Gerenciamento de Fornecedores

Implemente um programa de gerenciamento de riscos de fornecedores que cubra questionários de avaliação de fornecedores, pontuação de risco, rastreamento de contratos, monitoramento de SLAs e supervisão contínua para conformidade com SOC 2, ISO 27001 e estruturas regulatórias.

Níveis de Risco de Fornecedores

vendor_risk_tiers:
  critical:
    criteria:
      - Processes or stores sensitive/regulated data (PII, PHI, PCI)
      - Single point of failure (no alternative vendor)
      - Has privileged access to production systems
      - Handles authentication or security-critical functions
    assessment_requirements:
      - Full security questionnaire (SIG or custom)
      - SOC 2 Type II report review (or equivalent)
      - Penetration test results review
      - On-site or virtual security assessment (optional)
      - Business continuity and DR plan review
    review_frequency: Annual
    contract_requirements:
      - Data processing agreement (DPA)
      - Business associate agreement (BAA) if PHI
      - Security SLA with breach notification timeline
      - Right to audit clause
      - Cyber insurance requirements
    examples:
      - Cloud infrastructure providers (AWS, Azure, GCP)
      - Identity providers (Okta, Azure AD)
      - Payment processors (Stripe, Adyen)
      - Primary database or CRM SaaS

  high:
    criteria:
      - Accesses significant company data (internal or confidential)
      - Integrates with production systems via API
      - Processes customer-facing transactions
      - Substitution would cause significant business disruption
    assessment_requirements:
      - Security questionnaire
      - SOC 2 report review (Type I or Type II)
      - Compliance certifications verified
    review_frequency: Annual
    contract_requirements:
      - Data processing agreement
      - Security requirements appendix
      - Incident notification clause (72 hours)
    examples:
      - Email/marketing platforms (SendGrid, HubSpot)
      - Monitoring and logging SaaS (Datadog, Splunk)
      - CI/CD platforms (GitHub, GitLab)
      - Customer support platforms

  medium:
    criteria:
      - Limited data access (internal data only)
      - Non-production system integration
      - Some business impact if unavailable
    assessment_requirements:
      - Abbreviated security questionnaire
      - Compliance certification verification
    review_frequency: Every 2 years
    contract_requirements:
      - Standard vendor terms with security clause
      - NDA
    examples:
      - Project management tools
      - HR platforms
      - Travel and expense systems

  low:
    criteria:
      - No access to company data
      - No system integration
      - Easily replaceable
    assessment_requirements:
      - Basic due diligence (public info review)
      - Confirm no data sharing
    review_frequency: Every 3 years or on renewal
    contract_requirements:
      - Standard terms
    examples:
      - Office supply vendors
      - Facilities services
      - General consulting (no data access)

Questionário de Avaliação de Fornecedores

security_questionnaire:
  section_1_governance:
    questions:
      - "Vocês possuem uma política de segurança da informação documentada?"
      - "Existe um CISO (Chief Information Security Officer) ou líder de segurança designado?"
      - "Vocês realizam avaliações anuais de risco de segurança?"
      - "Vocês possuem um programa de treinamento de conscientização em segurança?"
      - "Quais certificações de conformidade vocês possuem? (SOC 2, ISO 27001, etc.)"
      - "Quando foi a última auditoria de segurança externa de vocês?"
      - "Vocês possuem seguro de responsabilidade cibernética? Quais os limites de cobertura?"
    evidence_requested:
      - Política de segurança da informação (ou resumo)
      - Relatório SOC 2 Tipo II (ou carta de ponte)
      - Certificado ISO 27001
      - Certificado de seguro cibernético

  section_2_access_control:
    questions:
      - "Como vocês gerenciam o acesso de usuários aos sistemas que contêm nossos dados?"
      - "A autenticação multifator é aplicada a todo o pessoal?"
      - "Com que frequência vocês realizam revisões de acesso?"
      - "Qual é o processo de vocês para revogar o acesso após o término do contrato de um funcionário?"
      - "Vocês suportam integração SSO/SAML para acesso de clientes?"
      - "Como vocês gerenciam o acesso privilegiado?"
    evidence_requested:
      - Política de gerenciamento de acesso
      - Documentação de configuração de MFA
      - Registros de revisão de acesso (amostra)

  section_3_data_protection:
    questions:
      - "Como nossos dados são criptografados em repouso?"
      - "Como nossos dados são criptografados em trânsito?"

…