Sophos CISO Advantage: finalidade, limites e adoção

O Sophos CISO Advantage ajuda a transformar riscos de segurança num plano de melhoria priorizado e em relatórios compreensíveis para a direção. A oferta destina-se tanto a organizações sem Chief Information Security Officer próprio como a equipas de segurança existentes. Faz parte do Sophos Fusion (anteriormente Sophos Central) e apoia o planeamento do programa de segurança; não é um agente endpoint adicional nem substitui a gestão de incidentes.

Disponibilidade, verificada em 28 de outubro de 2026: a Sophos continua a descrever um lançamento em regiões selecionadas. Isto não confirma disponibilidade na Suíça, para uma entidade jurídica específica ou em todos os tenants Fusion. Antes de planear, confirmar país, modalidade de fornecimento, serviço contratável e data efetiva de início. Um nome de produto visível ou anúncio geral não basta.

Para o fornecimento técnico, é determinante a região de dados do tenant Fusion; a morada da empresa e a região do tenant podem ser diferentes. Antes da encomenda, confirma-se com o parceiro o tenant, a região, a licença e a via de acesso. Na operação por um parceiro, esta verificação também abrange a estrutura concreta de clientes e Estates. Um anúncio geral de disponibilidade não significa que todos os tenants ou estruturas de gestão estejam ativados. Se My Products > CISO Advantage não aparecer, verificam-se estes pontos e a função da conta utilizada, em vez de criar um segundo tenant por tentativa.

A função desta oferta

A Sophos descreve quatro etapas relacionadas: avaliação inicial com dados do ambiente e contexto empresarial, relatórios para a direção, plano de melhoria priorizado e revisão periódica do progresso. A correspondência com referenciais como NIST e CIS pode estruturar o trabalho; não atesta certificação ou conformidade legal.

A diferença prática face a uma vista de alertas está na decisão: que risco afeta que processo, que medida tem prioridade e como se demonstrará a melhoria? Uma recomendação continua a precisar de responsável interno, orçamento e execução aprovada.

Segundo a Sophos, o CISO Advantage pode ser utilizado por uma equipa interna ou com um parceiro de serviços. Não inclui automaticamente um mandato pessoal de CISO, transferência da responsabilidade da direção ou consultoria ilimitada. O apoio efetivamente prestado deve constar do contrato concreto.

Distinguir dos serviços relacionados

O Account Health Check verifica proteções Sophos e definições concretas do tenant. O CISO Advantage trata a avaliação e priorização global do programa de segurança. Um bom indicador de saúde não substitui essa avaliação.

MDR e MDR Plus dizem respeito à monitorização e resposta a ameaças ativas. O Managed Risk procura vulnerabilidades na superfície de ataque acordada. Um relatório estratégico não ativa nem fornece automaticamente estes serviços. Um Security Services Retainer também é um modelo de contratação separado, com trabalhos a delimitar.

Confirmar previamente a licença e o âmbito do serviço

A Sophos oferece uma licença Term anual para operação na própria empresa ou com um parceiro de serviços e uma subscrição mensal através do MSP Flex. Estes modelos são descritos no anúncio público de disponibilidade geral. A plataforma, por si só, não inclui o produto nem horas de consultoria pessoal.

Os modelos utilizam unidades de quantidade diferentes. No MSP Summit público, a Sophos explica Term por utilizador e MSP Flex por cliente gerido, mensalmente com uma licença independentemente da dimensão da organização. A política geral de licenciamento com data de 16 de outubro de 2026 apresenta o CISO Advantage como subscrição por utilizador, sem desenvolver esta distinção do Flex. Por isso, regista-se o modelo concreto na proposta e no License Schedule. Uma proposta Term não é calculada com base no número de tenants de clientes; no Flex, não se deve confundir o número de utilizadores com a unidade mensal por cliente. A consultoria adicional acordada é descrita separadamente. A verificação geral de licenças no Sophos Fusion não substitui esta verificação específica do produto.

O que se regista manualmente e em que ajuda a IA

O processo atual começa com um perfil da organização e um questionário. Os responsáveis descrevem o estado dos controlos de segurança, avaliam-no e acrescentam provas. O CISO Advantage não recolhe atualmente provas de forma automática a partir de produtos Sophos ou de terceiros. Um produto Fusion existente e a sua telemetria não substituem, por isso, nem as respostas nem os comprovativos. A visão geral de utilização da Sophos apresenta expressamente o perfil, a avaliação respondida, as provas e os objetivos como etapas de trabalho.

