Planejando seu questionário de avaliação de segurança do fornecedor [edição 2023]

As parcerias de negócios exigem confiança, mas é difícil saber se seus fornecedores merecem essa confiança. Com o surgimento da tecnologia da informação, as maneiras pelas quais a confiança pode ser quebrada, intencionalmente ou não, se multiplicaram e se tornaram mais complexas.

Os questionários de avaliação de segurança do fornecedor são um método para verificar se os provedores de serviços seguem as práticas apropriadas de segurança da informação para que sua empresa possa avaliar o risco de confiar seus dados a eles.

Este artigo descreve algumas dicas úteis para criar questionários completos de avaliação de fornecedores como parte de seu programa de segurança. Os questionários de segurança são notoriamente irritantes de administrar. Um bom planejamento é fundamental para garantir que você faça as perguntas certas e de forma a fornecer a melhor visão do programa de gerenciamento de riscos do fornecedor.

1. Conheça o seu negócio

Os tipos de dados que sua empresa gera e os tipos de serviços que ela consome são considerações importantes para minimizar sua exposição ao risco de terceiros. A UpGuard descobriu violações de fornecedores terceirizados contendo informações identificáveis de clientes, especialmente detalhes de cartão de crédito e SSNs que podem ser usados por agentes mal-intencionados para roubo de identidade e fraude; violações contendo registros médicos valem ainda mais do que cartões de crédito na dark web; violações que contêm dados comerciais proprietários, como finanças, projetos, código e documentos de estratégia/mensagens, dão aos concorrentes uma vantagem quando expostos; e detalhes de uso e outros dados psicográficos podem ajudar os invasores a atingir as pessoas, fornecendo informações para tentativas de phishing mais focadas.

Por exemplo, se sua empresa usa produtos SaaS (Software-As-A-Service) em nuvem, entender a segurança dos dados estará entre suas principais preocupações. Se suas soluções de TI são usadas principalmente no local, onde o armazenamento está dentro de um data center gerenciado, você provavelmente desejará fazer mais perguntas sobre testes de segurança no ciclo de vida de desenvolvimento de software para entender a probabilidade de vulnerabilidades.

O número de relacionamentos com fornecedores que sua empresa tem e a criticidade desses relacionamentos também merecem ser esclarecidos. Alguns setores e empresas são fortes na integração vertical e os relacionamentos com fornecedores podem apresentar menos riscos. Em outros casos, os fornecedores fazem parte dos principais processos de negócios e podem expor facilmente seus ativos mais críticos.

Perguntas-chave

1. Que tipos de dados sua empresa cria e onde eles são armazenados?
2. Quantos fornecedores você tem?
3. Qual é a criticidade de seus relacionamentos com fornecedores?

Saiba como escolher um software de automação de questionários de segurança >

2. Esclareça seus objetivos

Como todo projeto, a criação de um questionário de avaliação de risco de fornecedor bem-sucedido começa com o estabelecimento de metas claras. Para organizações menos maduras, obter um questionário pode ser o objetivo. Para organizações mais maduras, você pode já ter um processo, mas precisa torná-lo mais eficiente. Um escopo maior para o seu questionário deve ser equilibrado com o aumento do custo de manutenção e administração.

Por fim, ser franco sobre o que está impulsionando seu programa de risco de fornecedor garante que todos tenham a mesma prioridade. Como seria o pior caso de violação de dados para sua empresa? Que penalidades regulatórias você pode enfrentar? Vidas humanas podem ser perdidas em uma interrupção do serviço? Embora o objetivo seja que tudo funcione perfeitamente o tempo todo, alcançar o alinhamento nas prioridades de nível superior fornecerá diretrizes que podem evitar conflitos ou mal-entendidos ao elaborar os detalhes de quais perguntas fazer.

Perguntas-chave

1. Como é uma violação de dados ruim para sua empresa?
2. Quantas avaliações você precisa processar por mês?
3. Como é um bom resultado para o programa de risco do fornecedor?

3. Bons artistas pedem emprestado

Quando se trata de avaliações de risco de fornecedores, não há necessidade de reinventar a roda. Embora não haja justificativa para desleixo - os riscos de terceiros são mais importantes do que nunca - prestamos um desserviço a nós mesmos e ao nosso ecossistema de clientes quando não construímos sobre o que foi feito antes. E assim como os humanos compartilham 99% de seu DNA com os macacos, as empresas são mais parecidas do que diferentes. As principais preocupações sobre o risco do fornecedor são basicamente as mesmas para todos - o fornecedor segue as melhores práticas de segurança, quem são seus fornecedores, qual tecnologia eles estão usando e se ela está atualizada - embora alguns pequenos detalhes mudem de empresa para empresa, entender essas questões centrais lhe dará uma compreensão geral de como seus fornecedores lidam com o risco de segurança.

