Para as empresas que defendem redes. Com clareza também sobre quem não pode usar esta solução.
O processo de análise de um fornecedor de segurança é lido à luz da sua própria atividade. Os clientes incluem as suas obrigações de segurança de rede nos termos contratuais com os fornecedores. Os regimes de exportação distinguem ferramentas pelo que fazem e pelo que o fabricante sabe. Os investidores pedem registos da atividade que mostrem de que lado desses limites a empresa atua. Uma instalação soberana produz esse registo dentro do perímetro do fornecedor, à medida que o trabalho decorre.
A análise decorre ao abrigo de um acordo de confidencialidade mútuo, com os responsáveis de segurança e tecnologia do fornecedor. Nada é carregado nem colocado em teste.
Responda à análise prévia sem abrir todo o processo técnico.
Um questionário do cliente solicita material de segurança comprovativo. Diferentes revisores podem necessitar de informações diferentes.
Reutilize o contexto de trabalho e mantenha deliberadas as decisões sobre divulgação.
Fluxo de trabalho ilustrativo. A configuração e a disponibilidade da funcionalidade são confirmadas para cada projeto.
Resposta ao questionário de segurança do cliente
- Pedido
- A versão do questionário e o revisor nomeado do cliente.
- Resposta
- Respostas aprovadas e o material complementar permitido.
- Controlo
- Os destinatários acordados e as perguntas pendentes.
Obrigações transmitidas por contrato e controlos que dependem do conhecimento.
Cada entrada apresenta uma regra publicada e a respetiva fonte primária. Determinar se um produto, transferência ou cliente concreto está abrangido cabe ao fornecedor e aos seus assessores jurídicos, nunca à plataforma.
A mostrar regras para União Europeia
O argumento desta página mantém-se com qualquer seleção. As citações mudam.
Todas as jurisdições são apresentadas abaixo, agrupadas e identificadas.
União Europeia
- Export control
Europe reaches unlisted cyber-surveillance items on end-use grounds. Exporting a cyber-surveillance item on no list still requires authorisation where the competent authority so informs the exporter, and an exporter aware through its own due diligence that such an item is intended for internal repression or serious violations of human rights or international humanitarian law must notify the authority. A due-diligence duty is a documentation duty: findings, dates, decisions.
- Export control
The Commission published guidelines for exporters on exactly this duty. The Commission published guidelines for exporters on exactly that duty, on 11 October 2024.
- Network security
Security providers are themselves in the network rules. Managed service providers and managed security service providers are themselves among the sectors of high criticality of the network-security directive. The obligations of every regulated customer arrive at the vendor as flow-down questionnaires, contract terms and evidence requests, answered from the vendor’s own records, repeatedly.
Estados Unidos
- Export control
The export exception is written for defenders and withdrawn at knowledge. The United States authorises exports of cybersecurity items under a dedicated licence exception whose availability ends where the exporter knows, or has reason to know, that the item will be used to affect the confidentiality, integrity or availability of information or information systems without authorisation from the system’s owner, operator or administrator. The regime draws the defensive line at what the maker knows; what a vendor knew and documented becomes the operative fact.
As entradas do registo são publicadas apenas em inglês e citam cada instrumento pelo respetivo nome oficial.
O registo das ações do fornecedor, segundo as suas próprias regras.
Uma empresa de segurança aplica padrões de proteção dentro do seu próprio perímetro; a sua infraestrutura de conformidade deve respeitá-los. Numa instalação soberana, a captação de capital, a análise dos clientes e o processo de diligência de exportação funcionam em infraestrutura controlada pelo fornecedor. A documentação dos produtos e os materiais de investigação têm acesso mais restrito do que a apresentação comercial, com restrições por jurisdição, pessoa e documento segundo as regras do fornecedor. Cada concessão de acesso, consulta e resolução torna-se uma entrada datada e assinada no momento em que ocorre. O registo criado nessa altura permite apurar o que o fornecedor sabia, verificou e decidiu sobre um cliente ou uma transferência, e quando, precisamente os factos relevantes para regimes que dependem do conhecimento.
A descrição do perímetro depende da configuração: com verificação de identidade, triagem e correio no modo próprio do fornecedor, nenhum documento, chave ou evento sai do perímetro em funcionamento normal. Nos modos de carimbo temporal ligados à rede, a única saída é uma impressão digital SHA-256 para obtenção de um carimbo temporal independente. A equipa de segurança do fornecedor aprova cada atualização antes da sua instalação.
A linha é traçada aqui, nesta página.
Esta página dirige-se a empresas que defendem sistemas de informação: deteção e resposta, serviços de segurança geridos, investigação de vulnerabilidades segundo normas de divulgação responsável e fornecedores que desenvolvem ferramentas para estas atividades. Não se dirige a empresas que negoceiam exploits de dia zero, oferecem serviços de ciberataque, vigilância por encomenda ou serviços de informações que dependem de uma supervisão fraca. O Exedra Gate não lhes oferece instalações soberanas. O produto assenta em provas verificáveis; a procura motivada pela opacidade exige o contrário e é recusada.
Dito antes de ser perguntado.
- SEM LICENÇA
Nenhuma conclusão sobre controlo de exportações. A plataforma não classifica artigos nem determina requisitos de licença ou notificação. Os seus registos de acesso são prova das ações, não uma autorização. Determinar se uma exceção se aplica a uma transferência cabe ao exportador, com os seus assessores jurídicos e a autoridade competente.
- NÃO É UM ESCUDO
Nenhuma garantia de segurança para qualquer produto. A plataforma conserva o registo de conformidade e análise do fornecedor; não reforça a segurança de qualquer produto, não certifica práticas nem torna seguro o fornecedor ou o seu cliente. Cabe ao fornecedor formular e comprovar as afirmações sobre o seu próprio produto.
- SEM COBERTURA
Um registo não constitui, por si só, uma defesa. Um histórico datado da análise prévia mostra o que era conhecido e o que foi decidido. Só ajuda na medida em que as ações registadas foram adequadas. Não legitima condutas indevidas nem protege das consequências de uma má decisão que documenta fielmente.
O questionário regressa todos os anos. As respostas não deviam ter de ser reconstruídas.
Uma análise da arquitetura com os responsáveis de segurança e tecnologia do fornecedor, sob acordo de confidencialidade mútuo, abrange as opções de instalação, as escolhas de configuração e as consequências para as afirmações possíveis, bem como o âmbito de uma contratação para os processos de captação de capital e de análise prévia. Basta uma breve nota sobre a atividade e as suas jurisdições para começar.
O Exedra Gate é uma plataforma tecnológica, não um intermediário financeiro, corretor, custodiante, prestador de serviços de depósito fiduciário ou consultor de investimento. Nunca detém, encaminha ou liquida fundos de investidores, não recomenda ofertas a investidores e não cobra comissões de sucesso. Não classifica artigos em listas de controlo de exportações, não determina se uma licença, exceção ou notificação se aplica e não garante a segurança de qualquer produto. As instalações soberanas destinam-se às empresas de segurança defensiva descritas acima, não a negociantes de exploits nem a prestadores de serviços de ciberataque ou vigilância. Cada instalação soberana é um projeto de implementação com âmbito definido para o cliente. Os registos e carimbos temporais atestam a integridade e a existência numa determinada data, não a legalidade de uma exportação ou transação; esse juízo cabe ao fornecedor e aos seus assessores jurídicos.
As referências regulamentares nesta página são orientativas, não constituem aconselhamento jurídico: ver Fontes e verificação.