A IA pode explicar o conteúdo de um controlo e preparar formulações ou avaliações. Em Analyze conversation, é possível analisar uma transcrição VTT aprovada de uma conversa face a uma avaliação. Seleciona-se o referencial completo, determinadas secções ou perguntas individuais, confirma-se o consentimento necessário dos participantes e inicia-se Analyze. Em Review changes, verificam-se as sugestões; podem aceitar-se seletivamente pontuações, notas ou ambas e editá-las antes da aceitação. Trata-se de uma análise assistida da informação fornecida, não de uma auditoria de segurança autónoma. O processo documentado exige expressamente a verificação humana.

O CISO Advantage Plus, com garantia contínua, extensões de governação e conformidade automatizada, é descrito no anúncio de disponibilidade geral para 2027. Daqui não resulta uma data de entrega vinculativa nem uma validação automática de controlos disponível atualmente. Para a aceitação, contam as funcionalidades efetivamente disponibilizadas e os resultados verificados.

Do perfil à avaliação publicada

Uma avaliação é uma análise estruturada face a um referencial selecionado. Antes de começar, definem-se a responsabilidade técnica, a organização abrangida e o período de avaliação. Para um piloto de dimensão controlada, é adequado um referencial aprovado com alguns controlos bem conhecidos. Não é necessário enfraquecer deliberadamente uma configuração de produção para este efeito.

Definir o perfil e o modelo de avaliação

Em My Products > CISO Advantage, o assistente orienta o preenchimento do perfil da organização. Organizational context descreve, por exemplo, o setor, o número de colaboradores e o volume de negócios. Additional context acrescenta objetivos empresariais, histórico de risco e dependência da IT. Os valores desconhecidos são registados como tal; uma precisão inventada também distorceria os impactos modelados. Para os relatórios posteriores, ambas as partes do perfil têm de estar completas. Um perfil existente pode ser atualizado em Assessments > Update profile.

O referencial depende do objetivo efetivo da análise. A ajuda sobre referenciais distingue três modelos:

A versão exata e a seleção são verificadas no tenant antes de começar, por exemplo, para CIS v8, NIST CSF 2.0 ou NIS2. Se um determinado referencial, como AIUC-1, for um requisito contratual, a sua disponibilidade é confirmada previamente. ISO-Aligned Assessment não é uma certificação ISO; Cyber Essentials não garante uma certificação Cyber Essentials Plus. Não se podem comparar pontuações de modelos diferentes como se fossem percentagens idênticas.

Responder aos controlos e definir objetivos

O processo de avaliação está documentado da seguinte forma:

1. Abrir Assessments > Create Assessment. Definir Framework, uma designação Label inequívoca e Period start, por exemplo, Avaliação inicial outubro de 2026 com o início efetivo da avaliação. O nome é de escolha livre. Criar com Create Assessment.
2. Expandir uma secção e abrir um controlo. Em Overview, registar o Deployment status efetivo e, se necessário, Remediation. Nos referenciais baseados em maturidade, escolher o nível de maturidade que se possa comprovar.
3. Em Overview, utilizar Owner e Target Date para definir quem trata da melhoria e até quando. Em Additional information, explicar a implementação e as lacunas conhecidas. As respostas são guardadas automaticamente.
4. Definir valores-alvo em CISO Advantage > Targets para cada Framework, aplicar com Apply e guardar com Save. Para uma avaliação individual, podem definir-se valores diferentes no respetivo separador Targets.

Um objetivo tem de ser adequado ao risco, ao orçamento e ao calendário. Nem todos os controlos precisam imediatamente do nível máximo de maturidade. A ajuda sobre Targets também descreve desvios por secção e prioridades por Implementation Groups. N/A retira um controlo do cálculo da pontuação; por isso, a seleção exige uma justificação técnica do âmbito e não serve para melhorar apenas a aparência do valor.

