Os 11 principais questionários para avaliação de fornecedores de TI em 2023
As parcerias de negócios exigem confiança, mas é difícil saber em quais fornecedores você pode confiar para proteger as PII e PHI de seus clientes. Com o surgimento da tecnologia da informação, existem inúmeras maneiras pelas quais a confiança pode ser quebrada, intencionalmente ou não.
Como ponto de partida, você precisa de informações adicionais sobre políticas de segurança da informação, práticas de segurança interna, planos de resposta a incidentes e recuperação de desastres e quaisquer incidentes de segurança anteriores.
Os questionários de avaliação de segurança do fornecedor são um método para verificar se os provedores de serviços têm um programa de segurança apropriado em vigor.
Faça um tour pelos recursos de avaliação de risco do UpGuard >
O problema é que as melhores práticas de segurança cibernética e segurança da informação (InfoSec) estão em constante fluxo.
Novas estruturas de questionário de fornecedores são introduzidas diariamente. Cada um tem seus próprios casos de uso, vantagens e desvantagens.
Com isso dito, exploramos antes, planejar seu processo de questionário de segurança de fornecedor e usar um modelo de questionário de avaliação de risco de fornecedor pode simplificar os processos de integração e avaliação de risco de fornecedores, economizando tempo e dinheiro.
Além disso, o gerenciamento de risco do fornecedor é uma parte vital da redução do risco de terceiros e de terceiros, mitigando o risco cibernético e evitando violações de dados envolvendo fornecedores e provedores de serviços terceirizados.
O problema que você e muitos profissionais de gerenciamento de risco de terceiros (TPRM) enfrentam é que, à medida que mais avaliações de segurança de fornecedores foram introduzidas, tornou-se mais desafiador entender quais estruturas de avaliação de fornecedores usar, em que momento e para quais terceiros.
Na UpGuard, simplificar o gerenciamento de riscos de segurança faz parte do nosso trabalho. É por isso que compilamos uma lista de dez dos principais questionários usados nas avaliações de segurança de fornecedores de TI hoje.
Acreditamos que o gerenciamento de risco de terceiros é importante demais para ser deixado ao acaso, e é por isso que desenvolvemos o UpGuard Vendor Risk, uma plataforma robusta de gerenciamento de risco de fornecedores que usa classificações de segurança combinadas com uma biblioteca de questionários pré-criados para ajudá-lo a obter uma visão profunda da segurança do fornecedor e melhorar sua cobertura sem aumentar o número de funcionários.
Nosso módulo de questionário ajuda você a enviar questionários, melhora seu processo de revisão e salva os questionários preenchidos na plataforma, garantindo que estejam sempre acessíveis.
Além dos questionários de segurança, as classificações de segurança fornecem garantia instantânea de controles de segurança e monitoramento contínuo da postura de segurança externa de qualquer fornecedor. Leia mais sobre por que as classificações de segurança são importantes e como elas complementam os questionários de segurança aqui.
Os 11 principais questionários de avaliação de fornecedores de TI de 2023
1. Questionário da Lei de Privacidade do Consumidor da Califórnia (CCPA)
A Lei de Privacidade do Consumidor da Califórnia (CCPA) ou AB 375 é uma nova lei que entrou em vigor em 1º de janeiro de 2020, projetada para aprimorar os direitos de privacidade do consumidor e a proteção dos residentes no estado da Califórnia, impondo regras sobre como as empresas lidam com suas informações pessoais.
A CCPA é a legislação de privacidade do consumidor mais extensa aprovada nos Estados Unidos e é semelhante ao Regulamento Geral de Proteção de Dados (GDPR) da União Europeia e outras leis e regulamentos de privacidade de dados.
Assim como o GDPR, a CCPA é uma lei extraterritorial que se aplica a todas as organizações, independentemente de operarem na Califórnia.
