Como montar a lista de fornecedores
O primeiro passo é o mais trabalhoso: descobrir quais fornecedores existem. Boas fontes são a lista de credores da contabilidade, os contratos do setor de compras, a lista de assinaturas de software e o registro das atividades de tratamento. Pergunte também aos departamentos, porque muitos serviços em nuvem são contratados diretamente por eles.
Nem todo fornecedor é relevante para a segurança da informação. O refeitório e o fornecedor de material de escritório raramente entram na avaliação. O decisivo é saber se um fornecedor tem acesso aos seus dados, sistemas ou instalações, ou se uma falha dele afeta o seu próprio serviço. Serviços em nuvem, prestadores de serviços de TI, hospedagem, folha de pagamento e software quase sempre fazem parte.
No Sightadel, cadastre cada fornecedor relevante com nome, categoria e país. A categoria ajuda a filtrar e a comparar fornecedores semelhantes. O país é importante quando há dados pessoais tratados fora da UE. Você não precisa digitar de novo as listas existentes, porque o Sightadel permite importar arquivos do Excel.
Pense na lista como um cadastro vivo. Novos fornecedores entram pelo setor de compras e outros deixam de existir. Defina quem comunica os novos fornecedores antes de um contrato ser assinado.
Avaliar o risco de forma rastreável
A avaliação de um fornecedor começa com a pergunta sobre o que ele faz para você. Disso resulta o risco inerente, ou seja, o risco sem considerar as medidas de proteção. Um escritório de folha de pagamento que trata dados salariais e de saúde tem um risco inerente maior do que uma gráfica que imprime folhetos.
Os fatores de risco tornam a avaliação rastreável. Eles mostram quais categorias de dados o fornecedor trata, por exemplo categorias especiais segundo o art. 9 do GDPR, dados financeiros e de pagamento ou dados de autenticação, e quais recursos de segurança faltam, por exemplo a autenticação multifator ou a criptografia dos dados armazenados e transmitidos.
As medidas de mitigação reduzem o risco. Pode ser uma cláusula contratual, uma prova do fornecedor, como um certificado, ou uma medida técnica do seu lado. Cada medida é aplicada e aprovada ou rejeitada. O resultado é o risco residual, e o histórico mostra quantos pontos cada medida trouxe.
A aprovação é importante. Um risco residual que ninguém aceitou é só um número. Defina quem pode aceitar qual risco residual e registre as exceções com justificativa.
No que auditores e órgãos de supervisão prestam atenção
Na gestão de fornecedores, o auditor verifica três coisas. Primeiro, se você sabe quais fornecedores são críticos. Uma lista completa com categorias e classificação de risco é a prova disso. Segundo, se os requisitos de segurança estão acordados em contrato, por exemplo no contrato de operador de dados ou em um anexo de segurança ao contrato. Terceiro, se você revisa os fornecedores regularmente e não apenas uma vez, na assinatura do contrato.
Na prática, o auditor escolhe alguns fornecedores e pergunta: como este fornecedor foi avaliado? Quais evidências existem? Quando foi a última revisão? O que acontece se ele falhar? A análise de risco no Sightadel responde às três primeiras perguntas com avaliação, fatores, medidas e histórico. Os contratos, certificados e relatórios de auditoria do fornecedor são vinculados como evidências.
Para as entidades financeiras abrangidas pelo DORA, soma-se a supervisão. Ela espera um registro de informações completo e atenção especial aos prestadores que apoiam funções críticas ou importantes. As estratégias de saída também fazem parte. A avaliação por fornecedor é uma base para isso, mas não substitui as demais obrigações do DORA.
Erros frequentes na gestão de fornecedores
O erro mais frequente é a avaliação única. Um fornecedor é verificado na assinatura do contrato e depois nunca mais. Só que os serviços, os suboperadores e a situação de segurança mudam. Revise os fornecedores importantes pelo menos uma vez por ano e também quando o serviço, o contrato ou os dados tratados mudarem. No Sightadel, isso é iniciado em “Revisar avaliação”.
Um segundo erro é o mesmo esforço para todos. Quem verifica todos os fornecedores com o mesmo questionário extenso não recebe respostas, ou recebe respostas fracas. Ajuste a profundidade da verificação ao risco inerente. Para fornecedores críticos, vale a pena analisar certificados e relatórios de auditoria; para os não críticos, basta uma classificação breve.
Em terceiro lugar, os certificados do fornecedor não são lidos. Um certificado ISO 27001 só ajuda se o escopo dele abranger o serviço que você usa. Verifique isso e armazene o certificado como evidência com data de validade.
Em quarto lugar, falta pensar na falha. Além da confidencialidade, conta o que acontece se um fornecedor deixar de prestar o serviço. Para os fornecedores críticos, registre como você vai agir nesse caso.