Associar provas e registar o resultado

Uma prova deve sustentar a resposta concreta, por exemplo, um comprovativo de configuração expurgado de dados sensíveis ou o registo de um teste de restauro efetivamente realizado. Antes do carregamento, verificam-se o acesso, a confidencialidade e o conteúdo permitido. Palavras-passe, tokens e dados pessoais desnecessários não devem constar do ficheiro.

Em My Products > CISO Advantage > Evidence > Add evidence, atribui-se um nome e uma descrição à prova; o ficheiro é acrescentado em Attachments. Com Add controls, selecionam-se a avaliação e os controlos correspondentes, seguindo-se Submit evidence. Em Actions > Assign to controls, podem associar-se posteriormente provas existentes a outros controlos. Em alternativa, acrescentam-se na avaliação ou diretamente no separador Evidence de um controlo. A ajuda sobre provas explica estas opções.

Após a associação, abre-se novamente o mesmo controlo: o ficheiro, a descrição, a data e a implementação efetiva correspondem à resposta? Uma captura de ecrã antiga ou um teste apenas planeado não são suficientes como prova atual de eficácia. Em Findings da avaliação, verificam-se as respostas em aberto, o cumprimento dos objetivos e as comparações disponíveis. A avaliação só é publicada após verificar as respostas, as provas e os objetivos. Só pode existir um rascunho por referencial de cada vez; por isso, uma nova avaliação é articulada com o trabalho existente.

Criar um relatório e verificar o seu conteúdo

A ajuda sobre relatórios exige ambas as partes do perfil e pelo menos uma avaliação publicada. Se faltar uma destas condições, o CISO Advantage pede a sua conclusão.

1. Abrir CISO Advantage > Reporting > Create report.
2. Selecionar a avaliação pretendida, introduzir o nome do responsável pela avaliação e concluir o assistente.
3. Na vista de personalização, ocultar secções inadequadas e verificar ou editar os textos gerados por IA. Para a direção, são importantes os impactos e as prioridades; a IT precisa também de lacunas concretas e etapas de implementação.
4. Guardar com Save report e gerar o ficheiro através de Render PDF. Antes da partilha, verificar os destinatários, o período, o âmbito e as informações de segurança incluídas.

Os impactos financeiros modelados são estimativas baseadas nos dados introduzidos, não valores de prejuízo garantidos. Uma comparação setorial só é significativa se existirem dados comparáveis adequados. O plano de melhoria proposto é verificado face ao risco, às dependências, ao esforço e aos responsáveis disponíveis; um texto gerado automaticamente não substitui esta decisão.

Para acompanhar o progresso, repete-se posteriormente a avaliação com um âmbito comparável e o mesmo referencial. No relatório e em Findings, comparam-se as diferenças com as medidas efetivamente implementadas. Uma pontuação mais elevada sem novas provas não comprova uma melhoria técnica. Se faltar o relatório, começa-se por verificar a completude do perfil e o estado publicado da avaliação. Se faltar o progresso esperado, comparam-se o período, o referencial, os valores-alvo e as novas provas, antes de alterar respostas apenas para melhorar o indicador.

Preparar um início útil

A preparação seguinte é uma recomendação da Avanet, não um percurso de interface documentado:

1. Definir a decisão. Por exemplo, o próximo orçamento deve justificar as três melhorias de segurança prioritárias para um processo crítico. Indicar período e direção responsável.
2. Registar a situação inicial. Reunir serviços críticos, produtos de proteção, riscos conhecidos, responsáveis e medidas previstas. Assinalar explicitamente dados ausentes ou desatualizados.
3. Delimitar o trabalho. Confirmar disponibilidade nacional, número de licenças, duração, utilização interna ou gerida pelo parceiro, relatórios esperados e eventual consultoria. Definir também acesso aos dados, destinatários e conservação dos relatórios.
4. Tornar os resultados verificáveis. Acordar, para cada medida prioritária, risco, processo afetado, responsável, prazo, esforço e estado final observável. Um resumo de IA, por si só, não constitui prova.
5. Planear a revisão. Reavaliar o mesmo âmbito com os mesmos critérios na data acordada. As alterações técnicas são aprovadas e verificadas através do guia do produto correspondente.

Sem disponibilidade nacional, dados de base ou entregáveis claros, a contratação permanece pendente. Perante um ataque em curso, usar o processo de incidentes acordado; uma avaliação estratégica não é um canal de emergência.