SOC 2 / ISO 27001

Controlos de gestão de alterações, acessos e desenvolvimento seguro, comprovados pela linha em vez de capturas de ecrã.

SOC 2 / ISO 27001

Onde está

Os clientes pedem um relatório SOC 2 ou um certificado ISO 27001. Os controlos que mais custam à engenharia são os de alterações, acessos e forma como o software é construído.

Soa familiar?

As evidências de alterações são capturas de ecrã de PRs integrados
Revisões de acessos numa folha de cálculo
O desenvolvimento seguro é uma política, não uma prática

O que precisa

Cada necessidade, porque importa e o que a cobre: os serviços que a montam e os módulos da torre que a vão continuar a vigiar.

Políticas que as pessoas seguem
Curtas, com responsável e mapeadas para ambos os frameworks.
Serviços
Políticas, Compliance e Risco
Atalaia Tower · Em breve
Só serviços, por agora.
Gestão de alterações
Revisões e aprovações, impostas pelo pipeline.
Serviços
Aprovações de Deploy Auditoria de Pipeline CI/CD
Atalaia Tower · Em breve
Pipeline Auditor Code to Cloud
Desenvolvimento seguro
Scans e revisões em cada alteração.
Serviços
Análises de Segurança Revisão de Código Seguro
Atalaia Tower · Em breve
A torre

O que pede, e de onde vêm as evidências

Uma leitura simplificada dos controlos que pertencem à engenharia.

Controlo	Evidências da linha	Quem ajuda
Gestão de alterações (SOC 2 CC8.1, ISO A.8.32)	Revisões obrigatórias, aprovações, registos de deploy	Aprovações de Deploy, Code to Cloud
Ciclo de vida de desenvolvimento seguro (ISO A.8.25)	Threat models, scans em cada PR	Threat Modeling, Security Scans
Programação segura (ISO A.8.28)	Registos de revisão de código, tempos de correção	Revisão de Código Seguro
Vulnerabilidades técnicas (ISO A.8.8)	Achados com responsáveis, tempos de patch	Security Scans, a torre