Leia nosso guia completo sobre CCPA >
2. Centro de Segurança na Internet - Controles de Segurança Críticos do CIS (CIS First 5/CIS Top 20)
Os controles CIS para defesa cibernética eficaz são um conjunto priorizado de ações que formam um conjunto de defesa em profundidade de práticas recomendadas específicas e acionáveis para mitigar os ataques cibernéticos mais comuns.
Eles foram criados e mantidos pelo Center for Internet Security (CIS), uma organização sem fins lucrativos com visão de futuro que aproveita o poder de uma comunidade global de TI para proteger organizações públicas e privadas contra ameaças cibernéticas.
Os controles CIS incorporam as primeiras etapas para garantir a confidencialidade, integridade e disponibilidade de uma organização e podem ser considerados uma lista restrita de ações defensivas de alta prioridade e altamente eficazes para qualquer fornecedor que busque melhorar sua defesa cibernética.
Os primeiros cinco controles do CIS são frequentemente chamados de higiene cibernética e estudos mostraram que sua implementação fornece uma defesa eficaz contra os ataques cibernéticos mais comuns (~ 85% dos ataques).
Além disso, os controles CIS mapeiam muitas das principais estruturas de conformidade e padrões regulatórios, como o NIST Cybersecurity Framework, NIST 800-53, série ISO 27000 e regulamentos como PCI DSS, HIPAA, NERC CIP e FISMA.
Leia nosso guia completo sobre os controles críticos de segurança do CIS aqui.
3. Cloud Security Alliance — Questionário da Iniciativa de Avaliação de Consenso (CAIQ)
O Consensus Assessments Initiative Questionnaire (CAIQ) é uma avaliação de segurança fornecida pela Cloud Security Alliance (CSA), uma organização líder dedicada a definir e aumentar a conscientização sobre as melhores práticas de computação em nuvem segura. O CAIQ ajuda os consumidores e auditores de nuvem a avaliar os recursos de segurança da informação de provedores de data center e nuvem.
O CAIQ foi criado para abordar uma das principais preocupações que as organizações têm ao migrar para a nuvem, ou seja, a falta de transparência sobre quais tecnologias e táticas os provedores de nuvem implementam, em relação à proteção de dados e gerenciamento de riscos.
>Ele fornece padrões do setor comumente aceitos para documentar controles de segurança em ofertas de IaaS, PaaS e SaaS.
O CAIQ faz isso por meio de uma série de perguntas "Sim/Não" projetadas para verificar a conformidade com a Matriz de Controles de Nuvem (CCM) da CSA, que é composta por 133 objetivos de controle estruturados em 16 domínios que cobrem todos os principais aspectos da tecnologia de nuvem.
Leia nosso guia completo sobre o CAIQ aqui.
4. Questionário do Regulamento Geral de Proteção de Dados (GDPR)
O Regulamento Geral de Proteção de Dados (GDPR) é uma lei europeia extraterritorial que se aplica ao processamento, armazenamento e exposição de informações de identificação pessoal (PII) de cidadãos europeus.
A conformidade com o GDPR também significa conformidade com outras leis de privacidade, como CCPA, LGPD, SHIELD Act, FIPA e PIPEDA.
Embora muitas organizações saibam que devem processar dados de acordo com o GDPR, muitas esquecem que o GDPR se concentra exclusivamente nos dados, o que significa que todos os dados do cliente que passam ou são armazenados com um fornecedor também devem estar em conformidade com o GDPR.
Além disso, o GDPR exige que as organizações relatem violações de dados dentro de 72 horas à Autoridade de Proteção de Dados (DPA) nomeada, que cuidará das ramificações legais da exposição de dados, o que pode resultar em multas de até € 20 milhões ou 4% da receita global anual, o que for maior.
Para obter visibilidade sobre a conformidade do seu fornecedor com o GDPR, você precisará desenvolver um questionário robusto sobre o GDPR ou usar o disponível na plataforma UpGuard.
