75%
Incidentes via terceiros
ENISA aponta participação relevante de fornecedores e supply chain em incidentes recentes.
ENISASobre · Ecossistema & Parceiros
Trabalhamos com o ecossistema,mas não revendemos ninguém.
Cloud, ferramenta de segurança, integrador, jurídico do cliente: todos fazem parte da entrega. Nenhum deles paga comissão à Hardenn. A recomendação responde ao seu risco, não ao nosso comissionamento.
Sem revendaSem comissãoRecomendação independente
Realidade verificável
O que o mercado registra, em números públicos.
USD 4.88M
Custo médio de violação
Média global em 2024 considerando resposta, churn e regulatório.
IBM 20241.200+
Vulnerabilidades exploradas
Catálogo CISA KEV ativo, com vulnerabilidades conhecidamente exploradas em ataques.
CISA KEV68%
Elemento humano
Violações com elemento humano não malicioso.
Verizon DBIR 2024Custo do silêncio
Quem ganha comissão de fornecedor não pode recomendar com isenção.
O modelo dominante no Brasil paga comissão ao integrador para vender ferramenta. A recomendação técnica vira função de margem, não de risco do cliente. Esse conflito é silencioso e caro.
Revenda
Margem como bússola
Quanto maior a margem da ferramenta, maior a probabilidade de virar recomendação.
Cloud comissionado
Vendor lock-in
Recomendação migra para o cloud que paga melhor, não o que reduz risco.
Integrador genérico
Responsabilidade diluída
Quando o incidente acontece, não há nome técnico assinando.
Hardenn
Sem comissão, com nome
Recomendação responde ao risco do cliente e fica assinada por engenheiro nominal.
Evidência de mercado
Dados públicos que sustentam a tese.
NIST 800-161
Risco de supply chain
Publicação dedicada a gestão de risco de cadeia de suprimentos em sistemas críticos.
NISTISO 27036
Segurança em fornecedores
Norma específica para segurança da informação em relacionamento com fornecedores.
ISOENISA
Cadeia de software
Relatórios anuais apontam supply chain como vetor crescente de incidentes.
ENISAMecanismo
Como esta postura se converte em entrega.
E1
Avaliar
Cloud, ferramenta e integrador entram na análise de risco antes de virar recomendação.
E2
Recomendar
Recomendação é assinada por engenheiro nominal, sem participação comercial do fornecedor.
E3
Integrar
Quando há outro fornecedor, atuamos lado a lado com responsabilidade técnica clara.
E4
Auditar
Revisão periódica do ecossistema contratado contra critérios públicos.
Pilares
Princípios que organizam o trabalho.
P1
Sem revenda
Não vendemos licença, hardware, cloud ou ferramenta de terceiro.
P2
Sem comissão
Não recebemos comissão de fornecedor por indicação ou venda assistida.
P3
Recomendação assinada
Toda recomendação técnica de fornecedor tem engenheiro responsável nominal.
P4
Convivência com integrador
Quando há outro fornecedor, atuamos com responsabilidade técnica clara e cadência declarada.
P5
Defesa do jurídico do cliente
Trabalhamos junto ao jurídico do cliente, não no lugar dele.
P6
Transparência de conflito
Quando há relação técnica com algum fornecedor, é declarada antes da recomendação.
Trajetória
Marcos da postura assumida.
Recusa
Recusa do modelo comissionado
Hardenn nasce recusando o modelo de margem por venda de ferramenta.
- Sem revenda
- Sem comissão
Convivência
Coexistência com integradores
Modelo de atuação técnica junto ao integrador existente.
- Cadência declarada
- Matriz de responsabilidade
Transparência
Declaração pública de conflito
Sempre que há relação técnica com fornecedor, fica declarada.
- Declaração no parecer
- Trilha de auditoria
Hoje
Ecossistema com nome
Cada fornecedor envolvido na entrega tem responsabilidade explícita.
- Mapa de responsabilidades
- Cláusulas modelo
Manifesto
Trabalhar com o ecossistema sem virar revenda dele.
Software crítico depende de cloud, ferramenta de segurança, integrador e jurídico. Negar isso é ingênuo. Aceitar comissão por indicar fornecedor é incompatível com engenharia crítica.