Google VSAQ

Obter uma vantagem inicial em um programa de gerenciamento de risco de fornecedores pode ser fácil. Recursos como o VSAQ (Vendor Security Assessment Questionnaire) do Google são fantásticos para se mover rapidamente. Lançado originalmente em 2016, o VSAQ foi projetado especificamente para ajudar as empresas a entender as práticas de segurança dos fornecedores. Pronto para uso, ele aborda várias áreas, incluindo proteção de dados, gerenciamento da cadeia de suprimentos e política de segurança da informação. O VSAQ foi projetado para facilitar as avaliações de risco para os fornecedores, com foco na simplificação do processo de revisão de segurança.

ISO 27001, HIPAA, PCI DSS

No outro extremo do espectro de complexidade estão padrões como ISO 27001, HIPAA e PCI DSS (Payment Card Industry. Esses tipos de padrões abrangentes do setor e requisitos regulatórios tendem a resultar em questionários de segurança do fornecedor extremamente detalhados. Os questionários que estão em conformidade com esses padrões geralmente se aprofundam em conceitos, incluindo:

• Segurança física, incluindo os data centers do fornecedor
• Segurança de aplicativos, especialmente focada em testes de penetração de aplicativos da web
• Segurança de rede
• Segurança de dados
• Gerenciamento de incidentes de segurança e resposta a incidentes
• Práticas de teste de segurança no processo de desenvolvimento de software do fornecedor
• Treinamento de conscientização de segurança em toda a organização do fornecedor
• Recuperação de desastres e planejamento de continuidade de negócios para o fornecedor

O UpGuard VendorRisk produz facilmente questionários em conformidade com a ISO 27001, HIPAA e PCI DSS. Vários clientes em serviços financeiros, saúde e outros setores regulamentados usam o VendorRisk para validar os controles de segurança de seus fornecedores.

Com objetivos de alto nível para o programa e alguma consideração de prioridades, você está pronto para começar a redigir o questionário. Se você escolher um modelo ou padrão do setor, seu questionário de segurança será dividido em categorias que ajudam a organizar logicamente as perguntas e garantir uma cobertura abrangente, evitando pontos cegos para risco de segurança. Entender quais áreas são importantes e o que você precisa saber nessas áreas pode ajudar a criar um questionário personalizado, mas completo, para o seu negócio.

Perguntas-chave

1. Quais questionários de segurança para empresas semelhantes você pode encontrar online?
2. Quais questionários de segurança padrão oferecem perguntas que você pode usar?
3. Existe uma solução que pode ajudá-lo a começar a usar o recurso pronto para uso?
4. Como você saberá se seu programa de segurança não está funcionando?

4. Pessoal e Recursos

Uma restrição que deve contribuir para decidir o escopo e a especificidade do questionário de avaliação de risco do fornecedor é o número de pessoas que lerão e processarão as respostas. Em um mundo perfeito, você teria tanta informação quanto pode imaginar. Para aqueles de nós que vivem no mundo real, há custos de tempo para processar informações. Estruturar dados para respostas verdadeiras/falsas ou numéricas - qualquer coisa que possa ser avaliada programaticamente quanto a fatores de risco - pode ajudar a automatizar partes dessa entrada para que o tempo do pessoal seja gasto apenas lendo as seções de resposta livre que exigem interpretação e julgamento.

Com isso em mente, seu programa de risco de fornecedor terá algum tipo de orçamento e algumas pessoas trabalhando nele. Eles terão um número fixo de perguntas que podem ler por um determinado período de tempo. Suas perguntas devem ser formuladas para aproveitar ao máximo esse tempo - para eliminar rapidamente os não riscos e entender se os fornecedores atendem às suas necessidades.

Perguntas-chave

1. Quantas pessoas administrarão os questionários de avaliação de segurança do fornecedor?
2. Que outros deveres eles terão?
3. Como a entrada de avaliações pode ser acelerada ou automatizada?