5. Ferramenta de Avaliação de Fornecedores da Comunidade de Ensino Superior - (HECVAT/HECVAT Lite)
A Ferramenta de Avaliação de Fornecedores da Comunidade de Ensino Superior (HECVAT) é um modelo de avaliação de segurança que generaliza questões de segurança da informação e proteção de dados do ensino superior, bem como questões relacionadas a serviços em nuvem para consistência e facilidade de uso.
O HECVAT tem várias versões que são gratuitas e fornecem uma estrutura de avaliação de risco de terceiros consistente e simplificada:
- HECVAT: 265 conjuntos de perguntas, incluindo perguntas de qualificação para HIPAA e PCI-DSS opt-in
- HECVAT Lite: Um questionário leve usado para agilizar o processo
- No local: um questionário exclusivo usado para avaliar a segurança do aplicativo no local.
Saiba como cumprir o HECVAT.
O HECVAT foi criado pelo Grupo de Trabalho de Avaliação Compartilhada do Conselho de Segurança da Informação do Ensino Superior (HEISC), EDUCAUSE, Internet2 e o Centro de Análise e Compartilhamento de Informações de Rede de Pesquisa e Educação (REN-ISAC).
Leia nosso guia completo sobre HECVAT aqui.
6. ISO 27001 Questionário
A ISO/IEC 27001 é uma das normas de segurança da informação mais conhecidas e utilizadas e faz parte da família de normas ISO/IEC 27000. É publicado pela Organização Internacional de Padronização (ISO) e pela Comissão Eletrotécnica Internacional (IEC).
A ISO 27001 adota uma abordagem sistemática para o gerenciamento de riscos de fornecedores, executando avaliações de risco padrão e verificações de conformidade e, em seguida, fornecendo sugestões e planos de ação para tratar e prevenir problemas no futuro.
Um dos maiores benefícios de usar o questionário ISO 27001 é que ele identifica proativamente como os fornecedores estão utilizando recursos e ferramentas incorretamente, o que geralmente resulta em lacunas de conformidade e ameaças à segurança em primeiro lugar.
Saiba como escolher um software de automação de questionários de segurança.
7. Questionário sobre escravidão moderna
O Questionário de Escravidão Moderna está alinhado com o Projeto de Lei de Escravidão Moderna da Austrália de 2018 e a Lei de Escravidão Moderna do Reino Unido de 2015.
Ele foi projetado para ajudar a ajudá-lo a identificar quaisquer riscos de escravidão moderna, permitir esforços colaborativos entre terceiros e organizações para lidar com os riscos, melhorar a transparência e identificar áreas para due diligence adicional.
8. Instituto Nacional de Padrões e Tecnologia - NIST SP 800-171
A Publicação Especial 800-171 do NIST, Protegendo Informações Não Classificadas Controladas em Sistemas e Organizações Não Federais (NIST SP 800-171) fornece às agências federais um conjunto de diretrizes destinadas a garantir que as Informações Não Classificadas Controladas (CUI) permaneçam confidenciais, disponíveis e inalteradas em sistemas e organizações não federais.
O NIST SP 800-171 contém 14 objetivos de segurança específicos, cada um com uma variedade de controles exclusivos.
Qualquer agência federal que se envolva com terceiros e quaisquer sistemas ou organizações não federais usados por agências federais devem cumprir o NIST 800-171. Os altos padrões de medidas de segurança que protegem dados confidenciais em toda a rede do fornecedor tornam o NIST 800-171 eficaz na redução dos riscos de ataque à cadeia de suprimentos.
Ao cumprir o NIST SP 800-171, você também atenderá à maioria dos critérios do NIST SP 800-53 e a conformidade com o NIST SP 800-53 é uma parte importante da conformidade com o FISMA e o FedRAMP.
Embora o NIST SP 800-171 se concentre principalmente em empresas que trabalham sob contrato com o governo, ele representa um esforço conjunto para melhorar a segurança cibernética em nível nacional e é uma estrutura detalhada que pode ser usada por qualquer organização que queira melhorar sua postura de segurança cibernética.
Leia nosso guia completo sobre NIST SP 800-171.
