Antes de acompanhar, é preciso conhecer o que lá está
Fica a saber, com prova e por escrito, o que está controlado na cibersegurança da vossa empresa, o que não está e as cinco coisas a fazer primeiro. É a porta de entrada, e é sempre o primeiro passo.
A metodologia Valluris organiza a verificação em 15 domínios, definidos pela Valluris para PME. Não é uma norma nem a lista de tudo o que existe em segurança, e não substitui a ISO/IEC 27001 nem as medidas do RJC.
O valor «desde 390 €» é o ponto de partida. Com mais locais ou mais empresas no grupo, o trabalho aumenta — e o valor final fica escrito na proposta, antes de começar.
- Nada é devido antes da entrega da primeira parte
- Paga-se depois de cada entrega, metade em cada fase
- Conta como instalação de um plano contratado nos 90 dias seguintes
- Acordo de confidencialidade e de tratamento de dados assinado antes de começar
Não acompanhamos um ambiente que ainda não conhecemos.
Não é técnica de venda: é a cláusula do contrato. Um plano recomendado sem diagnóstico é um palpite com preço — e metade das verificações de uma avença não corre sem saber de onde vem a evidência de cada domínio.
Duas fases, e paga-se depois de cada entrega.
Nada é devido antes da entrega da primeira parte. Cada relatório é entregue em até dois dias úteis após o fim da recolha respetiva.
Avaliação remota
Exposição externa e credenciais, correio, acessos e cópias. E a atribuição de fonte de evidência a cada um dos quinze domínios — de onde vem, quem a produz, com que frequência e a que nível de acesso.
Análise no local ou por vídeo
Mínimo de três horas, em data acordada. Onde não há circuito ativo, faz-se por inspeção guiada por vídeo com quem está no local — mesmas horas, mesma cobertura, mesma prova. No local ou por vídeo, o preço é o mesmo.
Trinta e um controlos, cada um com a sua prova.
Na Fase 1 verificam-se só os ativos que indicarem por escrito, por consulta de fontes públicas e leitura de metadados. Nada intrusivo: não fazemos testes de intrusão, que exigem autorização escrita.
O que a Fase 1 verifica
- A autenticação do correio: SPF, DKIM, DMARC, MTA-STS e TLS-RPT
- O certificado e os cabeçalhos do site, o DNSSEC e o registo do domínio
- Subdomínios, serviços e acesso remoto expostos, e domínios parecidos com o vosso
- Credenciais expostas em fugas públicas e em registos de roubo de credenciais
- Segredos expostos em repositórios de código e armazenamento público aberto — sempre por domínio, de forma passiva
As credenciais expostas entram no relatório em números. Os nomes vão numa folha à parte, entregue só à gerência, com o aviso de que não servem para fins disciplinares, e apagada aos 12 meses. Nunca se mostra nem se guarda o valor de uma palavra-passe, chave ou segredo.
31 controlos em 7 áreas, cada um com a sua referência CIS ou NIST. A gravidade é impacto × exposição observada, e o conjunto cai numa de quatro bandas. Sem evidência, um controlo conta como não verificado.
Seis passos, e sabem sempre em qual estão.
Pedido
Pelo formulário, por email ou por WhatsApp.
Chamada
Respondemos em 24 horas úteis para marcar uma chamada curta com quem faz o trabalho.
Proposta escrita
Preço e âmbito por escrito, antes de começar, com o acordo de confidencialidade e de tratamento de dados. A proposta vale 30 dias.
Fase 1 · remota
Exposição externa, credenciais, correio, acessos e cópias. Relatório em até dois dias úteis após a recolha; paga-se metade.
Fase 2 · no local ou por vídeo
Mínimo de três horas, em data acordada. Relatório final com cinco ações prioritárias em até dois dias úteis; paga-se a outra metade.
Decisão
Com o relatório na mão, e sem pressa. Se contratarem um plano nos 90 dias seguintes, o Diagnóstico conta como instalação.
O documento é o produto.
A intervenção técnica é o meio. O que fica é o que se pode mostrar a um cliente, a um auditor ou a uma seguradora: o levantamento de sistemas, acessos, cópias, correio e exposição externa, e a fonte de evidência de cada um dos quinze domínios da metodologia Valluris.
- 2 fases
- 5 ações prioritárias
- Pago depois de cada entrega
Relatório semafórico com cinco ações prioritárias
O que está controlado, o que não está, e o que não foi possível verificar — com a causa nomeada e com o nome de quem o consegue.
Matriz de Fontes
Para cada um dos quinze domínios: de onde vem a evidência, quem a produz, com que frequência e a que nível de acesso. É o que torna a avença executável.
Entre três e sete próximos passos
Com nome e orçamento. Nenhum é obrigatório, e nenhum é condição de nada.
De qualquer um dos três planos contratado nos 90 dias seguintes à entrega do relatório final. Não há custo de instalação a somar depois.
Nunca uma palavra-passe.
Verificamos a prova que os vossos sistemas produzem; não mexemos neles. Há só três formas de acesso, e qual se usa combina-se por escrito antes de começar.
Trabalhamos com o que está público, ou com o que a vossa equipa nos envia.
Uma conta em nome da Valluris que só consegue ver, nunca alterar. Fica no vosso registo e podem desligá-la quando quiserem.
Quem conduz é a vossa equipa, na vossa conta. Nós vemos, anotamos e orientamos — não executamos nada.
O que o Diagnóstico não é.
- Não é teste de intrusão.
- Não é auditoria de certificação.
- Não é aconselhamento jurídico.
- Não inclui execução de correções — essas orçamentam-se antes de começar.
- Não determina a segurabilidade da empresa, nem garante aceitação ou cobertura de qualquer apólice.
O que costuma travar a decisão.
Se estiver tudo bem, ficam a saber.
E se não estiver, querem saber hoje e não daqui a um ano.
Diagnóstico desde 390 €, em duas fases, com relatório em cada uma. Nada é devido antes da entrega da primeira parte. O preço é acordado por escrito antes de começar, e a proposta vale 30 dias. Aos valores indicados acrescem impostos apenas quando legalmente devidos, à taxa em vigor à data da fatura.
Duas ferramentas, sem pedir identificação, sem compromisso.
Nenhuma delas é verificação: trabalham com o que vocês declaram. A verificação começa no Diagnóstico.
Autoavaliação
Devolve o panorama do que responderam, e nomeia o que ficou por saber. Sem pedir identificação para ver o resultado.
Responder às dez perguntasCalculadora do custo de um incidente
Põe um número a um dia parado, com os números da vossa empresa. É uma estimativa vossa, não uma previsão nossa.
Calcular com os números da minha empresa