Certificações que ajudam software houses a vender: ISO 27001, MPS.BR, SOC 2

As três referências mais citadas por software houses brasileiras resolvem problemas diferentes. A ISO/IEC 27001 certifica o sistema de gestão de segurança da informação da empresa e tem reconhecimento internacional. O SOC 2 é um relatório de auditoria independente sobre controles, criado pelo AICPA e muito pedido por clientes dos Estados Unidos. O MPS.BR avalia a maturidade dos processos de desenvolvimento no modelo brasileiro coordenado pela Softex. A escolha certa depende de quem compra de você e do que esse comprador pergunta.

Por que certificações ajudam a vender software?

Certificações reduzem o trabalho de verificação do comprador. Em vez de responder a um questionário de segurança com centenas de perguntas, a empresa apresenta uma evidência emitida por terceiro independente.

Isso importa porque a compra B2B envolve muita gente. O relatório da 6sense de 2024 indica um grupo de compra médio de 11 pessoas, e é comum que segurança da informação, jurídico e compras tenham poder de veto. Uma certificação adequada não ganha o contrato sozinha, mas evita que a empresa seja eliminada antes da avaliação técnica.

Como ISO 27001, SOC 2 e MPS.BR se comparam?

A tabela resume as diferenças principais.

O que é a ISO/IEC 27001 e quando vale a pena?

A ISO/IEC 27001 é a norma internacional de requisitos para sistemas de gestão de segurança da informação. A edição vigente foi publicada em outubro de 2022 e recebeu em 2024 uma emenda relacionada a mudanças climáticas. Segundo a ISO, a norma se aplica a empresas de qualquer porte e setor e usa um processo de gestão de riscos para preservar a confidencialidade, a integridade e a disponibilidade da informação.

Dois pontos costumam gerar confusão. Primeiro, a certificação é opcional: uma empresa pode adotar a norma sem se certificar. Segundo, a ISO não emite certificados. A própria organização informa que não presta serviços de certificação e que é preciso contratar um organismo certificador externo. Confira se o organismo é acreditado.

Vale a pena quando a software house atende clientes corporativos, setores regulados ou empresas estrangeiras que exigem evidência formal de segurança. Para empresas pequenas, o processo de implantação já organiza práticas que melhoram a resposta a questionários, mesmo antes da certificação.

O que é SOC 2 e quando vale a pena?

SOC 2 é um exame de controles de organizações prestadoras de serviço, definido pelo AICPA, a entidade dos contadores públicos certificados dos Estados Unidos. Ele é conduzido por uma firma de auditoria independente e credenciada, que emite uma opinião em relatório.

O relatório pode cobrir cinco categorias dos critérios de serviços de confiança (Trust Services Criteria): segurança, disponibilidade, integridade de processamento, confidencialidade e privacidade. Há dois tipos. O tipo 2 avalia se os controles foram bem desenhados e se funcionaram de forma efetiva ao longo de um período; o tipo 1 não examina um período de operação. A documentação da Microsoft sobre seus próprios relatórios, por exemplo, descreve exames tipo 2 com janela de 12 meses.

Vale a pena quando a empresa vende ou quer vender para clientes nos Estados Unidos, em especial empresas de maior porte, que com frequência pedem o relatório na avaliação de fornecedores. O tema do mercado externo está em como vender nearshore para EUA e Europa.

O que é MPS.BR e quando vale a pena?

MPS.BR (Melhoria de Processo do Software Brasileiro) é um programa coordenado pela Softex, lançado em dezembro de 2003, com um modelo de referência para processos de software, um método de avaliação e um modelo de negócio pensado para ser acessível a micro, pequenas e médias empresas.

O modelo tem sete níveis de maturidade, sequenciais e cumulativos:

• G — Parcialmente gerenciado.
• F — Gerenciado.
• E — Parcialmente definido.
• D — Largamente definido.
• C — Definido.
• B — Gerenciado quantitativamente.
• A — Em otimização.

A avaliação é feita por instituições autorizadas e publicada pela Softex. Um documento do programa registrava validade de três anos para as avaliações; confirme a regra vigente no portal da Softex antes de planejar.

Vale a pena quando os compradores do seu mercado pedem ou pontuam maturidade de processo, o que acontece em parte das contratações corporativas e públicas. Verifique editais e questionários recentes do seu setor antes de investir. Para o mercado externo, o modelo internacional equivalente mais conhecido é o CMMI.

Qual certificação buscar primeiro?

A decisão deve partir das exigências reais dos compradores, não da certificação mais famosa.

1. Liste as exigências recebidas. Revise questionários de segurança, RFPs e editais dos últimos meses e anote o que foi pedido.
2. Identifique onde perdeu ou quase perdeu. Certificações ausentes que eliminaram a empresa são prioridade.
3. Considere o mercado-alvo. Clientes nos EUA tendem a pedir SOC 2; corporações no Brasil e na Europa costumam aceitar ISO/IEC 27001; alguns compradores brasileiros pontuam MPS.BR.
4. Avalie o esforço. Todas exigem controles documentados, evidências e auditoria; o custo varia com o porte e o escopo.
5. Comece pelo escopo mínimo útil. Certificar a operação que atende clientes, e não necessariamente toda a empresa, pode acelerar o primeiro ciclo.

Como preparar a empresa para a certificação?

Os passos são parecidos para as três referências:

• Nomear um responsável interno com tempo dedicado.
• Fazer um diagnóstico de lacunas em relação aos requisitos.
• Documentar políticas e processos que já existem e criar os que faltam.
• Implantar controles técnicos, como gestão de acessos, registro de eventos, backup e gestão de vulnerabilidades. Veja DevSecOps explicado para gestores.
• Tratar proteção de dados pessoais em conjunto, conforme o checklist de LGPD para empresas digitais.
• Gerar evidências contínuas, não só às vésperas da auditoria.

Como mostrar a certificação para compradores e IAs?

Certificação que o comprador não encontra não ajuda a vender. Publique em uma página do site o nome da norma ou do relatório, o escopo exato, o organismo ou auditor responsável, a data e a validade. Nunca descreva como certificado algo que está fora do escopo.

Repita os mesmos dados nos perfis em diretórios e plataformas de avaliação. Informações consistentes em várias fontes facilitam a verificação por compradores e por assistentes de IA. Em como responder uma RFP de tecnologia, há orientações para usar essas evidências em concorrências.

Próximo passo

Registre certificações, escopo e validade no perfil da empresa, ao lado de cases e avaliações de clientes. Crie ou reivindique o perfil gratuito na Citeo ou veja como funciona para empresas.

Fontes

• ISO — ISO/IEC 27001:2022 Information security management systems — definição da norma, edição de 2022, emenda de 2024, aplicação a qualquer porte e certificação opcional
• ISO — Conformity assessment — a ISO não presta serviços de certificação; papel do organismo certificador externo
• Microsoft Learn — System and Organization Controls (SOC) 2 Type 2 — SOC 2 criado pelo AICPA, cinco categorias dos Trust Services Criteria, tipo 1 e tipo 2, auditor independente, janela de 12 meses
• MCTI/Softex — MPS.BR: Melhoria de Processo do Software Brasileiro (2003–2006) — programa coordenado pela Softex, lançado em dezembro de 2003, níveis de G a A e validade das avaliações registrada no documento
• SBC — Benefícios, fatores de sucesso e dificuldades da implantação do modelo MPS.BR — nomes dos sete níveis de maturidade do MPS.BR
• Business Wire — 6sense Launches 2024 Buyer Experience Report Unveiling Global B2B Buyer Trends — grupo de compra B2B médio de 11 pessoas