Avaliação de riscos de terceiros e fornecedores
Seus fornecedores guardam seus dados, executam seus processos e sustentam sua disponibilidade. Um questionário devolvido diz o que eles estão dispostos a afirmar. Nós dizemos o que eles conseguem evidenciar.
Visão geral do serviço
A avaliação de terceiros é o ponto em que a maioria dos ambientes de controle falha em silêncio. A organização é certificada, as políticas estão atualizadas, a auditoria interna sai limpa, e então um processador de folha de pagamento com um servidor de transferência de arquivos sem correção perde tudo.
A ZULTIV avalia seus fornecedores do jeito que um auditor avaliaria você: contra um critério definido, sobre evidências, com uma constatação graduada para cada lacuna. No fim, você sabe quais fornecedores realmente sustentam os controles que o contrato promete, quais precisam de cláusulas de tratamento na renovação e quais representam um risco que deveria ser escalado agora.
O que é avaliado
- Governança e responsabilização: quem responde pela segurança no fornecedor e se essa pessoa tem alguma autoridade de fato
- Certificações e atestações: declarações de escopo lidas com atenção, não logotipos de certificados colecionados
- Tratamento de dados: o que eles guardam, onde os dados ficam, quem consegue alcançá-los e por quanto tempo sobrevivem
- Controle de acesso: admissão, movimentação e desligamento, acesso privilegiado e a própria equipe remota deles
- Controles técnicos: cadência de correção, criptografia em trânsito e em repouso, registro e monitoramento
- Resposta a incidentes, os prazos de notificação do contrato diante dos que constam no manual deles
- Continuidade de negócios, os objetivos de recuperação deles diante da sua tolerância à indisponibilidade
- Quartas partes: de quem seu fornecedor depende, porque o risco de concentração dele agora é seu
- Posição contratual: direitos de auditoria, anexos de segurança, cláusulas de tratamento de dados e previsões de saída
Escopo
O escopo é acordado por escrito antes de qualquer coisa começar, porque “avaliem nossos fornecedores” significa volumes de trabalho muito diferentes conforme a resposta a três perguntas: quantos, com que profundidade e quanta evidência você tem direito de exigir.
Revisão por camadas
Toda a base de fornecedores classificada por criticidade e exposição de dados, para que o esforço caia onde está o risco. Em geral, é o primeiro trabalho certo.
Avaliação padrão
Revisão baseada em evidências de um fornecedor definido contra um critério acordado, com registro de constatações graduadas e uma posição de tratamento.
Avaliação aprofundada
Para fornecedores críticos: entrevistas, percursos de controle, amostragem e, quando o contrato permitir, uma revisão presencial ou sobre os sistemas em produção.
Abordagem
01: Classificar
Inventariamos os fornecedores dentro do escopo e os organizamos em camadas por sensibilidade dos dados, criticidade para o negócio e facilidade de substituição. Nem todo fornecedor merece o mesmo escrutínio.
02: Definir o critério
Acordamos contra o que cada camada é avaliada: o seu próprio conjunto de controles, o Anexo A da ISO/IEC 27001, o NIST CSF ou as expectativas de um regulador. A régua é colocada no papel primeiro.
03: Coletar evidências
Questionário e depois verificação: certificados e suas declarações de escopo, relatórios SOC 2 e suas exceções, políticas, chamados, extrações de configuração, entrevistas.
04: Testar as afirmações
Onde um controle é afirmado, nós o amostramos. Um SLA declarado de correção em 30 dias é conferido contra os registros reais de aplicação de correções, não aceito porque a caixinha foi marcada.
05: Graduar e reportar
Cada lacuna é escrita separando o requisito, a evidência e a insuficiência, e depois graduada pelo risco residual para você, não pelo quanto é desconfortável levantá-la.
06: Tratar e reverificar
Você recebe uma posição de tratamento por fornecedor: aceitar, corrigir até uma data, incluir uma cláusula contratual na renovação ou substituir. Reverificamos quando você estiver pronto.
Principais entregas
Registro de riscos de fornecedores
Cada fornecedor avaliado com camada, critério, classificação de risco residual e responsável: um documento vivo, não um PDF pontual.
Relatório de avaliação por fornecedor
Escopo, método, evidências examinadas e cada constatação graduada, num formato que você pode enviar ao fornecedor sem reescrever.
Ações de tratamento e de contrato
O que cada fornecedor precisa corrigir, até quando, e quais lacunas se fecham melhor pelo contrato na próxima renovação.
Resumo executivo
Duas páginas para o seu conselho ou comitê de riscos: risco de concentração, os fornecedores que exigem uma decisão e o que mudou desde a última vez.
Quem precisa disso
- Organizações certificadas na ISO/IEC 27001 que precisam evidenciar os controles de fornecedores conforme o Anexo A 5.19 a 5.22
- Empresas cujos próprios clientes já enviam um questionário de segurança de fornecedores a cada trimestre
- Setores regulados: bancos, seguros e serviços financeiros, saúde e quem trata dados pessoais sob a DPDP Act na condição de controlador
- Times que terceirizam desenvolvimento, suporte ou infraestrutura e nunca verificaram o que esses parceiros de fato fazem
- Quem acabou de passar por um incidente com fornecedor e não quer um segundo
Normas e referenciais contra os quais avaliamos
O critério é escolhido conforme as suas obrigações, não conforme a nossa conveniência. Em geral:
- ISO/IEC 27001:2022Anexo A 5.19 a 5.23, controles de fornecedores
- ISO/IEC 27036Segurança nas relações com fornecedores
- SOC 2Trust Services Criteria & exceções do relatório
- NIST CSF 2.0Govern & gestão de risco da cadeia de suprimentos
- HIPAAObrigações dos business associates
- DPDP Act, 2023Deveres na contratação de operadores
- GDPRRequisitos do artigo 28 para o operador
Perguntas frequentes
É um bom sinal, e não é uma resposta. A questão é o que a declaração de escopo do certificado cobre: é perfeitamente possível que um fornecedor seja certificado para uma unidade de negócio, um local ou uma linha de produto que nada tem a ver com o serviço que você compra. Ler essa declaração com atenção é uma das primeiras coisas que fazemos.
Isso já é uma constatação em si, e nós a reportamos como tal. Na prática, a alavanca é contratual: direitos de auditoria e anexos de segurança acordados na assinatura valem muito mais do que pedidos feitos depois. Onde esses direitos não existem, dizemos o que incluir na renovação.
Não todos. Organize a base em camadas primeiro, depois avalie a camada crítica direito e trate o restante com um questionário mais leve e com respostas conferidas. Espalhar o mesmo esforço por duzentos fornecedores não avalia nenhum deles bem.
Só se você quiser, e sempre com a sua apresentação. Alguns clientes preferem que trabalhemos inteiramente pela equipe de gestão de fornecedores; outros percebem que um avaliador independente faz perguntas mais duras e obtém respostas mais diretas. As duas formas funcionam.
Fornecedores críticos, anualmente, e imediatamente diante de uma mudança relevante: uma aquisição, um vazamento, a troca por um novo suboperador ou uma mudança nos dados que eles guardam. Camadas inferiores podem seguir um ciclo mais longo.
Solicitar uma avaliação
Vamos falar da sua necessidade
Conte para nós, por alto, quantos fornecedores estão envolvidos e o que eles tocam. Voltamos com um escopo, um método e um número, não com um folheto.