O Mapa de Produtos Brasileiros de Cibersegurança publicou a Imara Trust na categoria GRC / Risk Management. É uma boa notícia para nós, mas o que achamos mais interessante não é o selo. É o critério de entrada.
O que é o Mapa
O Mapa reúne, num lugar só, as startups brasileiras que desenvolvem produtos de cibersegurança, organizadas pela frente em que atuam. A proposta declarada é dar visibilidade a quem constrói tecnologia própria no Brasil e encurtar a distância entre quem constrói e quem compra, investe ou integra. A iniciativa é conduzida por um grupo fixo de organizadores, entre eles Edgard Cornacchione (presidente do MiTi), Carlos Carnevali Jr, Nycholas Szucko, Glauco Sampaio e Juliano Ferreira, com apoio institucional do MiTi e da Skyone. Toda inscrição passa por curadoria caso a caso. Nada entra no automático.
No momento em que escrevemos, o Mapa tem 79 startups publicadas em 14 categorias… vai crescer bem mais.
O critério que deixa muita gente de fora
Esse é o ponto que merece atenção. O Mapa só aceita empresa de produto: solução empacotada, vendável por conta própria, que funciona sem depender de um serviço proprietário da própria empresa. Consultorias, integradores e prestadores de serviço ficam de fora, e o recorte é proposital. O objetivo é medir a capacidade brasileira de construir produto, não a capacidade de prestar serviço.
Para nós isso é relevante porque a Imara faz as duas coisas. Temos pentest, resposta a incidentes, consultoria de GRC e treinamento. Nada disso entraria no Mapa, e está correto que não entre. O que entrou foi a Imara Trust, a plataforma de automação de compliance, que roda por conta própria, é contratada como software e continua funcionando sem ninguém da Imara no meio do caminho.
Passar por uma curadoria que separa produto de serviço é um teste mais duro do que aparece num logo em página de listagem.
Onde ficamos: GRC / Risk Management
GRC / Risk Management é hoje a maior categoria do Mapa, com 12 empresas publicadas. A Imara Trust divide espaço com nomes como Modulo Security, GAT, Verta, CosmoSec, RiskFlow, t-Risk, CISOx, BlueCyber, VyperX, NetAdmin e RIS, da Redbelt.
É uma categoria concorrida, e isso diz algo sobre o mercado. Empresa brasileira que precisa se adequar a ISO 27001, SOC 2, LGPD ou PCI DSS já não depende exclusivamente de plataforma importada com preço em dólar e suporte em inglês. Tem alternativa nacional, mais de uma, e o comprador ganha com isso.
O que o Mapa mostra sobre o ecossistema
A leitura mais útil do Mapa não é a lista de quem está lá. É a distribuição.
As quatro maiores categorias concentram boa parte das empresas publicadas: GRC com 12, Gestão de Identidade e Acesso com 11, Threat Intelligence e Resposta a Incidentes com 10, e Vulnerability Management com 10. São as frentes onde o Brasil já tem oferta madura e competitiva.
A cauda é mais reveladora. Data Protection e Privacidade aparece com 3 empresas. Fraude e antifraude, 3. Blockchain e assinatura digital, 2. Criptografia e HSM, 1. Third-party risk, 1.
Privacidade com três empresas num país que tem LGPD desde 2020 e uma ANPD ativa é o número que mais chama atenção. A demanda existe, a obrigação legal existe, o mercado de produto ainda não acompanhou. Foi parte do raciocínio que nos levou a construir o módulo de Privacidade dentro da Imara Trust, com ROPA, gestão de DSAR e apoio ao DPO, em vez de tratar privacidade como um anexo de segurança da informação. Third-party risk com uma única empresa publicada é o outro buraco visível, num momento em que quase todo incidente relevante no Brasil passa por fornecedor.
Se você investe em segurança, essas lacunas são a parte mais interessante da página. Se você compra segurança, elas explicam por que em algumas frentes ainda é difícil achar solução local.
Por que isso importa para quem compra compliance
Listagem não substitui avaliação técnica. Nenhum comprador sério escolhe fornecedor por diretório. O que um mapa curado faz é mais modesto e mais útil: reduz o custo de descoberta. Em vez de partir do pressuposto de que a única opção é Vanta, Drata ou Secureframe, o time de segurança que precisa automatizar evidências e controles consegue ver, em uma página, quem mais está construindo isso aqui, e comparar.
É exatamente esse o argumento que a Imara defende desde o início. Compliance no Brasil tem particularidades que não são detalhe de tradução: LGPD, ANPD, contrato em real, nota fiscal, suporte em português e no fuso certo. Ferramenta desenhada fora daqui resolve parte do problema e deixa o resto no colo do cliente.
Onde ver
O Mapa está em mapacyber.tech/mapa, organizado por frente de atuação. Se você constrói produto de cibersegurança no Brasil e ainda não está lá, o cadastro é aberto e passa pela mesma curadoria. Para conhecer a plataforma que aparece na categoria GRC, fale com a gente ou peça uma demonstração da Imara Trust.