As perguntas que ouvimos todas as semanas. Sem rodeios.
Em três linhas, antes de sair.
Não somos um centro de operações: não há vigilância permanente nem turno de noite. Não administramos sistemas nem substituímos o vosso fornecedor de informática. E não garantimos ausência de incidentes — verificamos o que está dentro do nosso âmbito e documentamos o estado observado.
Ver os limitesO Diagnóstico é sempre o primeiro passo.
Não acompanhamos um ambiente que ainda não conhecemos, e um plano recomendado sem diagnóstico é um palpite com preço. Duas fases, desde 390 €, com relatório em cada uma.
Das Notas.
Gestão de risco de fornecedores: guia para PME
Guia prático de gestão de risco de fornecedores para PME: classifique, exija cláusulas e monitorize, à luz da NIS2 em Portugal e Espanha.
Janela de exploração de vulnerabilidades
A janela de exploração de vulnerabilidades encolheu para dias — por vezes horas. Veja porque a rapidez no patching protege a sua PME e o que deve fazer já.
Gestão de atualizações de software em PME: rotina prática sem interromper o negócio
Guia prático de gestão de atualizações de software para PME em Portugal: como criar uma rotina de patching segura, sem paragens e alinhada com a NIS2.