Plataforma GRC On-Premises

Muitas vezes não, e vale conferir antes de assumir a carga operacional. O Kordon Cloud roda na UE e você escolhe Finlândia ou Alemanha ao criar a conta. Se o seu requisito pede uma região nomeada da UE sob o GDPR, a questão termina aí. A auto-hospedagem é a resposta quando a exigência vai além da geografia. É o caso de uma política nacional de hospedagem que exija a sua própria infraestrutura, de uma regra setorial sobre quem pode guardar os dados, de um contrato de cliente que descarte ambientes compartilhados, ou de um conselho que não aceite um SGSI na nuvem de outra empresa. As duas rotas rodam a mesma plataforma, então isso é uma questão sobre as suas obrigações e não sobre qual produto você recebe. Uma verificação para qualquer fornecedor que prometa residência na UE: se a região do material de marketing é a mesma que aparece na URL, e se os recursos de IA permanecem dentro dela.

Não. É a mesma aplicação da versão hospedada: o mesmo modelo de objetos, a mesma API REST completa, o mesmo nó oficial do n8n, o mesmo modelo de permissões e a mesma biblioteca pré-carregada de frameworks, cobrindo ISO 27001, SOC 2, NIS2, DORA, E-ITS, ISO 9001, ISO 14001 e centenas de outras normas, além de qualquer framework interno que você adicione como requisitos personalizados. Auto-hospedar é uma decisão de implantação, não um nível de produto. Vale perguntar isso a qualquer fornecedor: é comum a edição auto-hospedada ficar uma entrega atrás, ou as integrações passarem discretamente pela nuvem do fornecedor, o que anula o motivo de ter implantado dentro da sua fronteira.

Um ambiente Linux capaz de rodar um contêiner Docker e algum lugar para guardar os arquivos de evidência. Toda a configuração é feita por variáveis de ambiente, o TLS já vem embutido no contêiner, então não é preciso subir um proxy reverso à parte, e o armazenamento de evidências pode apontar para o sistema de arquivos local, o Google Cloud Storage ou o AWS S3. O Kordon usa paginação e filtragem no servidor, então continua responsivo com dezenas de milhares de ativos e tarefas.

Onde você decidir. O Kordon é construído para que você traga o seu próprio agente: nenhum modelo fica embutido na plataforma. Os agentes se conectam pela API REST completa, pelo nó oficial do n8n e por habilidades feitas para o Kordon, e qualquer framework serve, seja Claude, LangChain, n8n ou algo escrito pela sua própria equipe. Como não temos um modelo próprio para onde mandar, nada leva suas evidências para fora por padrão: você aponta um agente para um modelo rodando no seu hardware e o processamento fica na mesma fronteira que os dados, sob as mesmas permissões que valem para as suas pessoas. Essa é a pergunta que vale fazer a qualquer fornecedor de GRC numa revisão de residência, porque é onde as promessas costumam quebrar. Uma plataforma pode estar na sua região e ainda assim mandar cada documento que processa para um modelo em outro lugar. Pergunte onde acontece o processamento, não só onde fica o banco de dados.

Você, no seu próprio calendário de mudanças, que costuma ser justamente o motivo de auto-hospedar. Vale perguntar a qualquer fornecedor por quanto tempo uma entrega auto-hospedada continua com suporte, porque uma plataforma que ninguém atualiza vira um achado de auditoria por si só em uns dois anos.

Sim. Como as duas implantações rodam a mesma aplicação sobre o mesmo modelo de objetos, o programa que você constrói em uma é o programa que você roda na outra. Dá para começar hospedado enquanto ainda está moldando seu conjunto de controles e o escopo dos frameworks, e migrar depois, quando um requisito de cliente, um regulador ou uma política interna de hospedagem tornar a fronteira obrigatória.

Sim, e sem peças extras. O login único para Google Workspace, Microsoft Entra, Okta e Keycloak vem embutido no contêiner do Kordon, em vez de exigir uma instância separada do Keycloak ou um serviço de autenticação ao lado, e o provisionamento SCIM 2.0 funciona com Entra, Okta, OneLogin e Google Workspace. Os usuários são criados e desativados no Kordon automaticamente conforme mudam no seu provedor de identidade.

Para equipes cuja fronteira de implantação é definida por outra pessoa: um regulador, uma política nacional de hospedagem, o questionário de segurança de um cliente, ou um conselho que não aceite um SGSI na nuvem de outra empresa. Isso é diferente de preferir auto-hospedar. Se você já opera a própria infraestrutura e tem equipe para mantê-la, hospedar ali uma plataforma de GRC não é uma carga extra que você assume, é o ambiente em que você já trabalha. Se não tem, o Kordon Cloud é a mesma plataforma sem o peso operacional.