Etapa 01
Diagnóstico
Contexto e inventário, revisão de exposição, varredura autenticada autorizada, revisão amostral por ASVS, registro de riscos e plano de 30, 60 e 90 dias.
Serviço gerenciado · JDS Soluções
Segurança que se demonstra com evidência.
Ajudamos SaaS B2B pequenos a transformar segurança e continuidade em processos mensuráveis: inventário, hardening, alertas acionáveis, recuperação testada e resposta coordenada a incidentes.
Segurança é redução de risco, não garantia de ausência de incidentes. Não fazemos teste em ambiente nenhum sem autorização formal do responsável.
Perfil de cliente
Antes do escopo, a pergunta é se faz sentido.
Preferimos dizer não cedo a vender algo que não vai servir. Se o seu cenário está na coluna da direita, o caminho certo provavelmente é outro fornecedor ou outro tipo de contrato, e podemos indicar a direção.
Faz sentido se
- Você é um SaaS B2B brasileiro com 5 a 50 pessoas
- Tem uma aplicação principal e até três servidores ou nós
- Roda Docker em VPS ou cloud, fora de ambiente altamente regulado
- Existe um responsável técnico disponível do seu lado
- Há orçamento para implantação e para operação recorrente
- A responsabilidade compartilhada é aceita e entendida
Não faz sentido se
- O ambiente é hospitalar, bancário, governo ou infraestrutura crítica
- Você armazena dados de cartão diretamente
- Roda Kubernetes complexo ou multi-região sem discovery específico
- Precisa que nós emitamos SOC 2, ISO 27001 ou PCI DSS
- Precisa de plantão humano 24x7 sem contratar essa cobertura
O problema
Ferramenta isolada não vira processo sozinha.
A aplicação sobe, o produto cresce e o ambiente acompanha como dá. O inventário desatualiza, o baseline nunca chegou a ser escrito, a telemetria existe só no painel do provedor, o backup nunca foi restaurado de verdade e o incidente é resolvido no improviso de quem estiver disponível.
Na maioria dos casos não falta ferramenta. Falta dono, registro e evidência. Sem esses três, não há como priorizar risco com critério, aprovar mudança sem apostar, nem provar para um cliente ou auditor que um controle realmente funciona.
O SafeCore Defense entrega essa camada: diagnóstico, hardening, telemetria, backup com restauração comprovada, coordenação de incidentes e melhoria contínua baseada em evidência.
Como funciona
Quatro etapas, cada uma com critério de aceite.
A entrada é sempre pelo Diagnóstico. As etapas seguintes só são propostas a partir dos riscos que você aceitar priorizar, nunca como pacote fechado vendido antes de olhar o ambiente.
Etapa 02
Baseline
Inventário e diagrama, hardening acordado, acessos nominativos, MFA, telemetria, política de patch, backup desenhado, runbooks e aceite formal.
Etapa 03
Monitor
Coleta automatizada 24x7, alertas, triagem dentro da cobertura contratada, revisão mensal com relatório e horas de melhoria contínua.
Etapa 04
Continuity
Tudo do Monitor, mais backup criptografado e segregado, teste trimestral de restauração, coordenação de incidente e revisão de continuidade.
Resultado
O que você passa a conseguir demonstrar.
Não prometemos ausência de incidente. Prometemos que, quando alguém perguntar, você tem resposta documentada. Isso vale numa due diligence, numa renovação de contrato enterprise e na madrugada em que algo cair.
Ativos e responsáveis conhecidos
Riscos priorizados e rastreáveis
Mudanças controladas e reversíveis
Alertas acionáveis, com dono e critério
Recuperação validada, não presumida
Incidentes registrados, comunicados e aprendidos
Limites e responsabilidade compartilhada
O que não está incluso, dito antes da proposta.
O que não fazemos
- Pentest dentro do escopo padrão. É projeto separado, com parceiro qualificado
- Correção do código da sua aplicação
- Emissão de certificação SOC 2, ISO 27001 ou PCI DSS
- Qualquer teste sem autorização formal do titular do ambiente
- Plantão humano 24x7 sem contratação expressa dessa cobertura
- Garantia de que nenhum incidente vai acontecer
O que depende de você
- Acessos nominativos e um responsável técnico designado
- Aprovação de mudanças e definição das janelas de manutenção
- Custos de terceiros como cloud, armazenamento, tráfego e licenças
- Validação da restauração junto à área de negócio
- As decisões de aceite de risco, que são sempre suas
Sobre 24x7: a coleta e os alertas são automatizados e funcionam continuamente. O atendimento humano segue a cobertura contratada, que no padrão é 8x5 em dias úteis. Plantão P1 24x7 só é ofertado com equipe dedicada e teste de acionamento comprovado, como adicional contratado.