9. Grupo de Avaliações Compartilhadas — Questionário Padronizado de Coleta de Informações (SIG/SIG-Lite)
O questionário de coleta de informações padronizadas (SIG) é usado para realizar uma avaliação inicial dos fornecedores, coletando informações para determinar como os riscos de segurança são gerenciados em 18 domínios de risco diferentes.
O SIG foi desenvolvido pela Shared Assessments e é uma ferramenta holística para avaliações de gerenciamento de riscos de segurança cibernética, TI, privacidade, segurança de dados e resiliência de negócios.
Existem três tipos de questionário SIG:
- Questionário SIG: A avaliação SIG avalia os fornecedores com base em 18 controles de risco individuais, que juntos determinam como os riscos de segurança são gerenciados em todo o ambiente do fornecedor.
- SIG LITE: O questionário SIG é extenso, visando várias áreas de risco em várias disciplinas. Para fornecedores que têm menos risco inerente, que não exigem toda a avaliação do SIG, o SIG LITE pode ser valioso. Ele pega os conceitos e perguntas de alto nível das avaliações maiores do SIG, destilando-os em algumas perguntas.
- SIG CORE: SIG CORE é uma biblioteca de perguntas que as equipes de segurança podem escolher, incluindo perguntas extensas sobre GDPR e outros regulamentos de conformidade específicos.
Leia nosso guia completo sobre o questionário SIG aqui.
10. Vendor Security Alliance — Questionário VSA (VSA)
O questionário da Vendor Security Alliance (VSA) foi criado por uma coalizão de empresas comprometidas em melhorar a segurança da Internet.
A VSA emite dois questionários gratuitos que são atualizados anualmente:
- VSA-Full: Este é o questionário VSA clássico que se concentra profundamente na segurança do fornecedor e é usado por milhares de empresas em todo o mundo.
- VSA-Core: Este questionário é composto pela avaliação mais crítica do fornecedor, além da privacidade. A seção de privacidade abrange os requisitos de notificação de violação de dados dos EUA, a Lei de Privacidade do Consumidor da Califórnia (CCPA) e o Regulamento Geral de Proteção de Dados (GDPR).
Ao contrário de outros questionários, o processo de avaliação VSA foi criado com o fornecedor em mente. Seu foco é eliminar perguntas irrelevantes, reduzindo o tempo necessário para as equipes de segurança e InfoSec preencherem o questionário.
Leia nosso guia completo sobre o questionário da Vendor Security Alliance (VSA) aqui.
11. Questionário de Padrões de Segurança de Dados do Setor de Cartões de Pagamento (PCI DSS)
Os Padrões de Segurança de Dados do Setor de Cartões de Pagamento (PCI DSS) são um padrão de segurança da informação e segurança de dados para organizações que lidam com cartões de crédito de marca das principais bandeiras de cartões.
Em 2006, cinco grandes empresas de cartão de crédito - Visa, MasterCard, Discover, American Express e JCB - se uniram e estabeleceram o Conselho de Padrões de Segurança do Setor de Cartões de Pagamento (PCI Security Standards Council ou PCI SSC) para administrar e gerenciar padrões de segurança para empresas que lidam com dados de cartão de crédito.
Qualquer organização que aceite ou processe cartões de pagamento deve estar em conformidade com o PCI, o que envolve três coisas principais:
- Garantir que os detalhes confidenciais do cartão sejam coletados e transmitidos com segurança
- Armazenamento de dados com segurança, atendendo aos 12 requisitos de domínio de segurança do padrão PCI, como criptografia, monitoramento contínuo e teste de segurança do controle de acesso aos dados do cartão
- A validação anual de que os controles de segurança necessários estão em vigor, o que pode incluir formulários, questionários de segurança, verificação de vulnerabilidades externas e auditorias de terceiros.
Qual questionário é adequado para o seu programa de gerenciamento de riscos de terceiros (TPRM)?
