O que mede realmente um question\u00e1rio de seguran\u00e7a a fornecedores?<\/h2>\n
Um question\u00e1rio de seguran\u00e7a a fornecedores \u00e9 o instrumento com que uma organiza\u00e7\u00e3o avalia, antes de contratar, que risco assume ao ligar um terceiro aos seus dados, \u00e0s suas identidades e aos seus sistemas. Essa \u00e9 a inten\u00e7\u00e3o declarada.<\/p>\n
Na pr\u00e1tica, o formato padr\u00e3o mede a maturidade documental, que se correlaciona com a dimens\u00e3o do fornecedor muito mais do que com a sua postura de seguran\u00e7a. Um fornecedor grande com uma equipa de conformidade dedicada responde a qualquer question\u00e1rio com excel\u00eancia, tenha ou n\u00e3o controlos eficazes por tr\u00e1s. Um pequeno com engenharia impec\u00e1vel pode sair mal na fotografia por lhe faltar o documento que formaliza o que j\u00e1 faz.<\/p>\n
A distin\u00e7\u00e3o \u00fatil, quando est\u00e1s do lado de quem avalia, \u00e9 separar tr\u00eas planos. O que o fornecedor declara<\/strong> (uma caixa assinalada). O que consegue provar<\/strong> se lho pedires (um certificado, um contrato). E o que consegues verificar por tua conta<\/strong>. O question\u00e1rio tradicional esgota-se no primeiro plano, e \u00e9 a\u00ed que perde quase todo o seu valor.<\/p>\n As certifica\u00e7\u00f5es s\u00e3o necess\u00e1rias e n\u00e3o h\u00e1 raz\u00e3o para trabalhar com um fornecedor que n\u00e3o tenha nenhuma. O problema aparece quando a conversa termina no log\u00f3tipo.<\/p>\n O que decide se uma certifica\u00e7\u00e3o te serve \u00e9 o seu \u00e2mbito. Um certificado tem um per\u00edmetro declarado, e esse per\u00edmetro pode cobrir a plataforma produtiva completa ou apenas o escrit\u00f3rio e os processos administrativos. As duas coisas parecem id\u00eanticas num log\u00f3tipo. Perguntar o que ficou dentro do \u00e2mbito, o que ficou de fora e em que data foi emitido separa uma da outra num minuto.<\/p>\n O mesmo vale para o modelo de servi\u00e7o. Se o fornecedor corre sobre infraestrutura de terceiros, parte dos controlos sobre os quais o est\u00e1s a questionar n\u00e3o s\u00e3o dele. A resposta honesta a \u201ccomo controlas o acesso f\u00edsico ao teu centro de dados?\u201d \u00e9 muitas vezes que esse controlo \u00e9 do fornecedor de nuvem e se comprova com a certifica\u00e7\u00e3o dele. Insistir por uma resposta pr\u00f3pria s\u00f3 consegue uma resposta pior.<\/p>\n Do nosso lado, os selos que mantemos e o seu \u00e2mbito est\u00e3o publicados e s\u00e3o verific\u00e1veis<\/a>, incluindo a qualifica\u00e7\u00e3o do CCN (Centro Criptol\u00f3gico Nacional, o organismo espanhol de seguran\u00e7a para os sistemas da administra\u00e7\u00e3o p\u00fablica) para o tratamento de informa\u00e7\u00e3o sens\u00edvel no ENS (Esquema Nacional de Seguridad). Que estejam publicados tamb\u00e9m \u00e9 informa\u00e7\u00e3o. Se tens de os pedir por email para saber quais s\u00e3o, j\u00e1 aprendeste alguma coisa.<\/p>\n S\u00e3o as cinco que, quando nos chegam, nos obrigam a mostrar como est\u00e1 constru\u00edda a plataforma. Nenhuma se responde com um documento gen\u00e9rico.<\/p>\n As cinco perguntam como se comporta um controlo num caso concreto, em vez de perguntarem se o controlo existe. Vale a pena construir o resto da avalia\u00e7\u00e3o com essa mesma l\u00f3gica, que encaixa no quadro de decis\u00e3o para escolher plataforma<\/a>.