Software de gestão de evidências para compliance e auditorias

Não basta documentar o compliance. É preciso prová-lo.

Com a Complaica, gere as evidências de compliance — por exemplo, para a ISO 27001 e o IT-Grundschutz do BSI — juntamente com os requisitos, riscos e medidas a que pertencem. As alterações relevantes são registadas automaticamente; as evidências registadas mantêm-se rastreáveis ao longo do tempo e verificáveis de forma independente. Uma cadeia de evidências ligada criptograficamente e selos temporais qualificados eIDAS asseguram os estados selecionados — do primeiro âmbito até à auditoria.

01Uma cadeia de evidências contínua ao longo de todo o ciclo de vida do compliance
02Evidências automáticas a partir do âmbito, das necessidades de proteção, dos riscos e das medidas
03Regras de eventos configuráveis e selos temporais qualificados eIDAS
04Integridade verificável criptograficamente e histórico completo
05Verificação independente e evidências de auditoria exportáveis

Pedir conta de teste Solicitar lista de preços

Cadeia de evidências

Cadeia de evidências Conceito de compliance SGSI 2026

#1288 Auditoria concluída Auditoria interna SGSI 2026 b5a7b218…a964 eIDAS
#1287 Constatação encerrada F-07 Gestão de patches 7cc5e4d5…cd40
#1283 Risco residual aceite R-12 Acesso não autorizado 1b17a798…bf7f eIDAS
#1280 Configuração Terraform registada fw-dmz.tf 3a1424f5…d73a
#1279 Medida concluída M-114 Segmentação de rede DMZ 32bf5712…c47c

Cadeia verificada 1.288 eventos Último ponto de controlo 12/10/2026

EVIDENCE 01

Uma cadeia de evidências para cada conceito de compliance

Quando um conceito de compliance é criado na Complaica, começa também a sua cadeia de evidências.

A cadeia documenta estados, decisões e alterações relevantes ao longo de todo o ciclo de vida. Cada evento registado faz referência aos objetos afetados e é ligado criptograficamente ao histórico anterior.

A cadeia torna-se assim a cronologia verificável do conceito de compliance — desde a estrutura inicial, passando pela avaliação de riscos e pela implementação de medidas, até à auditoria.

A organização decide quais os eventos registados automaticamente e quando são criados selos temporais eletrónicos qualificados.

EVIDENCE 02

Evidências de compliance para a ISO 27001 e o IT-Grundschutz do BSI

Normas como a ISO 27001 e o IT-Grundschutz do BSI exigem evidências documentadas: do tratamento do risco, das medidas, das auditorias internas e da revisão pela gestão. Um exemplo de um conceito SGSI mostra como uma decisão sobre um risco se torna uma evidência que um auditor pode verificar.

Exemplo de um conceito SGSI

01 Aprovar o tratamento do risco R-12 Acesso não autorizado A administração aprova o tratamento do risco. A Complaica regista a decisão, o autor e o momento como evento de evidência.
02 Implementar a medida M-114 Segmentação de rede DMZ As operações de TI implementam a medida. As alterações de estado e o commit Terraform do pipeline entram na mesma cadeia.
03 Registar a evidência técnica Pentest-Bericht_DMZ_2026-Q3.pdf O relatório do fornecedor externo de testes é registado com o seu hash e ligado à medida, ao risco e a A.8.20.
04 Ancorar o estado no tempo Ponto de controlo · eIDAS Um selo temporal qualificado confirma o estado da cadeia nesse momento. Ao prestador de serviços de confiança chega apenas o valor hash.
05 Exportar um pacote de verificação verification-package_ISMS-2026_1288.zip Para a auditoria, o responsável de segurança exporta um pacote com os dados dos eventos, valores hash, provas de encadeamento e o selo temporal.

O que veem os responsáveis

Para cada requisito, o estado atual e as evidências em que se apoia
Quem tomou uma decisão ou concluiu uma medida — e quando
Onde faltam evidências ou estão mais antigas do que o previsto

O que recebe o auditor

O histórico do requisito: avaliação, decisão sobre o risco, medida, evidência
Um pacote de verificação cuja integridade e selo temporal se verificam sem acesso à Complaica
A base para o seu juízo — se uma evidência basta quanto ao conteúdo continua a ser o auditor a decidir

Mais exemplos: do requisito à auditoria

ISO 27001 · 8.3 Tratamento de riscos de segurança da informação
1. Plano de tratamento do risco
2. Aprovação dos riscos residuais
3. Medidas com responsáveis
4. Histórico de decisões
5. Verificação na auditoria
ISO 27001 · 9.3 Revisão pela gestão
1. Entradas da revisão
2. Ata e decisões
3. Medidas resultantes
4. Ponto de controlo com selo temporal eIDAS
5. Verificação na auditoria
IT-Grundschutz · Determinação das necessidades de proteção (norma BSI 200-2)
1. Necessidades de proteção dos processos de negócio
2. Herança para aplicações e sistemas de TI
3. Aprovação da avaliação
4. Histórico de alterações
5. Verificação na auditoria
IT-Grundschutz · NET.1.1 Arquitetura e conceção da rede
1. Modelação da rede
2. Verificação IT-Grundschutz dos requisitos
3. Configuração da firewall a partir do Terraform
4. Relatório do teste de intrusão
5. Verificação na auditoria

A Complaica regista o que foi decidido, implementado e evidenciado, e torna esse histórico verificável. Isso, por si só, não torna uma organização conforme.

