Modelo gratuito de questionário de segurança do fornecedor GDPR (edição 2024)

O Regulamento Geral de Proteção de Dados (GDPR) da União Europeia (UE) é uma das leis de privacidade de dados mais robustas do mundo. O regulamento exige que todas as organizações que fazem negócios na UE ou coletam dados de residentes da UE cumpram várias políticas de segurança da informação e atendam aos padrões do setor para proteger dados confidenciais e evitar violações de dados.

Para alcançar a conformidade com o GDPR, uma entidade deve demonstrar conformidade em todas as suas operações, incluindo as atividades de seus fornecedores terceirizados. As entidades que fazem parceria com vários provedores de serviços para operações comerciais críticas devem desenvolver um questionário de segurança abrangente do GDPR para avaliar as medidas de segurança e as atividades de processamento de um fornecedor durante a due diligence e durante todo o ciclo de vida do fornecedor.

Ao desenvolver um questionário abrangente de segurança do fornecedor GDPR, as organizações podem simplificar partes do processo de integração do fornecedor e garantir a proteção de seus negócios contra riscos de conformidade e reputação.

Saiba mais sobre como o UpGuard ajuda as organizações com o gerenciamento de riscos de terceiros>

Principais áreas do GDPR

O GDPR espera que as organizações desenvolvam estratégias para mitigar os riscos de segurança cibernética internamente e em toda a cadeia de suprimentos de seus fornecedores. Embora a conformidade com o GDPR exija que as organizações atendam aos padrões de vários regulamentos, a estrutura pode ser resumida em quatro pilares distintos:

• Pilar 1: Avaliações de risco - Avaliar os padrões de privacidade de dados e as atividades de processamento de dados de todos os provedores de serviços com acesso aos dados do cliente.
• Pilar 2: Coleta de evidências de conformidade - Documentar evidências de controle de segurança do GDPR, demonstrar conformidade regulatória e nomear um diretor de proteção de dados (DPO).
• Pilar 3: Monitoramento contínuo - Para todas as formas de riscos de segurança de terceiros, com ênfase em fornecedores de alto risco que interagem com dados pessoais ou participam da coleta de dados
• Pilar 4: Recursos de trilha de auditoria - Mapeamento de fluxo de informações e proteções de segurança de dados em todo o ecossistema do fornecedor.

Leitura recomendada: Atendendo aos requisitos de risco de terceiros do GDPR em 2023

Responsabilidade do Controlador

É importante observar que o Artigo 24: Responsabilidade do Controlador do GDPR declara explicitamente que é responsabilidade do controlador de dados garantir que todos os fornecedores terceirizados cumpram os padrões regulatórios do GDPR. As organizações que fazem parceria com fornecedores terceirizados que não atendem às demandas do GDPR podem incorrer em multas significativas.

Por que os questionários de segurança do fornecedor são importantes?

Os questionários de segurança são vitais por vários motivos, incluindo o fato de permitirem que as organizações avaliem com precisão os riscos de segurança de um fornecedor antes de avançar com o processo de integração ou fornecer acesso a sistemas e infraestrutura críticos.

As organizações que fazem parceria com fornecedores terceirizados herdarão os riscos de segurança desses fornecedores. Quando um fornecedor recebe acesso a dados confidenciais e informações pessoais sobre um titular de dados, os riscos de reputação e conformidade tornam-se mais graves e proeminentes. Se uma organização não empregar um programa eficaz de gerenciamento de riscos de terceiros (TPRM), ela poderá ser exposta a danos e consequências irreparáveis.

Leitura recomendada: O que é um questionário de segurança?

Qualidades dos questionários de segurança abrangentes

As organizações podem utilizar questionários de segurança para avaliar uma variedade de tópicos relacionados à sua postura de segurança de terceiros, incluindo segurança da informação, segurança do data center, segurança de aplicativos da web, segurança de infraestrutura, política de segurança da informação e muito mais.

Independentemente do tópico abordado por um questionário de segurança, ele deve incluir as seguintes características para fornecer o mais alto nível de suporte à organização:

• Possuir uma base de padrões da indústria
• Abrange requisitos específicos da regulamentação
• Reconheça as necessidades e perguntas específicas da organização
• Utilize a automação quando possível para agilizar a entrada de dados e a entrega de questionários

Saiba mais sobre a biblioteca de questionários abrangentes de segurança de fornecedores da UpGuard>

Perguntas gerais a serem feitas aos fornecedores sobre o GDPR

Aqui estão as perguntas que sua organização pode usar para criar seu próprio questionário de segurança do GDPR e avaliar o status de seus fornecedores.

1. Sua organização realiza negócios na Europa ou na União Europeia (UE)?

• Sim
• Não
• [Abra o campo de texto para comentários do fornecedor]

2. Quão ciente sua organização está do GDPR?

• Estamos muito conscientes e podemos demonstrar conformidade
• Ciente e estamos trabalhando para demonstrar conformidade
• Conscientes, mas não podemos demonstrar conformidade
• Não estamos cientes
• [Abra o campo de texto para comentários do fornecedor]

3. Você consideraria a conformidade com o GDPR uma prioridade para sua organização?

• Sim
• Não
• [Abra o campo de texto para comentários do fornecedor]

4. Sua organização lida com as informações pessoais de algum residente da UE?

• Sim
• Não
• [Abra o campo de texto para comentários do fornecedor]

5. Em caso afirmativo, que tipos de dados sua organização manipula? [Marque todas as opções aplicáveis]

• Números de identificação
• Biometria
• Informações financeiras
• Informações de saúde
• Outro (especifique abaixo)
• [Abra o campo de texto para comentários do fornecedor]

