Se sua empresa é de capital aberto, está se preparando para abrir capital ou faz parte de um grupo listado nos EUA, seus auditores vão perguntar como a TI trata acessos, mudanças, backups e evidências. Como seu provedor de serviços gerenciados, implementamos esses controles no Microsoft 365, no Google Workspace e nos seus dispositivos, e mantemos as evidências prontas a cada trimestre.
Os controles gerais de TI da SOX, ou ITGC, são a parte de TI de uma auditoria financeira. Não são nada exótico. São a disciplina de saber quem pode mexer nos sistemas financeiros, como as mudanças são aprovadas e se você conseguiria se recuperar caso algo quebrasse. Tornamos essa disciplina real nos sistemas que você já usa.
Trabalhamos ao lado da sua equipe financeira e da sua firma de auditoria. Não fazemos a auditoria e não substituímos os responsáveis pelos controles internos. Garantimos que a TI nunca seja o motivo de um controle falhar.
Comparamos seu ambiente atual com os ITGC que seu auditor vai testar e entregamos uma lista priorizada.
Fechamos as lacunas, da limpeza de acessos e do acesso condicional ao rastreamento de mudanças e aos testes de backup.
Revisões de acesso, registros de mudanças e verificações de backup viram rotina, com as evidências produzidas como subproduto.
Sentamos com seu controller e seu auditor, respondemos às perguntas de TI e fornecemos as evidências no formato que eles esperam.
Os auditores gostam desta parte. Operamos dentro do seu próprio Microsoft 365, Google Workspace e sistemas financeiros por meio de contas de administrador dedicadas em nome da sua empresa, protegidas por MFA, registradas em log e usadas apenas sob sua instrução, o que por si só já é um controle que você pode apresentar. Nada é transferido para os sistemas da SF3 Technologies.
Se a relação terminar, entregamos os controles, as evidências e a documentação à sua nova equipe com uma passagem documentada, apoiamos a transição e depois nossas contas são removidas, para que você fique com tudo.
Empresas a seis a dezoito meses de uma abertura de capital têm uma janela curta para colocar os controles de TI rodando por trimestres completos antes que os auditores os testem. Ajudamos você a começar cedo e começar pequeno: identidades organizadas, acesso administrativo reduzido e registrado, gestão de mudanças introduzida de um jeito que os engenheiros realmente sigam e backups com restauração comprovada.
Comece a conversaSe sua matriz é listada nos Estados Unidos, sua TI herda a SOX, tenha alguém no seu escritório lido a lei ou não. Trabalhamos com subsidiárias cuja sede envia um questionário de controles uma vez por ano e espera respostas limpas. Traduzimos esses requisitos em configurações concretas, operamos os controles localmente e reportamos no formato que o grupo espera.
Gerenciamento do Microsoft 365Os mesmos controles respondem à maioria das outras perguntas que uma empresa em crescimento recebe: preparação para SOC 2, questionários de segurança de clientes, propostas de seguro cibernético, obrigações do GDPR na Europa e leis locais de proteção de dados, como a Lei 1581 da Colômbia. Uma vez que as evidências existem, responder vira uma questão de apontar para elas.
Segurança de e-mail e DMARCSe a sua dúvida não estiver aqui, pergunte e uma pessoa de verdade vai responder.
Faça outra perguntaOs auditores se concentram nos controles gerais de TI: quem tem acesso aos sistemas financeiros, como as mudanças são aprovadas e registradas, se backups e recuperação são testados e se existem evidências de tudo isso. Para uma empresa do seu porte, a lista é administrável depois que está escrita e é executada conforme um cronograma.
Comece pelo menos um ano antes da abertura de capital prevista, para que revisões de acesso, gestão de mudanças e logs já tenham rodado por trimestres completos quando os auditores os testarem. Começar mais cedo torna o trabalho menor, porque acessos limpos e bons backups são mais fáceis de manter do que de reconstruir.
Sim, exportamos quem tem acesso a quê no Microsoft 365, no Google Workspace e nos seus sistemas financeiros, preparamos a revisão para aprovação dos responsáveis pelos controles e arquivamos as evidências. As alterações que a revisão revela são executadas e registradas da mesma forma.
Comece com uma avaliação dos controles gerais de TI que documente acessos, mudanças e backups como estão hoje, e compare-a com o questionário que sua sede enviou. Em seguida, fechamos as lacunas e entregamos as evidências no formato que o auditor do seu grupo espera.
Sim, os mesmos controles de acesso, mudanças, backup e logs respondem à maior parte de uma avaliação de preparação para SOC 2 e à maioria dos questionários de segurança de clientes. Preparamos as respostas de TI e as evidências de apoio para que sua equipe responda com confiança.
Não. Sua firma de auditoria testa os controles, e nós projetamos, implementamos e operamos o lado de TI para que haja algo sólido para eles testarem. Manter esses papéis separados é parte do que dá credibilidade aos controles.
Um auditor, um conselho ou uma matriz fazendo perguntas de TI que você ainda não consegue responder?
Fale conosco