Um par de vezes por mês chega-me o mesmo ficheiro. Uma folha de cálculo, entre 150 e 300 linhas, três colunas: pergunta, sim ou não, comentário. É o questionário de segurança que a área de compras ou a equipa de segurança de um cliente envia antes de assinar. Respondemos num dia, às vezes em menos, e quase sempre com documentação que já estava escrita.
Isso devia preocupar quem o envia. Se um fornecedor completa duzentas perguntas de segurança num dia sem esforço, o que esse questionário mediu foi a sua capacidade de ter os papéis em ordem. O risco que a organização estava a tentar avaliar ficou intacto.
Lidero a equipa de engenharia da SMARTFENSE e assino essas respostas, por isso vejo com bastante clareza que perguntas nos obrigam a mostrar algo real e quais se resolvem com um PDF. O relatório DBIR 2026 da Verizon coloca as vulnerabilidades de software na origem de 31% das violações, à frente das credenciais roubadas. Cada plataforma que acrescentas à tua organização é software de outra pessoa que corre sobre os teus dados, e o questionário é o único momento do processo de compra em que podes olhar lá para dentro.
O que mede realmente um questionário de segurança a fornecedores?
Um questionário de segurança a fornecedores é o instrumento com que uma organização avalia, antes de contratar, que risco assume ao ligar um terceiro aos seus dados, às suas identidades e aos seus sistemas. Essa é a intenção declarada.
Na prática, o formato padrão mede a maturidade documental, que se correlaciona com a dimensão do fornecedor muito mais do que com a sua postura de segurança. Um fornecedor grande com uma equipa de conformidade dedicada responde a qualquer questionário com excelência, tenha ou não controlos eficazes por trás. Um pequeno com engenharia impecável pode sair mal na fotografia por lhe faltar o documento que formaliza o que já faz.
A distinção útil, quando estás do lado de quem avalia, é separar três planos. O que o fornecedor declara (uma caixa assinalada). O que consegue provar se lho pedires (um certificado, um contrato). E o que consegues verificar por tua conta. O questionário tradicional esgota-se no primeiro plano, e é aí que perde quase todo o seu valor.
Porque é que uma certificação responde menos do que parece?
As certificações são necessárias e não há razão para trabalhar com um fornecedor que não tenha nenhuma. O problema aparece quando a conversa termina no logótipo.
O que decide se uma certificação te serve é o seu âmbito. Um certificado tem um perímetro declarado, e esse perímetro pode cobrir a plataforma produtiva completa ou apenas o escritório e os processos administrativos. As duas coisas parecem idênticas num logótipo. Perguntar o que ficou dentro do âmbito, o que ficou de fora e em que data foi emitido separa uma da outra num minuto.
O mesmo vale para o modelo de serviço. Se o fornecedor corre sobre infraestrutura de terceiros, parte dos controlos sobre os quais o estás a questionar não são dele. A resposta honesta a “como controlas o acesso físico ao teu centro de dados?” é muitas vezes que esse controlo é do fornecedor de nuvem e se comprova com a certificação dele. Insistir por uma resposta própria só consegue uma resposta pior.
Do nosso lado, os selos que mantemos e o seu âmbito estão publicados e são verificáveis, incluindo a qualificação do CCN (Centro Criptológico Nacional, o organismo espanhol de segurança para os sistemas da administração pública) para o tratamento de informação sensível no ENS (Esquema Nacional de Seguridad). Que estejam publicados também é informação. Se tens de os pedir por email para saber quais são, já aprendeste alguma coisa.
Que cinco perguntas separam um fornecedor de outro?
São as cinco que, quando nos chegam, nos obrigam a mostrar como está construída a plataforma. Nenhuma se responde com um documento genérico.
- Qual é o âmbito exato da tua certificação e o que ficou de fora? Um fornecedor que conhece o próprio âmbito di-lo de cor. Um que responde com o certificado em anexo e sem comentário provavelmente nunca leu o seu âmbito.
- Quem na tua equipa pode ver os dados dos meus colaboradores e o que fica registado quando o faz? O acesso do suporte existe em todas as plataformas. O que muda de uma para outra é se esse acesso fica registado de forma que o cliente o possa auditar depois.
- O que acontece aos meus dados no dia em que o contrato termina? É preciso fixar o prazo de eliminação, o formato de exportação, o que fica nas cópias de segurança e por quanto tempo. É a pergunta que mais se omite e a que sai mais cara quando chega o momento.
- Como se revoga o acesso de uma pessoa e em quanto tempo? Se a saída de um colaborador depende de alguém a registar à mão na plataforma, tens uma falha estrutural. Se se propaga a partir do teu diretório corporativo, não tens.
- Quem são os teus subcontratantes e como fico a saber quando mudam? O teu fornecedor tem fornecedores. Contratar o primeiro implica aceitar os que vêm atrás, por isso a lista e o mecanismo de aviso fazem parte do acordo.
As cinco perguntam como se comporta um controlo num caso concreto, em vez de perguntarem se o controlo existe. Vale a pena construir o resto da avaliação com essa mesma lógica, que encaixa no quadro de decisão para escolher plataforma.
