Trust Center – O que é e para quem serve
O Trust Center é uma página pública onde a sua empresa mostra como trata segurança, sem precisar responder a mesma pergunta cinquenta vezes.
Ele existe para resolver um problema comercial concreto: o questionário de segurança que atrasa a venda.
O problema que ele resolve
O ciclo típico sem Trust Center funciona assim. Um possível cliente se interessa, o time de segurança dele pede informações, você recebe um questionário com quarenta perguntas, alguém do seu time gasta um dia respondendo, e a venda fica parada esperando.
Multiplique por cada cliente novo.
Com um Trust Center publicado, boa parte dessas perguntas já está respondida antes de ser feita. O comprador visita a página, encontra as certificações, os controles, as políticas e a lista de subfornecedores, e frequentemente segue adiante sem enviar formulário nenhum.
O que ele contém
A página pública é organizada em seções que você habilita conforme quiser:
| Seção | O que ela mostra |
|---|---|
| Visão Geral | Um resumo escrito da sua postura de segurança, certificações e práticas |
| Recursos | Documentos de política e arquivos que o visitante pode solicitar |
| Controles | Os seus controles de conformidade e o status atual deles |
| Subprocessadores | Os terceiros e serviços em nuvem que tratam dados em seu nome |
| Perguntas Frequentes | As dúvidas recorrentes sobre o seu programa |
| Atualizações | Marcos de segurança, avisos e comunicados |
Repare que a seção de controles mostra status atual, não uma declaração escrita uma vez. É isso que diferencia um Trust Center de uma página institucional sobre segurança: o conteúdo acompanha a realidade do seu programa.
Para quem ele serve
Compradores em avaliação. O uso principal. Time de segurança ou de compras do possível cliente, conferindo se você atende o mínimo antes de avançar.
Clientes atuais. Renovações e auditorias de fornecedor deles também passam por aqui.
Parceiros. Quem vai integrar com você quer saber com o que está lidando.
O seu próprio time comercial. Este é o benefício mais subestimado: um vendedor com um link para enviar responde a objeção de segurança na hora, em vez de abrir um pedido interno e esperar.
Público e restrito, ao mesmo tempo
O Trust Center trabalha com dois níveis de conteúdo, e entender essa divisão é o que faz ele funcionar bem:
Conteúdo aberto. Visão geral, certificações, controles, subfornecedores, perguntas frequentes e comunicados. Qualquer pessoa vê.
Conteúdo sob solicitação. Documentos como políticas e relatórios de auditoria, que o visitante precisa pedir acesso para obter. Você aprova ou recusa cada pedido, e pode revogar depois.
Existe ainda a possibilidade de exigir que o visitante concorde com um termo de confidencialidade antes de enviar a solicitação.
Essa divisão resolve a tensão real do assunto. Você quer que a informação circule para acelerar vendas, e não quer que o seu relatório de auditoria completo esteja indexado no Google. O Trust Center permite as duas coisas.
Nada é público até você decidir
Uma característica importante do desenho: o Trust Center começa fechado.
Existe um controle explícito para tornar a página acessível publicamente, e existe a ação de publicar. Frameworks, por exemplo, ficam ocultos por padrão, e você ativa um por um os que quer mostrar.
Ou seja, não há risco de expor algo por descuido de configuração inicial. O risco, se houver, é de exposição por decisão sua, e é por isso que o tutorial de visibilidade merece uma leitura antes de publicar.
O que ele não é
Vale delimitar para você calibrar a expectativa:
Não substitui certificação. Ele apresenta as suas certificações; não cria nenhuma.
Não substitui questionário em todos os casos. Clientes maiores e setores regulados vão enviar o formulário deles de qualquer forma. O Trust Center reduz o volume e acelera os casos mais simples.
Não é um contrato. As afirmações ali são declarações públicas suas, o que aumenta a responsabilidade sobre a precisão delas, e não gera obrigação contratual por si.
A responsabilidade que vem com ele
Um Trust Center é uma declaração pública sobre a sua segurança, e isso tem duas implicações que vale levar a sério:
Precisa ser verdadeiro. Afirmar uma certificação que você não tem, ou um controle que não existe, é bem pior que não ter a página. Sai do terreno técnico e entra no comercial e no jurídico.
Precisa ser mantido. Uma página que anuncia uma certificação vencida, ou que tem o último comunicado de dois anos atrás, comunica abandono. Vale mais uma página enxuta e atual que uma completa e velha.
A boa notícia é que a parte de controles se mantém sozinha, porque ela reflete o estado do seu programa na plataforma.
Por onde começar
Se você está montando o seu:
- Escreva a visão geral. Um parágrafo honesto sobre a sua postura vale mais que uma lista de termos técnicos.
- Ative os frameworks que você realmente tem.
- Escolha dois ou três documentos para disponibilizar sob solicitação, tipicamente a política de segurança da informação.
- Publique os subfornecedores, o que gera confiança e atende exigência de alguns regimes de privacidade.
- Só então publique.
Os tutoriais seguintes desta categoria cobrem cada etapa.
Problemas comuns
Publiquei e ninguém acessa. O Trust Center não é encontrado sozinho. Coloque o link no rodapé do site, na proposta comercial e na assinatura de e-mail do time de vendas.
Um comprador ainda enviou questionário. Normal em contas maiores. Responda apontando o Trust Center para o que já está lá, e preencha o resto.
Não sei o que expor. Comece conservador. Subir o nível de exposição depois é trivial; o inverso já foi visto por alguém.
Este artigo foi útil?