O que não fazemos, escrito antes de perguntarem
Descobrir isto durante um incidente é a pior altura possível. Por isso está aqui, numa página própria, em linguagem comercial e não jurídica.
Não fazemos tudo. Garantimos que nada importante fica sem dono.
A avença mantém. Não implementa.
A empresa faz quatro coisas: avaliar, corrigir, verificar e acompanhar. A avença faz três delas. Corrigir é projeto, orçamentado antes de começar — e é esta fronteira que faz o preço ser previsível em vez de negociável a meio.
Detetar que o DMARC do vosso domínio está em p=none, dizer o que isso significa na prática, e acompanhar até estar resolvido.
Alterar esse DMARC. Mexe na entrega do vosso correio, é trabalho com janela, teste e reversão — e faz-se como projeto, com orçamento aprovado antes de começar. Pode ser a Valluris, o vosso fornecedor de informática, ou vocês.
Onze coisas que não somos
Não é modéstia. É o que evita a chamada em que alguém espera de nós uma coisa que nunca contratou.
- Seguradora
- Mediador de seguros
- Centro de operações (SOC)
- MDR ou XDR
- Fornecedor de informática
- Helpdesk
- Administrador de sistemas
- Vigilância humana 24/7
- Entidade certificadora
- Consultora jurídica
- Empresa de resposta a incidentes
Não há vigilância humana permanente e não há turno de noite. A vigilância de disponibilidade deteta que um serviço caiu ou que um certificado vai expirar. Não deteta intrusão, exfiltração nem fraude. E não garantimos ausência de incidentes: verificamos o que está dentro do nosso âmbito e documentamos o estado observado.
Sete capacidades que a empresa precisa de ter, e que não são nossas
Aparecem sempre como fora do nosso âmbito no Mapa de Responsabilidades — porque um mapa que só mostrasse o nosso âmbito seria um catálogo, não um mapa.
- Deteção e resposta em equipamento — investigar alertas, isolar máquinas. Verificamos que a proteção existe e qual a cobertura; não operamos a consola
- Quem costuma tratar: Terceiro especializado, ou serviço gerido do fabricante
- Firewall, segmentação e acesso remoto
- Quem costuma tratar: Fornecedor de informática
- Vigilância permanente e deteção de intrusão
- Quem costuma tratar: Terceiro especializado — centro de operações
- Resposta prolongada, forense e recuperação. Incluída está a triagem e a orientação inicial dentro da franquia
- Quem costuma tratar: Apólice de ciberseguro, ou terceiro especializado
- Notificação a autoridades e titulares. Dizemos que há dados pessoais envolvidos e qual é o prazo; quem decide e assina é a empresa
- Quem costuma tratar: A empresa, com apoio jurídico
- Ciberseguro. Não somos seguradora nem mediador, e nunca assinamos a declaração de subscrição
- Quem costuma tratar: Seguradora e mediador
- Supervisão pelos órgãos de gestão — aprovar as medidas e acompanhá-las
- Quem costuma tratar: A gerência. Não se delega na Valluris
| Capacidade | Quem costuma tratar |
|---|---|
| Deteção e resposta em equipamento — investigar alertas, isolar máquinas. Verificamos que a proteção existe e qual a cobertura; não operamos a consola | Terceiro especializado, ou serviço gerido do fabricante |
| Firewall, segmentação e acesso remoto | Fornecedor de informática |
| Vigilância permanente e deteção de intrusão | Terceiro especializado — centro de operações |
| Resposta prolongada, forense e recuperação. Incluída está a triagem e a orientação inicial dentro da franquia | Apólice de ciberseguro, ou terceiro especializado |
| Notificação a autoridades e titulares. Dizemos que há dados pessoais envolvidos e qual é o prazo; quem decide e assina é a empresa | A empresa, com apoio jurídico |
| Ciberseguro. Não somos seguradora nem mediador, e nunca assinamos a declaração de subscrição | Seguradora e mediador |
| Supervisão pelos órgãos de gestão — aprovar as medidas e acompanhá-las | A gerência. Não se delega na Valluris |
E fica escrito no contrato
- Verificação mensal dos controlos que interessam
- Prova datada e arquivada
- Aceitação independente da correção, contra critério escrito antes de quem executa começar
- Alerta filtrado, não reencaminhado
- Um interlocutor com nome
- Remédio escrito quando falharmos
E diz-se antes de perguntarem
- Ausência de incidentes
- Vigilância permanente ou noturna
- Deteção de intrusão, exfiltração ou fraude
- Execução de correções dentro da avença
- Aceitação, renovação ou prémio de qualquer apólice
- Conformidade legal garantida
- Certificação
Quem não é cliente
Recusar custa uma mensalidade. Aceitar mal custa um ano de atrito e uma referência má. Por isso a lista está publicada.
É cliente de projeto, ou de um fornecedor de informática. Não é de avença.
Não é nosso. Encaminha-se, e mantém-se a relação.
Diz-se o número: o Insight acompanha 4 dos 15 domínios, um deles parcialmente.
Metade dos domínios não corre. Um Essential que não corre metade é uma reclamação marcada para o terceiro mês.
Nunca. A declaração é da empresa e é assinada pela empresa.
Talvez não deva pagar uma avença. Isto é qualificação, não objeção a contornar.
Não competimos aí e não descemos para ganhar. Quem entra por preço sai por preço.
Uma recusa bem feita volta como referência dentro de um ano.
Os domínios da metodologia Valluris foram desenhados para reduzir a exposição ao risco e para acompanhar temas frequentemente avaliados em processos de subscrição de ciberseguro. As seguradoras podem exigir controlos adicionais ou diferentes, conforme a apólice, o setor, a dimensão, a faturação e o perfil de risco.
A Valluris ajuda a reunir e a organizar evidência. Não determina a segurabilidade do cliente e não garante aceitação, renovação, condições nem cobertura de qualquer apólice.
- A Valluris nunca assina a declaração de subscrição
- A Valluris nunca preenche o questionário do cliente — fornecemos a evidência de cada resposta que conseguimos suportar; quem declara, assume
- Prova produzida pela plataforma da própria seguradora não é prova independente perante essa seguradora
Quando não somos o fornecedor certo, dizemo-lo e encaminhamos
Vigilância 24 horas. Execução de correções. Uma empresa sem ninguém que consiga exportar uma lista. Nestes casos nomeamos o que a empresa precisa mesmo e dizemos quem lho faz. Encaminhar bem é a forma mais barata de ganhar reputação.
Se nada disto o afastou, provavelmente é cliente.
Três planos, com o preço publicado. O plano sai do Diagnóstico, não de uma tabela.