O que não fazemos, escrito antes de perguntarem
Descobrir isto durante um incidente é a pior altura possível. Por isso está aqui, numa página própria, em linguagem simples e não jurídica.
Não fazemos tudo. O objetivo é que nada importante fique sem dono.
A avença verifica. As alterações fazem-se à parte.
A avença verifica e acompanha: diz-vos o que está bem, o que está mal e o que fazer. Fazer as alterações é um trabalho à parte, com orçamento aprovado antes de começar — é isso que mantém o preço mensal previsível.
Não vimos substituir ninguém. Vimos verificar o que já está montado — e há coisas que quem monta não pode verificar a si próprio.
Descobrir que o vosso correio pode ser falsificado por terceiros, explicar o que isso significa na prática e acompanhar até estar resolvido.
Fazer a alteração. Mexe na forma como o vosso correio é entregue, por isso faz-se com cuidado e com teste — como trabalho à parte, com orçamento aprovado antes de começar. Pode fazê-la a Valluris, o vosso fornecedor de informática, ou vocês.
Ver os projetos e preçosOnze coisas que não somos
Para que ninguém espere de nós uma coisa que não contratou.
- Seguradora
- Mediador de seguros
- Centro de operações (SOC)
- MDR ou XDR
- Fornecedor de informática
- Helpdesk
- Administrador de sistemas
- Vigilância humana 24/7
- Entidade certificadora
- Consultora jurídica
- Empresa de resposta a incidentes
Não há vigilância humana permanente e não há turno de noite. A vigilância de disponibilidade deteta que um serviço caiu ou que um certificado vai expirar. Não deteta intrusão, exfiltração nem fraude. E não garantimos ausência de incidentes: verificamos o que está dentro do nosso âmbito e documentamos o estado observado.
Sete capacidades que a empresa precisa de ter, e que não são nossas
Aparecem sempre como fora do nosso âmbito no Mapa de Responsabilidades — porque um mapa que só mostrasse o nosso âmbito seria um catálogo, não um mapa.
- Deteção e resposta em equipamento — investigar alertas, isolar máquinas. Verificamos que a proteção existe e qual a cobertura; não operamos a consola
- Quem costuma tratar: Terceiro especializado, ou serviço gerido do fabricante
- Firewall, segmentação e acesso remoto
- Quem costuma tratar: Fornecedor de informática
- Vigilância permanente e deteção de intrusão
- Quem costuma tratar: Terceiro especializado — centro de operações
| Capacidade | Quem costuma tratar |
|---|---|
| Deteção e resposta em equipamento — investigar alertas, isolar máquinas. Verificamos que a proteção existe e qual a cobertura; não operamos a consola | Terceiro especializado, ou serviço gerido do fabricante |
| Firewall, segmentação e acesso remoto | Fornecedor de informática |
| Vigilância permanente e deteção de intrusão | Terceiro especializado — centro de operações |
| Resposta prolongada, forense e recuperação. Incluída está a triagem e a orientação inicial dentro da franquia | Apólice de ciberseguro, ou terceiro especializado |
| Notificação a autoridades e titulares. Dizemos que há dados pessoais envolvidos e qual é o prazo; quem decide e assina é a empresa | A empresa, com apoio jurídico |
| Ciberseguro. Não somos seguradora nem mediador, e nunca assinamos a declaração de subscrição | Seguradora e mediador |
| Supervisão pelos órgãos de gestão — aprovar as medidas e acompanhá-las | A gerência. Não se delega na Valluris |
E fica escrito no contrato
- Verificação mensal dos controlos que interessam
- Prova datada e arquivada
- Aceitação independente da correção, contra critério escrito antes de quem executa começar
- Alerta filtrado, não reencaminhado
- Um interlocutor com nome
- Remédio escrito quando falharmos
E diz-se antes de perguntarem
- Ausência de incidentes
- Vigilância permanente ou noturna
- Deteção de intrusão, exfiltração ou fraude
- Execução de correções dentro da avença
- Aceitação, renovação ou prémio de qualquer apólice
- Conformidade legal garantida
- Certificação
Quem não é cliente
Se se revê num destes casos, provavelmente não somos a escolha certa, e preferimos dizê-lo antes de contratar.
A avença não inclui correções: isso faz-se como projeto à parte, ou com o vosso fornecedor de informática.
Não fazemos. Dizemos-lhe quem faz.
O Insight acompanha 4 dos 15 domínios, um deles parcialmente: não chega como prova para o seguro.
A metodologia Valluris organiza a verificação em 15 domínios, definidos pela Valluris para PME. Não é uma norma nem a lista de tudo o que existe em segurança, e não substitui a ISO/IEC 27001 nem as medidas do RJC.
Sem essa lista, metade dos domínios não se consegue verificar: pagaria o Essential para receber metade. Nesse caso propomos o Insight.
Nunca. A declaração é da empresa e é assinada pela empresa.
Talvez não precise de uma avença.
Escolhe por preço: Não competimos no preço, nem o baixamos para ganhar um cliente.
Os domínios da metodologia Valluris foram desenhados para reduzir a exposição ao risco e para acompanhar temas frequentemente avaliados em processos de subscrição de ciberseguro. As seguradoras podem exigir controlos adicionais ou diferentes, conforme a apólice, o setor, a dimensão, a faturação e o perfil de risco.
A Valluris ajuda a reunir e a organizar evidência. Não determina a segurabilidade do cliente e não garante aceitação, renovação, condições nem cobertura de qualquer apólice.
- A Valluris nunca assina a declaração de subscrição
- A Valluris nunca preenche o questionário do cliente — fornecemos a evidência de cada resposta que conseguimos suportar; quem declara, assume
- Prova produzida pela plataforma da própria seguradora não é prova independente perante essa seguradora
Quando não somos o fornecedor certo, dizemo-lo e encaminhamos
Vigilância 24 horas. Correções dentro da avença. Uma empresa sem ninguém que consiga exportar uma lista. Nestes casos nomeamos o que a empresa precisa mesmo e dizemos quem lho faz.
Se nada disto o afastou, provavelmente é cliente.
Três planos, com o preço publicado. O plano sai do Diagnóstico, não de uma tabela.