Investimento
Faixa conhecida antes da conversa.
Operação gerenciada
a partir de R$ 1.500/mês Mais a implantação, cobrada como projeto, e os custos de terceiros discriminados à parte.
- A implantação é cobrada como projeto, com escopo e aceite definidos antes de começar
- A recorrência é mensal e dimensionada por unidade de escopo, como aplicações, hosts e volume de log
- Cloud, armazenamento, tráfego, licenças e impostos são discriminados e não vêm embutidos
- Qualquer excedente ao escopo acordado só entra por change request aprovado
- Reajuste anual pelo IPCA, previsto em contrato
- O valor final sai em proposta depois do discovery, com matriz de escopo anexa
Não trabalhamos com preço fechado antes de olhar o ambiente. Uma proposta feita sem discovery ou vira escopo impossível de cumprir, ou vira conta que você paga depois.
Base técnica
Referenciais que orientam o trabalho.
NIST Cybersecurity Framework 2.0
OWASP ASVS 5.0
CIS Benchmarks aplicáveis
LGPD e regulamentação da ANPD
Usamos esses referenciais como base metodológica de trabalho. Não somos organismo certificador, não emitimos certificação e não afirmamos conformidade em nome do cliente. Quem declara conformidade é você, com base na evidência que passa a ter.
Dúvidas frequentes
As perguntas que sempre aparecem.
Por que recorrência e não um projeto único?
Porque inventário desatualiza, dependência ganha CVE nova, credencial vaza, backup só
vale se for restaurado e alerta sem triagem vira ruído que todo mundo ignora. Um projeto
entrega o baseline. A recorrência é o que mantém esse baseline vivo. Se você só quer a
foto do momento, o Diagnóstico isolado atende e não precisa contratar mais nada.
Como ficam LGPD, contrato e proteção de dados?
O trabalho é formalizado com contrato, SOW e o anexo de proteção de dados aplicável ao
tratamento contratado. Credenciais ficam em cofre de segredos, acessos são nominativos com
MFA e o registro é auditável. Documentos de cliente ficam em sistema segregado e criptografado.
As minutas passam por revisão jurídica antes de qualquer assinatura.
O monitoramento é 24x7 mesmo?
A coleta e o alertamento são automatizados e rodam continuamente. O atendimento humano
segue a cobertura que você contratar, que no padrão é 8x5 em dias úteis. Quando alguém
vende 24x7 sem dizer quem atende às três da manhã de domingo, normalmente está vendendo
o robô e chamando de equipe.
Vocês oferecem SLA?
Só ofertamos SLA quando já existe telemetria, baseline e capacidade operacional comprovada
para aquele ambiente específico. Antes disso trabalhamos com tempo-alvo declarado em proposta,
que é um compromisso de esforço e está descrito como tal. SLA sem medição é número inventado.
Vocês fazem um scan gratuito para mostrar os problemas?
Não. Não testamos nenhum ambiente sem autorização formal do responsável, nem como
demonstração comercial. A primeira conversa é sobre contexto e problema, e não exige
nenhum acesso técnico ao seu ambiente.
Já temos ferramentas contratadas. Vocês substituem?
Em geral não, e isso é bom. O trabalho é transformar o que já existe em processo com dono,
registro e evidência. Quando faz sentido trocar alguma peça, a troca entra como risco e
recomendação no plano de 30, 60 e 90 dias, com o custo explícito, e a decisão é sua.
Quanto tempo até o primeiro resultado concreto?
O Diagnóstico leva de 5 a 10 dias úteis e termina com inventário, registro de riscos
priorizado e plano de 30, 60 e 90 dias. É um entregável que serve mesmo que você não
contrate mais nada depois.
Próximo passo
A primeira conversa é sobre contexto, não sobre acesso.
Conte qual é o cenário atual, o que já existe no ambiente e o que motivou você a procurar isso agora. Nenhum acesso técnico é necessário para essa etapa, e você não precisa ter nada organizado antes de falar com a gente.
Retornamos em até um dia útil. Se preferir, escreva pedindo apenas a matriz de escopo e o modelo de proposta, sem conversa comercial.