Pedir lista de preços

… ou pergunte simplesmente pelo WhatsApp.

EVIDENCE 03

Gerir as evidências de compliance ao longo de todo o ciclo de vida

Seis fases, uma cadeia. Em cada fase, a Complaica regista os eventos que mais tarde mostram o que estava em vigor em cada momento e quem o decidiu.

01
01 · Gestão do âmbito

O âmbito torna-se rastreável.
A Complaica documenta o âmbito de um conceito de compliance, incluindo as suas estruturas organizacionais e técnicas.
As alterações relevantes são registadas na cadeia de evidências e permanecem rastreáveis ao longo do tempo.

O que se torna demonstrável

É possível rastrear que unidades organizacionais, processos e ativos faziam parte do âmbito num determinado momento.
Eventos de evidência típicos
- e428690 Conceito de compliance criado Selo temporal qualificado (eIDAS)
- 82069a0 Âmbito definido ou alterado
- af5cdda Unidade organizacional adicionada ou removida
- fe96c5f Processo de negócio atribuído ao âmbito
- 8009ee1 Ativo adicionado ou alterado
- 221a257 Versão da estrutura aprovada
02
02 · Necessidades de proteção e classificação

Avaliações com uma base rastreável.
As avaliações das necessidades de proteção e as classificações são ligadas aos objetos afetados e documentadas ao longo do tempo.

O que se torna demonstrável

Não se vê apenas o resultado atual, mas também a evolução das avaliações e o seu enquadramento no tempo.
Eventos de evidência típicos
- 7b56aef Necessidade de proteção de um ativo avaliada
- 2fd5ca4 Avaliação alterada
- 0da7c18 Necessidade de proteção herdada atualizada
- 5591da7 Criticidade de um processo de negócio ajustada
- 90b0551 Avaliação confirmada ou aprovada Selo temporal qualificado (eIDAS)
03
03 · Requisitos e avaliações de compliance

Cada avaliação no contexto dos seus requisitos.
A Complaica liga requisitos de diferentes normas a controlos, medidas e às respetivas avaliações.

O que se torna demonstrável

Para cada requisito, é possível rastrear que avaliação estava em vigor em cada momento e em que evidências se apoiava.
Eventos de evidência típicos
- 3d397df Requisito avaliado
- 25e20e2 Estado de conformidade alterado
- 4391a42 Justificação atualizada
- 206115a Evidência atribuída
- 159098b Desvio identificado
- 34c0416 Avaliação aprovada
04
04 · Gestão de riscos

Da identificação do risco a uma decisão verificável.
Riscos, avaliações e decisões de tratamento são documentados em conjunto com os ativos, processos e requisitos afetados.

O que se torna demonstrável

As decisões sobre riscos podem ser rastreadas ao longo de todo o seu ciclo de vida.
Eventos de evidência típicos
- 6ec6b44 Risco identificado
- 7fb0e35 Probabilidade ou impacto avaliados
- 068095c Avaliação do risco alterada
- 95da879 Tratamento do risco decidido
- 572681e Risco residual aceite Selo temporal qualificado (eIDAS)
- 19b8fcc Risco reavaliado
05
05 · Medidas e implementação técnica

Da decisão à implementação efetiva.
A Complaica liga as medidas a requisitos, riscos e às evidências da sua implementação.
A cadeia de evidências documenta alterações e aprovações relevantes. Através de integrações, também é possível registar artefactos e eventos técnicos externos.

O que se torna demonstrável

Torna-se visível a ligação entre o requisito de negócio, a decisão organizacional e a implementação técnica.
Eventos de evidência típicos
- ecf3934 Medida criada ou alterada
- e4ebdce Responsável atribuído
- f85c5f2 Estado de implementação atualizado
- ff4cad8 Medida concluída
- f3e74e3 Evidência de implementação adicionada
- bb6522c Configuração Terraform registada
- 5019ad1 Resultado da implementação registado
- e08c42f Configuração técnica verificada
Exemplo de uma cadeia de evidências ligada
1. Requisito de segurança
2. Medida
3. Pedido de alteração
4. Commit Terraform
5. Configuração da firewall
6. Verificação
06
06 · Auditorias e melhoria contínua

Pronto para a auditoria — com um histórico verificável.
As auditorias acedem ao estado atual dos dados de compliance e ao histórico documentado dos eventos relevantes.

O que se torna demonstrável

Os auditores podem rastrear que avaliações, medidas e evidências estavam registadas num determinado momento.
Eventos de evidência típicos
- 53fe039 Auditoria iniciada
- 980f257 Âmbito da auditoria definido
- 2bb0a72 Evidências analisadas
- 185949e Constatação registada
- d06539c Ação corretiva definida
- 6e11303 Constatação encerrada
- 561fbb7 Auditoria concluída Selo temporal qualificado (eIDAS)
- d19f1a9 Ponto de controlo qualificado criado Selo temporal qualificado (eIDAS)

EVIDENCE 04

Registar evidências automaticamente no trabalho diário

A cadeia de evidências não é compilada à mão depois dos factos. A Complaica regista os eventos relevantes no momento em que ocorrem.