<\/p>\n A prova de conceito ou o per\u00edodo de avalia\u00e7\u00e3o s\u00e3o o melhor momento para verificar, e quase ningu\u00e9m os usa para isso. Estas quatro verifica\u00e7\u00f5es cabem numa tarde:<\/p>\n Pede a demonstra\u00e7\u00e3o ao vivo.<\/strong> Cria um utilizador de teste, revoga-o e pede para ver o registo de auditoria dessas duas a\u00e7\u00f5es. Se o registo mostra quem o fez, quando e de onde, a resposta do question\u00e1rio era verdadeira.<\/p>\n Procura a lista de subcontratantes sem perguntar.<\/strong> Se \u00e9 uma p\u00e1gina p\u00fablica que o fornecedor mant\u00e9m, h\u00e1 um processo por tr\u00e1s. Se ta t\u00eam de preparar, esse processo ainda n\u00e3o existe.<\/p>\n Repara se o estado do servi\u00e7o \u00e9 p\u00fablico.<\/strong> Uma p\u00e1gina de estado acess\u00edvel sem credenciais diz mais sobre a cultura operacional de um fornecedor do que tr\u00eas par\u00e1grafos sobre o seu plano de continuidade.<\/p>\n Pede o acordo de tratamento de dados antes de assinar.<\/strong> L\u00ea-lo com tempo muda a negocia\u00e7\u00e3o. L\u00ea-lo depois s\u00f3 serve para saber o que aceitaste.<\/p>\n H\u00e1 tr\u00eas fam\u00edlias que ocupam metade do ficheiro e n\u00e3o produzem qualquer sinal.<\/p>\n As de sim ou n\u00e3o sem evid\u00eancia associada. \u201cTem antiv\u00edrus?\u201d, \u201ctem pol\u00edtica de palavras-passe?\u201d. Ningu\u00e9m responde que n\u00e3o, por isso a pergunta n\u00e3o distingue dois candidatos e s\u00f3 acrescenta linhas.<\/p>\n As que pedem pol\u00edticas internas completas. Receber o documento inteiro de gest\u00e3o de acessos de um fornecedor gera muito para ler e pouqu\u00edssima informa\u00e7\u00e3o sobre se essa pol\u00edtica \u00e9 aplicada. \u00c9 prefer\u00edvel pedir um caso: como foi executada a \u00faltima sa\u00edda de um administrador.<\/p>\n E as que ignoram o modelo de servi\u00e7o, como o caso do centro de dados referido acima, produzem respostas formalmente corretas e materialmente vazias.<\/p>\n Se cortares essas tr\u00eas fam\u00edlias, o question\u00e1rio desce a trinta ou quarenta perguntas e come\u00e7a a servir para comparar candidatos.<\/p>\n Respondo \u00e0s mesmas cinco, porque pedi-las sem as responder seria inc\u00f3modo.<\/p>\n O \u00e2mbito dos selos<\/strong> est\u00e1 publicado na p\u00e1gina ligada acima, com o detalhe do que cada um cobre.<\/p>\n Sobre quem v\u00ea os dados e o que fica registado<\/strong>, a plataforma mant\u00e9m um sistema de prote\u00e7\u00e3o de registos de auditoria que regista as a\u00e7\u00f5es dos utilizadores finais, as dos utilizadores administrativos e as do pr\u00f3prio sistema, com registos que n\u00e3o se podem apagar nem ocultar. Um registo que o fornecedor pode editar n\u00e3o serve como evid\u00eancia, e \u00e9 essa distin\u00e7\u00e3o que torna audit\u00e1vel o acesso do suporte. O detalhe de como se apresentam esses registos est\u00e1 em relat\u00f3rios e auditorias<\/a>.<\/p>\n Sobre a revoga\u00e7\u00e3o de acessos<\/strong>, a chave \u00e9 n\u00e3o depender de um registo manual. A autentica\u00e7\u00e3o \u00e9 delegada no fornecedor de identidade da organiza\u00e7\u00e3o atrav\u00e9s de SAML 2.0 e a lista de colaboradores mant\u00e9m-se alinhada pelo diret\u00f3rio, por isso a sa\u00edda do colaborador no sistema corporativo fecha o seu acesso. O fluxo completo est\u00e1 em como funciona a integra\u00e7\u00e3o SSO de ponta a ponta<\/a>, e porque nos ligamos com interfaces padr\u00e3o em vez de instalar componentes no ambiente do cliente est\u00e1 em porque integramos via API e n\u00e3o um agente<\/a>.