Por isso a Hardenn opera sem revenda, sem comissão e sem margem por venda de ferramenta de terceiro. Quando uma ferramenta é recomendada, é porque ela responde ao risco do cliente.
Coexistimos com integradores. Trabalhamos lado a lado, com responsabilidade técnica clara e cadência declarada. Quando há conflito de interesse, declaramos antes da recomendação.
Hardenn · Postura sobre ecossistema
Autoridade externa
O que terceiros já registraram sobre o tema.
“Risco de supply chain é hoje um dos vetores mais explorados em ataques contra organizações críticas.”
ENISA Threat Landscape
ENISA“A gestão de risco de cadeia de suprimentos precisa ser tratada como disciplina formal, não como anexo de compliance.”
NIST SP 800-161
NIST“Relacionamento com fornecedores exige controles específicos e responsabilidades técnicas declaradas.”
ISO 27036
ISOMaterial
Matriz de responsabilidade técnica entre fornecedores.
Modelo aplicável para contratos com cloud, ferramenta e integrador em projetos críticos.
Quiz · aderência
Sua organização opera no mesmo padrão?
Seus fornecedores técnicos recebem comissão de cloud ou ferramenta que recomendam?
Existe matriz de responsabilidade técnica entre os fornecedores envolvidos?
Há gestão formal de risco de supply chain (terceiros e quartos)?
Conflitos de interesse técnicos são declarados antes da recomendação?
Diagnóstico
O que acontece quando você nos procura.
Etapa 01
Mapa do ecossistema
Identificação dos fornecedores envolvidos na entrega e nas decisões técnicas.
Etapa 02
Análise de conflito
Avaliação de comissionamento, vendor lock-in e dependência crítica.
Etapa 03
Parecer arquivável
Documento com matriz de responsabilidade e recomendação técnica.
Etapa 04
Decisão
Você ajusta o ecossistema atual ou contrata com plano em mãos.
Perfis atendidos
Quem conduz a conversa, o foco e o entregável.
CTO / CISO
Foco
Risco técnico de fornecedores e dependência crítica.
Entregável
Matriz de responsabilidade e plano de mitigação.
Procurement
Foco
Cláusulas modelo para contratos com fornecedores críticos.
Entregável
Anexos contratuais com critério público e SLA.
Risk / Auditoria
Foco
Conformidade com NIST 800-161, ISO 27036 e regulação setorial.
Entregável
Trilha de auditoria e parecer de risco de terceiros.
Análise
Mapa do seu ecossistema técnico atual.
Análise dos fornecedores envolvidos, conflitos potenciais e plano de mitigação.
Benefícios práticos
O que você passa a ter ao adotar essa postura conosco.
Recomendação independente
Sem comissão de fornecedor, sem vendor lock-in induzido.
Conflito declarado
Toda relação técnica com fornecedor declarada antes da recomendação.
Matriz de responsabilidade
Cada decisão técnica tem fornecedor responsável nominal.
Cláusula de refazimento
Quando o ecossistema entregue não cumpre o critério, refazemos.
Trabalho com integrador
Coexistência técnica clara, sem disputa de protagonismo.
Defesa do jurídico do cliente
Atuação ao lado do jurídico interno, não no lugar dele.
Garantia pública
Compromissos que assumimos antes de você assinar.
Sem comissão
Declaração pública de que não recebemos comissão de fornecedor por indicação.
Conflito declarado
Quando há relação técnica com fornecedor, é declarada por escrito antes da recomendação.
Refazimento contratado
Quando o critério público da entrega não é cumprido, refazemos em dobro.
Postura pública
Postura sobre ecossistema versionada e referenciada em contrato.
Perguntas frequentes
Dúvidas honestas, antes da conversa.
Mantemos relações técnicas com fornecedores, sem contrato comercial de revenda ou comissão. Quando uma relação técnica influencia recomendação, ela é declarada.
Próximo passo
O ecossistema é seu. A responsabilidade técnica precisa ter nome.
Converse com um engenheiro Hardenn para entender como sua cadeia técnica está organizada e onde a responsabilidade ainda está difusa.