Regras configuráveis definem:

01Que tipos de objeto são monitorizados.
02Que alterações contam como evento de evidência.
03Que alterações de estado são ignoradas.
04Que metadados e estados dos objetos são registados.
05Que eventos geram automaticamente um selo temporal qualificado.

Pedir conta de teste

Regras de eventos

Conceito de compliance SGSI 2026

Adicionar regra

Objeto	Evento	Cadeia de evidências	Selo temporal qualificado
Conceito de compliance	Criado	Automático	Sim
Âmbito	Alterado	Automático	Não
Ativo	Necessidade de proteção aprovada	Automático	Sim
Risco	Avaliação alterada	Automático	Não
Risco	Risco residual aceite	Automático	Sim
Medida	Concluída	Automático	Não
Auditoria	Encerrada	Automático	Sim

EVIDENCE 05

Registar documentos externos e evidências técnicas

Nem todas as evidências relevantes surgem dentro da Complaica. Os utilizadores podem registar a qualquer momento objetos, documentos ou artefactos técnicos adicionais na cadeia de evidências.

No registo são guardados o hash criptográfico, a identidade do objeto, a fonte, o momento e os metadados associados. O registo pode ser ligado a requisitos, riscos, medidas, ativos ou auditorias.

Exemplos

Política de segurança da informação em PDF
Conceito de segurança aprovado
Relatório de auditoria externa
Resultado de um teste de intrusão
Ficheiro de configuração da firewall
Manifesto Terraform
Relatório de incidente do SIEM
Certificado de um fornecedor

Registar evidência

Ficheiro

Relatorio-pentest_DMZ_2026-T3.pdf PDF · 2,4 MB · SHA-256 aa05bc43…ca54

Ligar a

M-114 Segmentação de rede DMZ

R-12 Acesso não autorizadoA.8.20 Segurança de redes

Fonte

Prestador externo de testes

Descrição

Teste de intrusão à DMZ após a conclusão da segmentação de rede, relatório final.

Criar selo temporal qualificado Ao prestador de serviços de confiança só é enviado o valor de hash.

Cancelar Registar

EVIDENCE 06

Cadeia de evidências com selos temporais qualificados eIDAS

Cada evento de evidência é ligado criptograficamente ao histórico anterior. Assim, alterações posteriores tornam-se detetáveis.

Para os estados escolhidos podem ser criados selos temporais eletrónicos qualificados nos termos do eIDAS. Confirmam o estado criptográfico da cadeia num determinado momento e permitem verificar de forma independente a sua ancoragem no tempo.

Hash da evidência

Identifica o conteúdo ou o estado registado.

Cadeia de evidências

Liga criptograficamente os eventos registados entre si.

Selo temporal qualificado

Confirma de forma independente que um determinado estado da cadeia existia, o mais tardar, no momento indicado.

Um ponto de controlo abrange todo o histórico registado até esse momento.

Evento 001 d56bc121 eIDAS
Evento 002 dfe4f0b6
Evento 003 c256f59f eIDAS
Evento 004 e6e64286
Evento 005 e9a8facd eIDAS

Ponto de controlo no evento 001

Ponto de controlo no evento 003 · abrange os eventos 001⁠–⁠003

Ponto de controlo no evento 005 · abrange os eventos 001⁠–⁠005

Os selos temporais são emitidos por um prestador qualificado de serviços de confiança. Os dados e documentos em si não precisam de lhe ser enviados.

Obter uma conta

… ou pergunte simplesmente pelo WhatsApp.

EVIDENCE 07

Rastrear evidências de auditoria no explorador da cadeia

A Complaica oferece uma vista navegável da cadeia de evidências.

Os utilizadores podem

01Percorrer os eventos por ordem cronológica.
02Abrir blocos individuais.
03Consultar valores de hash e ligações.
04Navegar até aos objetos originais na Complaica.
05Abrir documentos externos e artefactos técnicos, quando disponíveis e autorizados.
06Verificar selos temporais qualificados e o estado da verificação.
07Reconstituir estados históricos.
08Analisar eventos e evidências relacionados.

Explorador da cadeia

Explorador da cadeia de evidências Pesquisar hash, objeto ou ator

Bloco #1279

Medida concluída

Hash: 32bf57129b9e9c283bcfcb8f0fc16ed23d168283af8bd558a3c6f33d7abfc47c
Hash anterior: 241fabff52eff6ea9854e96fda0f0fc912f2684bf7ccde289a7ccc042eb39a99
Objeto de origem: M-114 Segmentação de rede DMZ
Ator: T. Yilmaz
Momento: 08/10/2026, 14:02 UTC
Verificação: Integridade verificada
Selo temporal qualificado: Nenhum — abrangido pelo ponto de controlo seguinte