5. Processo para administrar o ciclo de vida do documento

A distribuição de questionários é apenas parte da sua administração. Depois de enviar um, os destinatários podem precisar de lembretes de acompanhamento. O destinatário do questionário pode não ser o contato de segurança do fornecedor apropriado, criando um atraso adicional no final do atendimento. Se houver algum desvio do seu limite aceitável de gerenciamento de riscos ou escolhas tecnológicas por parte do fornecedor que não tenham sido discutidas anteriormente por sua organização, você precisará realizar revisões internas para decidir se a resposta é aceitável. Se estiver fora de sua política de segurança, você precisará revisar os resultados com o fornecedor e ver se ele pode corrigir os problemas ou mostrar que os controles de compensação em outras áreas reduzem os riscos apresentados por eles.

Depois de chegar a uma decisão sobre um envio aceitável do fornecedor, esses documentos precisam ser armazenados em alguma solução facilmente acessível e auditável para que possam ser recuperados no caso de uma revisão interna, alteração na política de segurança ou violação desse fornecedor. E, se tudo correr bem, eles precisam ser agendados para serem reenviados em algum momento no futuro. O ambiente de ameaças cibernéticas muda, seus negócios mudam e as práticas de segurança do fornecedor mudam. Os reenvios anuais de questionários de avaliação de risco do fornecedor fornecem alguma garantia de que essas coisas permanecem alinhadas.

À medida que os questionários de avaliação são coletados ao longo do tempo, a maneira como o perfil de risco de segurança de um fornecedor mudou pode ser deduzida das alterações entre os intervalos e pode mostrar se um fornecedor está se tornando mais resiliente ou mais arriscado à medida que o relacionamento prossegue.

Saiba como simplificar o processo de questionário do fornecedor >

Perguntas-chave

1. Com que frequência os questionários de segurança serão distribuídos aos fornecedores?
2. Quando os questionários de segurança precisarão ser acessados para revisão?
3. Quais partes desse processo podem ser automatizadas?

6. Limitações das avaliações do questionário do fornecedor

Se as avaliações de fornecedores parecem muito trabalhosas, é porque são. O objetivo de reiterar o que faz um bom questionário não é dizer o que você já sabe, mas ajudar a moldar o caso de negócios para você conduzir seu programa de segurança. Parte disso é saber o que está fora do escopo.

Leia nosso guia sobre os principais questionários de fornecedores.

Os questionários dependem de respostas de boa fé dos fornecedores em sua autoavaliação. Como não há visibilidade independente das políticas de segurança interna e das práticas de gerenciamento de risco de uma empresa, presume-se que os fornecedores respondam aos questionários de boa fé. No mínimo, os questionários de avaliação ajudam a proteger a empresa principal no caso de um incidente, mostrando que a devida diligência e a avaliação de segurança do fornecedor foram realizadas e que eles agiram sob a suposição de que o fornecedor tinha certos controles em vigor para proteger dados e serviços.

Em escala, manter questionários regulares para fornecedores torna-se difícil de manejar. Muitas empresas avaliam apenas seus fornecedores mais importantes, deixando centenas de outros desaparecidos. Rastrear contatos de segurança do fornecedor e renovações de questionários de avaliação pode ser um desafio, mesmo para um pequeno subconjunto de fornecedores. Esse processo geralmente enfrenta um trabalho comercial mais direto para sua equipe de segurança da informação e pode ser negligenciado se a sobrecarga administrativa superar o risco percebido.

As avaliações do questionário são normalmente enviadas anualmente, mas as mudanças no risco de segurança acontecem em segundos. As tecnologias são adicionadas, removidas e atualizadas; vulnerabilidades são descobertas em software anteriormente seguro; configurações e controles de acesso são modificados - este é o trabalho diário de um departamento de TI. É por isso que os questionários devem ser acompanhados por classificações de segurança externas independentes que possam rastrear mudanças observáveis ao longo do tempo.

7. Saiba mais

Há muito nos questionários de segurança do fornecedor e na avaliação de risco do fornecedor quando você começa a detalhar os detalhes. O processo envolve escrever questionários, enviá-los aos fornecedores, mantê-los até que sejam concluídos, revisar as respostas, decidir se o risco do fornecedor é aceitável e renovar os questionários em intervalos regulares.

No Guia para Questionários de Fornecedores, analisamos como melhorar o processo de avaliação de risco e questionário de segurança e o que o UpGuard faz para automatizá-lo e documentá-lo.