Como construir a lista de fornecedores
O primeiro passo é o mais trabalhoso: descobrir que fornecedores existem. Boas fontes são a lista de credores da contabilidade, os contratos das compras, a lista de subscrições de software e o registo das atividades de tratamento. Pergunte também aos departamentos, porque muitos serviços cloud são contratados diretamente por eles.
Nem todos os fornecedores são relevantes para a segurança da informação. A cantina e o fornecedor de material de escritório raramente entram na avaliação. O decisivo é saber se um fornecedor tem acesso aos seus dados, sistemas ou instalações, ou se uma falha dele afeta o seu próprio serviço. Serviços cloud, prestadores de serviços de TI, alojamento, processamento salarial e software fazem quase sempre parte.
No Sightadel, crie cada fornecedor relevante com nome, categoria e país. A categoria ajuda a filtrar e a comparar fornecedores semelhantes. O país é importante quando há dados pessoais tratados fora da UE. Não precisa de transcrever as listas existentes, porque o Sightadel permite importar ficheiros Excel.
Pense na lista como um registo vivo. Entram novos fornecedores através das compras e outros deixam de existir. Defina quem comunica os novos fornecedores antes de ser assinado um contrato.
Avaliar o risco de forma rastreável
A avaliação de um fornecedor começa com a pergunta sobre o que ele faz por si. Daí resulta o risco inerente, ou seja, o risco sem ter em conta as medidas de proteção. Um gabinete de processamento salarial que trata dados salariais e de saúde tem um risco inerente mais elevado do que uma tipografia que imprime folhetos.
Os fatores de risco tornam a avaliação rastreável. Mostram que categorias de dados o fornecedor trata, por exemplo categorias especiais segundo o art. 9.º do RGPD, dados financeiros e de pagamento ou dados de autenticação, e que funcionalidades de segurança faltam, por exemplo a autenticação multifator ou a cifragem dos dados armazenados e transmitidos.
As medidas de mitigação reduzem o risco. Pode tratar-se de uma cláusula contratual, de uma prova do fornecedor, como um certificado, ou de uma medida técnica do seu lado. Cada medida é aplicada e aprovada ou rejeitada. O resultado é o risco residual, e o histórico mostra quantos pontos cada medida produziu.
A aprovação é importante. Um risco residual que ninguém aceitou é apenas um número. Defina quem pode aceitar que risco residual e registe as exceções com justificação.
Aquilo a que os auditores e a supervisão prestam atenção
Na gestão de fornecedores, o auditor verifica três coisas. Primeiro, se sabe que fornecedores são críticos. Uma lista completa com categorias e classificação de risco é a prova disso. Segundo, se os requisitos de segurança estão acordados contratualmente, por exemplo no acordo de subcontratação ou num anexo de segurança ao contrato. Terceiro, se revê os fornecedores regularmente e não apenas uma vez, na celebração do contrato.
Na prática, o auditor escolhe alguns fornecedores e pergunta: como foi avaliado este fornecedor? Que evidências existem? Quando foi a última revisão? O que acontece se ele falhar? A análise de risco no Sightadel responde às três primeiras perguntas com avaliação, fatores, medidas e histórico. Os contratos, certificados e relatórios de auditoria do fornecedor são associados como evidências.
Para as entidades financeiras abrangidas pelo DORA, junta-se a supervisão. Esta espera um registo de informações completo e um cuidado especial com os prestadores que apoiam funções críticas ou importantes. As estratégias de saída também fazem parte. A avaliação por fornecedor é uma base para isso, mas não substitui as restantes obrigações do DORA.
Erros frequentes na gestão de fornecedores
O erro mais frequente é a avaliação única. Um fornecedor é verificado na celebração do contrato e depois nunca mais. No entanto, os serviços, os subcontratantes e a situação de segurança mudam. Reveja os fornecedores importantes pelo menos anualmente e também quando o serviço, o contrato ou os dados tratados mudarem. No Sightadel, isso é iniciado através de «Rever avaliação».
Um segundo erro é o mesmo esforço para todos. Quem verifica todos os fornecedores com o mesmo questionário extenso não obtém respostas, ou obtém respostas fracas. Ajuste a profundidade da verificação ao risco inerente. Para fornecedores críticos, compensa analisar certificados e relatórios de auditoria; para os não críticos, basta uma classificação breve.
Em terceiro lugar, os certificados do fornecedor não são lidos. Um certificado ISO 27001 só ajuda se o seu âmbito abranger o serviço que utiliza. Verifique isso e guarde o certificado como evidência com data de validade.
Em quarto lugar, falta pensar na falha. Além da confidencialidade, conta o que acontece se um fornecedor deixar de prestar o serviço. Para os fornecedores críticos, registe como procederá nesse caso.
