ATALAIAPreparar uma auditoria
SOC 2, ISO 27001, DORA, NIS2 ou o CRA, com evidências que vêm dos seus pipelines e registos, não de capturas de ecrã.
Onde está
Há uma data de auditoria marcada. Os controlos existem na cabeça de alguém e as evidências são capturas de ecrã tiradas na semana anterior. Cada auditoria custa um mês de engenharia, e a próxima também vai custar.
Soa familiar?
- As evidências são recolhidas à mão, antes de cada auditoria
- Políticas que ninguém leu desde que foram assinadas
- A gestão de alterações depende de quem está de férias
O que precisa
Cada necessidade, porque importa e o que a cobre: os serviços que a montam e os módulos da torre que a vão continuar a vigiar.
- Políticas curtas com responsáveis
Regras que as pessoas conseguem seguir, mapeadas para o framework.
Serviços
Atalaia Tower · Em breve
Só serviços, por agora.
- Controlo de alterações que se pode mostrar
Quem aprovou o quê, antes de chegar a produção.
Atalaia Tower · Em breve
- Artefactos com histórico
Builds assinados, SBOMs e proveniência para cada release.
Serviços
Atalaia Tower · Em breve
- Terceiros sob controlo
Cada pacote e fornecedor, conhecido e verificado.
Atalaia Tower · Em breve
O percurso
As estações que percorremos, por esta ordem. Cada uma deixa algo que a sua equipa continua a fazer funcionar.
Serviços
Políticas, auditorias, avaliação de risco
Ver a estação →Estação 10 · Release e testesAprovações de DeployQuem desbloqueia prod, e com que papéis
Ver a estação →Estação 06 · ConstruçãoAuditoria de Pipeline CI/CDRunners, tokens, actions fixadas
Ver a estação →Estação 09 · Release e testesRegistry e AssinaturaSBOM, proveniência, builds assinados
Ver a estação →Estação 07 · ConstruçãoSegurança da Cadeia de FornecimentoPacotes, extensões, registries
Ver a estação →Módulos da Atalaia Tower
Em desenvolvimento. As equipas com acesso antecipado recebem-nos primeiro.
Runners, tokens e desvio de actions
O que vigia →Módulo · Em breveCode to CloudO que foi publicado, o que está a correr, que versão
O que vigia →Módulo · Em brevePackage FirewallUm só portão para cada instalação de pacote
O que vigia →Módulo · Em breveDeveloper FleetPacotes, extensões e ferramentas em cada máquina
O que vigia →Com o que fica
- Políticas curtas com responsáveis
- Controlos mapeados para o framework
- Evidências recolhidas da linha
- Uma visita do auditor que se aguenta
Vamos conversar
Uma chamada de 30 minutos. Sem slides, sem tabela de preços, e um próximo passo em qualquer caso.