Determinar a ferramenta de avaliação certa para o programa de gerenciamento de riscos de fornecedores (VRM) da sua organização não é algo para se tomar de ânimo leve. No entanto, o número e a qualidade dos questionários de segurança disponíveis para uso estão aumentando continuamente.
A maioria é atualizada e aprimorada regularmente (normalmente anualmente) por grupos de especialistas em segurança cibernética, segurança da informação, conformidade e risco, e é cada vez mais adotada pelas principais empresas do mundo.
Se você não tiver certeza de qual questionário ou estrutura é ideal para você, deixe nossa equipe da UpGuard ajudá-lo a decidir ou use nossa biblioteca de questionários pré-criados que podem simplificar o processo e economizar tempo e recursos significativos para sua equipe.
Saiba como simplificar o processo de questionário do fornecedor.
Por que você deve considerar o uso de classificações de segurança junto com questionários de fornecedores
As classificações de segurança fornecem às equipes de gerenciamento de riscos e segurança a capacidade de monitorar continuamente a postura de segurança de seus fornecedores.
O benefício das classificações de segurança junto com os questionários de segurança é que elas são geradas automaticamente, atualizadas com frequência e fornecem uma linguagem comum para as partes interessadas técnicas e não técnicas.
A principal coisa a entender é que as classificações de segurança preenchem a grande lacuna deixada pelas técnicas tradicionais de avaliação de risco, como questionários de segurança. Enviar questionários para todos os terceiros requer muito comprometimento, tempo e, francamente, nem sempre é preciso.
As classificações de segurança podem complementar e fornecer garantia dos resultados relatados nos questionários de segurança porque são verificáveis externamente, sempre atualizados e fornecidos por uma organização independente.
De acordo com o Gartner, as classificações de segurança cibernética se tornarão tão importantes quanto as classificações de crédito ao avaliar o risco de relacionamentos comerciais existentes e novos... Estes serviços tornar-se-ão uma condição prévia para as relações comerciais e parte do padrão de assistência aos prestadores e adquirentes de serviços.
Leia mais sobre por que as classificações de segurança são importantes aqui.
UpGuard é um dos provedores de classificação de segurança mais populares. Geramos nossas classificações por meio de algoritmos proprietários que recebem e analisam feeds de ameaças comerciais e de código aberto confiáveis e métodos de coleta de dados não intrusivos para avaliar quantitativamente o risco cibernético.
Baseamos nossas classificações na análise de 70+ vetores, incluindo:
- Suscetibilidade a ataques man-in-the-middle
- Certificados SSL/TLS inseguros
- Configurações de SPF, DKIM e DMARC
- Segurança de transporte estrita HTTP (HSTS)
- Falsificação de e-mail e risco de phishing
- Vulnerabilidades
- Suscetibilidade a malware
- Portas abertas desnecessárias de administração, banco de dados, aplicativo, e-mail e compartilhamento de arquivos
- Exposição a violações de dados conhecidas e vazamentos de dados
- Software vulnerável
- Acessibilidade HTTP
- Configuração segura de cookies
- Resultados de questionários de segurança inteligentes
Se você está curioso sobre outros serviços de classificação de segurança, consulte nosso guia sobre SecurityScorecard vs BitSight aqui.
O UpGuard Vendor Risk pode minimizar a quantidade de tempo que sua organização gasta avaliando controles de segurança da informação relacionados e de terceiros, automatizando questionários de fornecedores e fornecendo modelos de questionários de fornecedores personalizáveis.
Para a avaliação de seus controles de segurança da informação, o recurso de classificação de segurança do UpGuard pode monitorar sua organização para 70+ controles de segurança, facilitando violações de dados primários e de terceiros. Ao combinar classificações de segurança com monitoramento de superfície de ataque, o UpGuard remove as limitações de visibilidade das avaliações pontuais para fornecer reconhecimento em tempo real de sua superfície de ataque em evolução.
Assista a este vídeo para saber como o UpGuard melhora as colaborações com fornecedores para simplificar o ciclo de vida do gerenciamento de riscos do fornecedor.