<\/p>\n Sobre dados no fim do contrato e subcontratantes<\/strong>, ambos vivem no centro de RGPD<\/a>, com o acordo de tratamento de dados e uma pol\u00edtica de subcontratantes p\u00fablica. O estado do servi\u00e7o tamb\u00e9m se consulta sem credenciais.<\/p>\n Nenhuma destas respostas \u00e9 ex\u00f3tica. Qualquer fornecedor devia poder d\u00e1-las sem preparar nada, e \u00e9 por isso que funcionam como filtro.<\/p>\n O que \u00e9 um question\u00e1rio de seguran\u00e7a a fornecedores?<\/strong> Quantas perguntas deveria ter?<\/strong> Uma certifica\u00e7\u00e3o substitui o question\u00e1rio?<\/strong> O que \u00e9 um subcontratante do tratamento e porque importa?<\/strong> Qual \u00e9 o melhor momento para verificar o que o fornecedor respondeu?<\/strong> Se est\u00e1s a avaliar uma plataforma de consciencializa\u00e7\u00e3o e preferes come\u00e7ar pelas respostas em vez da demonstra\u00e7\u00e3o de produto, o centro de RGPD<\/a> e a p\u00e1gina de selos de confian\u00e7a<\/a> est\u00e3o abertos. No fim a prova mais simples \u00e9 essa, que o material esteja dispon\u00edvel antes de o pedires.<\/p>\n","protected":false},"excerpt":{"rendered":" O que mede um question\u00e1rio de seguran\u00e7a a fornecedores, porque \u00e9 que as certifica\u00e7\u00f5es respondem menos do que parece e as perguntas que distinguem.<\/p>\n","protected":false},"author":4,"featured_media":44232,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[3,687],"tags":[2305,455,2176,1418,2185],"class_list":["post-44239","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-blog","category-blog-pt-pt","tag-analisis-de-riesgos","tag-ciso-pt-pt","tag-conformidade-regulamentar","tag-gdpr-pt-pt","tag-plataforma"],"acf":[],"yoast_head":" \nPorque \u00e9 que uma certifica\u00e7\u00e3o responde menos do que parece?<\/h2>\n
Que cinco perguntas separam um fornecedor de outro?<\/h2>\n
\n
![\"Duas](\"https:\/\/smartfense.com\/file\/2026\/07\/apoyo-01-1785519094.jpg\")
<\/p>\nComo verificas uma resposta sem acreditar na palavra do fornecedor?<\/h2>\n
Que perguntas do question\u00e1rio n\u00e3o acrescentam nada?<\/h2>\n
Como respondemos n\u00f3s a essas cinco perguntas?<\/h2>\n
Perguntas frequentes<\/h2>\n
\n\u00c9 o instrumento com que uma organiza\u00e7\u00e3o avalia, antes de contratar, que risco assume ao ligar um terceiro aos seus dados, \u00e0s suas identidades e aos seus sistemas. Faz parte da gest\u00e3o de risco de terceiros.<\/p>\n
\nMenos das que costuma ter. Trinta ou quarenta perguntas que pedem evid\u00eancia de casos concretos distinguem melhor entre candidatos do que duzentas caixas de sim ou n\u00e3o, e podem ser revistas a s\u00e9rio.<\/p>\n
\nN\u00e3o, porque o que determina a sua utilidade \u00e9 o \u00e2mbito. Dois certificados com o mesmo log\u00f3tipo podem cobrir per\u00edmetros muito diferentes, por isso conv\u00e9m perguntar o que ficou dentro, o que ficou de fora e em que data foi emitido.<\/p>\n
\n\u00c9 um terceiro que o teu fornecedor contrata e que tamb\u00e9m trata dados pessoais teus, como a infraestrutura de nuvem ou um servi\u00e7o de correio. Importa porque ao contratar o fornecedor aceitas toda a sua cadeia, e devias poder consultar a lista e ser avisado quando muda.<\/p>\n
\nO per\u00edodo de avalia\u00e7\u00e3o. \u00c9 quando podes criar um utilizador, revog\u00e1-lo e pedir o registo de auditoria dessas a\u00e7\u00f5es, o que verifica de uma s\u00f3 vez v\u00e1rias respostas do question\u00e1rio.<\/p>\n