Como verificas uma resposta sem acreditar na palavra do fornecedor?
A prova de conceito ou o período de avaliação são o melhor momento para verificar, e quase ninguém os usa para isso. Estas quatro verificações cabem numa tarde:
Pede a demonstração ao vivo. Cria um utilizador de teste, revoga-o e pede para ver o registo de auditoria dessas duas ações. Se o registo mostra quem o fez, quando e de onde, a resposta do questionário era verdadeira.
Procura a lista de subcontratantes sem perguntar. Se é uma página pública que o fornecedor mantém, há um processo por trás. Se ta têm de preparar, esse processo ainda não existe.
Repara se o estado do serviço é público. Uma página de estado acessível sem credenciais diz mais sobre a cultura operacional de um fornecedor do que três parágrafos sobre o seu plano de continuidade.
Pede o acordo de tratamento de dados antes de assinar. Lê-lo com tempo muda a negociação. Lê-lo depois só serve para saber o que aceitaste.
Que perguntas do questionário não acrescentam nada?
Há três famílias que ocupam metade do ficheiro e não produzem qualquer sinal.
As de sim ou não sem evidência associada. “Tem antivírus?”, “tem política de palavras-passe?”. Ninguém responde que não, por isso a pergunta não distingue dois candidatos e só acrescenta linhas.
As que pedem políticas internas completas. Receber o documento inteiro de gestão de acessos de um fornecedor gera muito para ler e pouquíssima informação sobre se essa política é aplicada. É preferível pedir um caso: como foi executada a última saída de um administrador.
E as que ignoram o modelo de serviço, como o caso do centro de dados referido acima, produzem respostas formalmente corretas e materialmente vazias.
Se cortares essas três famílias, o questionário desce a trinta ou quarenta perguntas e começa a servir para comparar candidatos.
Como respondemos nós a essas cinco perguntas?
Respondo às mesmas cinco, porque pedi-las sem as responder seria incómodo.
O âmbito dos selos está publicado na página ligada acima, com o detalhe do que cada um cobre.
Sobre quem vê os dados e o que fica registado, a plataforma mantém um sistema de proteção de registos de auditoria que regista as ações dos utilizadores finais, as dos utilizadores administrativos e as do próprio sistema, com registos que não se podem apagar nem ocultar. Um registo que o fornecedor pode editar não serve como evidência, e é essa distinção que torna auditável o acesso do suporte. O detalhe de como se apresentam esses registos está em relatórios e auditorias.
Sobre a revogação de acessos, a chave é não depender de um registo manual. A autenticação é delegada no fornecedor de identidade da organização através de SAML 2.0 e a lista de colaboradores mantém-se alinhada pelo diretório, por isso a saída do colaborador no sistema corporativo fecha o seu acesso. O fluxo completo está em como funciona a integração SSO de ponta a ponta, e porque nos ligamos com interfaces padrão em vez de instalar componentes no ambiente do cliente está em porque integramos via API e não um agente.
Sobre dados no fim do contrato e subcontratantes, ambos vivem no centro de RGPD, com o acordo de tratamento de dados e uma política de subcontratantes pública. O estado do serviço também se consulta sem credenciais.
Nenhuma destas respostas é exótica. Qualquer fornecedor devia poder dá-las sem preparar nada, e é por isso que funcionam como filtro.
Perguntas frequentes
O que é um questionário de segurança a fornecedores?
É o instrumento com que uma organização avalia, antes de contratar, que risco assume ao ligar um terceiro aos seus dados, às suas identidades e aos seus sistemas. Faz parte da gestão de risco de terceiros.
Quantas perguntas deveria ter?
Menos das que costuma ter. Trinta ou quarenta perguntas que pedem evidência de casos concretos distinguem melhor entre candidatos do que duzentas caixas de sim ou não, e podem ser revistas a sério.
Uma certificação substitui o questionário?
Não, porque o que determina a sua utilidade é o âmbito. Dois certificados com o mesmo logótipo podem cobrir perímetros muito diferentes, por isso convém perguntar o que ficou dentro, o que ficou de fora e em que data foi emitido.
O que é um subcontratante do tratamento e porque importa?
É um terceiro que o teu fornecedor contrata e que também trata dados pessoais teus, como a infraestrutura de nuvem ou um serviço de correio. Importa porque ao contratar o fornecedor aceitas toda a sua cadeia, e devias poder consultar a lista e ser avisado quando muda.
Qual é o melhor momento para verificar o que o fornecedor respondeu?
O período de avaliação. É quando podes criar um utilizador, revogá-lo e pedir o registo de auditoria dessas ações, o que verifica de uma só vez várias respostas do questionário.
Se estás a avaliar uma plataforma de consciencialização e preferes começar pelas respostas em vez da demonstração de produto, o centro de RGPD e a página de selos de confiança estão abertos. No fim a prova mais simples é essa, que o material esteja disponível antes de o pedires.
Deixe um comentário