ISMS Builder

Sistema de Gestão de Segurança da Informação auto-hospedado — código aberto, sem necessidade de nuvem

📖 Wiki — Uso da imagem Docker e variáveis de ambiente, arquitetura e módulos, FAQ, contribuição (DE/EN)

---

⚠️ Aviso de segurança: repositórios falsos e cópias que distribuem malware

O ISMS Builder não possui "releases" empacotados, instaladores ou arquivos ZIP para download — a única fonte legítima é este repositório, clonado ou baixado diretamente do GitHub como código-fonte simples. Temos conhecimento de pelo menos um repositório malicioso que se passa por este projeto (README falso, botão "Download" falso apontando para um ZIP disfarçado de captura de tela, contendo um carregador de malware para Windows — cadeia de payload .cmd → .exe → Lua-DLL). Não baixe nem execute nenhum ZIP/instalador/exe "isms_builder" de qualquer lugar que não seja este repositório. Se você encontrar um repositório ou site suspeito se passando por este projeto, por favor abra uma issue ou uma discussion para que possamos sinalizá-lo.

---

Status: Desenvolvimento ativo — ainda não é um produto finalizado. Os módulos principais são funcionais e estão em uso, mas alguns recursos estão incompletos e a plataforma ainda está em crescimento. Contribuições, feedback e testes no mundo real são muito bem-vindos — é exatamente por isso que este projeto foi aberto.

---

🛡️ Projeto relacionado: NIS2 Quick-Check — uma autoavaliação NIS2 gratuita e independente (10 domínios × 5 perguntas, todos os 27 estados-membros da UE, todos os 24 idiomas oficiais da UE). Executa inteiramente no navegador, sem backend, sem instalação. Não faz parte do ISMS Builder e não é necessário para usá-lo — apenas uma ferramenta complementar para uma primeira orientação rápida.

---

O que é o ISMS Builder?

O ISMS Builder é uma plataforma web auto-hospedada para gerenciar um Sistema de Gestão de Segurança da Informação (ISMS). Ele cobre todo o ciclo de vida de conformidade — da elaboração de políticas à evidência de auditoria — para ISO 27001:2022, NIS2, GDPR/DSGVO, BSI IT-Grundschutz e outros frameworks.

Sem nuvem. Sem taxas de SaaS. Seus dados permanecem no seu servidor.

Projetado para PMEs, equipes de TI e consultores que precisam de uma ferramenta ISMS real sem um contrato de fornecedor de cinco dígitos.

---

Uso Pretendido e Escopo

Este projeto começou como uma ferramenta de trabalho para um único profissional de ISMS e cresceu a partir daí. É código aberto porque o trabalho pode ser útil para outros — não porque seja um produto comercial disfarçado. Ser explícito sobre isso ajuda você a decidir se ele se adequa à sua situação.

Para que foi construído. Uma pequena equipe de ISMS — muitas vezes uma pessoa, às vezes um punhado — que elabora e mantém a documentação de um sistema de gestão: políticas, riscos, ativos, controles, evidências. Espera-se que o número de pessoas que precisam de uma conta permaneça pequeno. Alcançar um público amplo funciona sem contas: os reconhecimentos de políticas são enviados como links baseados em token, para que os destinatários leiam e confirmem um documento sem nunca fazer login, e sem aparecer em nenhuma lista de usuários.

O que espera de você. O ISMS Builder é auto-hospedado, e tudo o que decorre disso é sua responsabilidade: implantação, TLS, hardening, backups, atualizações, controle de acesso e as obrigações de proteção de dados para tudo o que você armazenar nele. O projeto fornece uma configuração padrão razoável, não um serviço gerenciado.

O que ele não é. Não há oferta de SaaS hospedado, nem contrato de suporte comercial, nem acordo de nível de serviço. Não é um produto de hospedagem multi-tenant. Ele não certifica você em relação a nenhum padrão, e não é aconselhamento jurídico — ele ajuda você a organizar e evidenciar o trabalho, mas a avaliação permanece sua e do seu auditor.

Quem o mantém. Uma pessoa, junto com um emprego em tempo integral. Issues e discussões são lidas e respondidas, geralmente em poucos dias; relatórios de segurança são priorizados. Solicitações de recursos são bem-vindas e realmente moldam o roteiro, mas competem por noites limitadas. Se sua organização depende de um cronograma fixo ou resposta garantida, um fornecedor comercial é a recomendação honesta — e isso não é motivo para evitar o projeto, apenas um motivo para planejar de forma realista.

---

Capturas de Tela

Login	Dashboard

Declaração de Aplicabilidade	Gestão de Riscos

GDPR & Datenschutz	Gestão de Ativos

Orientação & Documentação	Relatórios

Execute npm start e abra https://localhost:3000 para explorar o conjunto completo de dados de demonstração localmente.

---

Visão Geral dos Recursos