Patrocinados
ISO 27001 na prática: o que muda na arquitetura de um SaaS de service desk enterprise
Neste artigo· 7 seções
TL;DR: Softwares de service desk concentram dados corporativos sensíveis, de credenciais de infraestrutura a solicitações confidenciais de RH. Neste artigo, a Milvus detalha o que mudou na arquitetura da plataforma com a emissão da certificação ISO 27001 pela QMS Certification, os pilares técnicos auditados e os critérios que CTOs e CISOs devem exigir ao homologar um SaaS de TI.
Na arquitetura de TI moderna, o modelo SaaS transfere parcelas críticas da operação para a nuvem. Poucas aplicações, porém, concentram uma carga de dados tão confidencial quanto o service desk. Dentro de uma plataforma de gestão de chamados trafegam credenciais de rede, solicitações sigilosas de RH, informações financeiras, logs de infraestrutura e sessões ativas de suporte com acesso remoto aos endpoints da empresa.
Se esse ecossistema não estiver sob governança estrita e auditável, a ferramenta que deveria sustentar a operação vira um dos vetores de entrada mais expostos da cadeia de fornecedores.
Com as comemorações de seus 10 anos de mercado e a emissão do certificado ISO 27001 pela QMS Certification, a Milvus consolidou a implementação de um Sistema de Gestão de Segurança da Informação (SGSI) em nível enterprise.
Mas o que muda de fato no código, na infraestrutura e na gestão de incidentes? A seguir, o comparativo técnico do que a certificação formalizou e os critérios que valem para qualquer avaliação de fornecedor.
O que a certificação formalizou na arquitetura
A certificação não é apenas um selo comercial. É uma reengenharia de cultura, de desenvolvimento de software e de operação de infraestrutura, com evidência auditável.
A Milvus já operava com padrões consolidados ao longo de seus 10 anos. A chancela da QMS Certification marcou a transição de boas práticas internas para um sistema de gestão formalizado, documentado e verificado por auditoria independente. O comparativo:
| Componente | O que já existia | O que a certificação formalizou | Impacto para o cliente enterprise |
|---|---|---|---|
| Gestão de vulnerabilidades | Testes de segurança periódicos e rotinas de correção | Pipeline DevSecOps com análise estática (SAST) e dinâmica (DAST) na esteira CI/CD, mais pentests de terceiros | Prevenção contínua. Vulnerabilidades são barradas antes de entrar em produção |
| Homologação de fornecedor | Resposta manual a questionários extensos de segurança, com semanas de ida e volta | Certificado internacional emitido pela QMS como prova de conformidade | Redução no tempo de aprovação pelo comitê de segurança do cliente |
| Tratamento de dados e LGPD | Controles lógicos e conformidade com a legislação brasileira | SGSI documentado e rastreável: matriz de riscos formal, auditoria de logs, RBAC granular e criptografia | Evidência técnica e documental em auditorias de privacidade |
| Continuidade e recuperação | Backups diários em nuvem e planos de recuperação | Processos de disaster recovery testados de forma sistemática, com RPO e RTO definidos | Previsibilidade de retomada em caso de falha de infraestrutura |
A arquitetura do SGSI sob auditoria
Durante o processo conduzido pelos auditores, a infraestrutura em nuvem da Milvus foi verificada em pilares técnicos que hoje formam a espinha dorsal da plataforma.
1. Segregação lógica e isolamento multi-tenant
Em operações de Enterprise Service Management, onde TI, RH e Jurídico operam no mesmo software, o isolamento de dados precisa ser garantido em nível de banco. A certificação valida os mecanismos de controle de acesso baseado em papéis (RBAC): um usuário de Facilities não enxerga chamados confidenciais ou relatórios da diretoria de TI.
2. Acesso remoto nativo e criptografia
Um dos recursos mais avaliados foi o módulo de acesso a distância. Diferente de plataformas que dependem de integração com executáveis de terceiros, o que amplia a superfície de ataque, o acesso remoto da Milvus é nativo. Segundo a empresa, essas conexões operam sob túneis criptografados, com autenticação multifator, gravação de sessões e trilha de log, eliminando conexões paralelas não rastreáveis na rede do cliente.
3. Rastreabilidade e auditoria
Cada alteração de permissão, exclusão de registro ou exportação de relatório gera um evento estruturado de auditoria. Protegidos contra adulteração, esses logs permitem que equipes de SOC façam análise forense em investigações internas ou auditorias de LGPD.
Automação por IA dentro do perímetro auditado
Durante o Milvus Summit, a empresa assumiu publicamente um compromisso: a IA nativa da plataforma resolve 25% dos chamados recebidos de forma autônoma, sem intervenção humana.
A preocupação recorrente dos CISOs com automação é a chamada shadow AI: ferramentas que usam dados sensíveis da empresa para treinar modelos públicos, gerando vazamento de propriedade intelectual.
De acordo com a Milvus, a IA generativa da plataforma opera dentro do escopo coberto pela certificação, o que significa:
- Sem retenção para treinamento: os dados dos chamados não treinam modelos de terceiros.
- Triagem segura: a IA barra tentativas de engenharia social, como pedidos falsos de reset de senha, antes de chegarem a um atendente.
- Automação sob governança: o ganho de produtividade ocorre dentro do ambiente auditado.
O checklist do CTO: 4 critérios ao contratar SaaS de TI
Seja para substituir planilhas de inventário ou para rever o custo total da operação de suporte, a liderança de TI deve aplicar este crivo:
- Exija o certificado, não a promessa. Não aceite “estamos em processo de certificação” nem “nosso provedor de nuvem tem ISO”. A certificação precisa ser da empresa que desenvolve o software, emitida por organismo acreditado, e o escopo precisa cobrir a operação que você vai contratar.
- Verifique a ferramenta de conexão remota. Se o service desk não tem acesso remoto seguro embarcado, a equipe vai improvisar com ferramentas paralelas na rede corporativa.
- Avalie jurisdição e moeda. Verifique sob qual legislação os dados são tratados e em que moeda o contrato é cobrado. Dados regidos pela LGPD e faturamento em reais eliminam duas variáveis do contrato: a jurisdição aplicável em caso de incidente e a exposição cambial.
- Integre inventário e CMDB. A segurança começa na visibilidade. A plataforma deve varrer e inventariar hardware, licenças e softwares desatualizados, mitigando vulnerabilidades nos endpoints.
A emissão da ISO 27001 marca a primeira década de evolução arquitetural da Milvus: desempenho e automação por IA combinados a uma governança verificada por auditoria independente.
👉 Acesse a documentação sobre a certificação ISO 27001 e os detalhes técnicos do SGSI