Perguntas a serem feitas aos fornecedores sobre o Pilar 1: Avaliações de Risco

1. Quais controles sua organização possui para gerenciar a privacidade dos dados? [Marque todas as opções aplicáveis]

• Controles de acesso
• Encriptação
• Autenticação multifator
• Biometria
• Outro (especifique abaixo)
• [Abra o campo de texto para comentários do fornecedor]

2. Sua organização está familiarizada com os sete princípios do GDPR para processamento de dados?

• Sim
• Estamos cientes de alguns [especificar abaixo]
• Não
• [Abra o campo de texto para comentários do fornecedor]

3. Sua organização fornece um aviso de privacidade a todos os clientes?

• Sim
• Não
• [Abra o campo de texto para comentários do fornecedor]

4. Sua organização processa todos os dados de forma legal, justa e transparente?

• Sim
• Não
• [Abra o campo de texto para comentários do fornecedor]

5. Sua organização cumpre as limitações de finalidade, minimização, precisão, armazenamento e requisitos de confidencialidade do GDPR?

• Sim
• Não
• [Abra o campo de texto para comentários do fornecedor]

Perguntas a serem feitas aos fornecedores sobre o Pilar 2: Coleta de evidências de conformidade

1. Como sua organização e equipe de segurança documentam a conformidade com o GDPR?

• [Abra o campo de texto para resposta do fornecedor]

2. Sua organização nomeou um encarregado de proteção de dados (DPO)?

• Sim
• Não
• [Abra o campo de texto para comentários do fornecedor]

3. Se sim, forneça informações de contato

• Nome do funcionário: [ ]
• E-mail do funcionário: [ ]
• Telefone do funcionário: [ ]
• Outras partes interessadas relevantes: [ ]
• [Abra o campo de texto para comentários do fornecedor]

Perguntas a serem feitas aos fornecedores sobre o Pilar 3: Monitoramento Contínuo

1. Sua organização tem um programa ativo de gerenciamento de riscos de segurança cibernética?

• Sim
• Não
• [Abra o campo de texto para comentários do fornecedor]

2. Sua organização faz parceria com fornecedores terceirizados?

• Sim
• Não
• [Abra o campo de texto para comentários do fornecedor]

3. Em caso afirmativo, como sua organização monitora os riscos do fornecedor e identifica vulnerabilidades?

• [Abra o campo de texto para resposta do fornecedor]

4. Sua organização prioriza o gerenciamento de riscos do fornecedor?

• Sim
• Sim, mas poderíamos melhorar nosso sistema
• Não
• [Abra o campo de texto para comentários do fornecedor]

6. Em caso afirmativo, quais salvaguardas sua organização possui?

• [Abra o campo de texto para comentários do fornecedor]

Perguntas a serem feitas aos fornecedores sobre o Pilar 4: Recursos de trilha de auditoria

1. Como sua organização rastreia quem atualmente tem acesso a dados e informações confidenciais?

• [Abra o campo de texto para resposta do fornecedor]

2. Como sua organização rastreia as modificações de dados?

• [Abra o campo de texto para resposta do fornecedor]

3. Onde sua organização registra as solicitações de dados do cliente?

• [Abra o campo de texto para resposta do fornecedor]

Perguntas adicionais a serem feitas aos fornecedores

1. Sua organização está em conformidade com outras estruturas regulatórias? [Marque todas as opções aplicáveis]

• Lei de Privacidade do Consumidor da Califórnia (CCPA)
• ISO 27001
• Estrutura de privacidade do NIST
• Outros (especifique abaixo
• [Abra o campo de texto para comentários do fornecedor]

2. Sua organização sofreu uma violação de dados no ano passado?

• Sim
• Não
• [Abra o campo de texto para comentários do fornecedor]

3. Em caso afirmativo, explique o que aconteceu, o que foi identificado como a causa raiz e se algum dado confidencial foi comprometido.

• [Abra o campo de texto para resposta do fornecedor]

A biblioteca de questionários da UpGuard inclui um questionário abrangente do fornecedor GDPR e outros questionários de segurança que atendem aos padrões relevantes do setor. As organizações que buscam melhorar seus protocolos de due diligence de fornecedores e desenvolver programas robustos de gerenciamento de riscos podem usar a biblioteca de questionários da UpGuard para identificar e mitigar riscos em todo o ciclo de vida do fornecedor.

Além de sua abrangente biblioteca de questionários de segurança, o UpGuard Vendor Risk também fornece às organizações acesso a várias outras ferramentas poderosas de gerenciamento de risco do fornecedor (VRM).

Recursos notáveis e casos de uso do UpGuard Vendor Risk incluem:

• Classificações de segurança do fornecedor: entenda instantaneamente a postura de segurança do seu fornecedor
• Avaliações de risco do fornecedor: reduza o tempo necessário para avaliar fornecedores novos e existentes
• Classificação de fornecedores: classifique os fornecedores com base em seu nível de risco inerente e na tolerância de risco exclusiva de sua organização
• Relatórios de conformidade: mapeie os detalhes do fornecedor em relação a estruturas de conformidade comuns (NIST, ISO 27001 etc.)
• Detecção de vazamento de dados do fornecedor: evite vazamento de dados devido a violações de terceiros
• Monitoramento contínuo de fornecedores 24 horas por dia, 7 dias por semana: receba atualizações em tempo real quando as classificações de segurança do seu fornecedor mudarem

Comece sua avaliação gratuita do UpGuard agora mesmo.