Diligência de fornecedores: um processo para vários frameworks

Todo framework relevante exige que você gerencie o risco de fornecedores, como mostra a nossa comparação de requisitos de fornecedores e cadeia de suprimentos. Os requisitos se sobrepõem tanto que um único processo, projetado uma vez, pode atender a todos eles. Eis uma estrutura que faz isso.

Etapa 1: um único inventário

Liste todos os fornecedores com acesso aos seus sistemas, dados ou instalações e, para cada um, registre: o que fazem, quais dados tratam e quais frameworks isso põe em jogo (dados de titulares de cartão para PCI DSS, ePHI para HIPAA, dados pessoais para GDPR, serviços que apoiam um serviço regulado pela NIS2). PCI DSS (12.8.1), ISO 27001 (A.5.19) e os CIS Controls (15.1) começam todos por aqui.

Etapa 2: classifique-os em níveis

• Nível 1: acesso a dados sensíveis ou a sistemas de produção, ou essencial para o seu serviço.
• Nível 2: acesso limitado ou criticidade moderada.
• Nível 3: sem acesso a dados sensíveis; baixo impacto em caso de falha.

A classificação em níveis é o que mantém o processo proporcional. O CIS a chama de classificação de provedores de serviços (15.3).

Etapa 3: avalie por nível

• Nível 1: um relatório de asseguração independente que cubra o serviço utilizado (relatório SOC 2 Tipo II ou certificado ISO 27001 com escopo relevante), mais um questionário breve sobre o que o relatório não cobre. Leia o relatório: escopo, período, exceções, exclusões (carve-outs) e os controles que você deve operar.
• Nível 2: um questionário padrão ou o relatório, se o fornecedor tiver um.
• Nível 3: uma verificação básica na integração.

Etapa 4: contrate uma vez, cobrindo tudo

Redija cláusulas de segurança que cubram todos os frameworks de uma vez:

• Obrigações de segurança proporcionais ao serviço.
• Notificação de violações a você, com prazo curto o suficiente para atender às suas próprias obrigações (24 horas da NIS2, 72 horas do GDPR).
• Cláusulas do Artigo 28 do GDPR quando tratarem dados pessoais em seu nome; um contrato de associado de negócios quando a HIPAA se aplicar.
• Direitos de auditoria ou avaliação, e devolução ou exclusão de dados ao término do contrato.
• Para PCI DSS, reconhecimento de suas responsabilidades sobre dados de titulares de cartão (12.8.2) e uma divisão documentada de responsabilidades (12.8.5).

Etapa 5: monitore e encerre o relacionamento

Reavalie os fornecedores de Nível 1 anualmente (o PCI DSS exige monitoramento anual da conformidade dos provedores de serviços, 12.8.4), os de Nível 2 a cada um ou dois anos, e reaja a incidentes e mudanças. No encerramento, revogue o acesso, recupere ou exclua os dados e registre tudo (CIS 15.7).

Um questionário breve que funciona

Para fornecedores sem relatório de asseguração independente, um questionário curto é melhor que um longo, porque as pessoas respondem bem aos curtos. Dez perguntas cobrem a maior parte do que todos os frameworks exigem:

1. Quais dos nossos dados você acessará, armazenará ou tratará, e onde?
2. Você possui um relatório SOC 2 atual ou certificado ISO 27001 que cubra este serviço?
3. O MFA é obrigatório para todo acesso a sistemas que contenham nossos dados?
4. Com que rapidez as vulnerabilidades críticas são corrigidas?
5. Nossos dados são criptografados em repouso e em trânsito?
6. Os backups são realizados, protegidos e testados?
7. Como e com que rapidez você nos notificará sobre um incidente que afete nossos dados?
8. Quais subcontratados tratam nossos dados?
9. Como nossos dados são devolvidos ou excluídos quando o contrato termina?
10. Quem é o seu contato de segurança?

Mapeie cada resposta aos seus requisitos uma única vez e reutilize o mapeamento para todos os fornecedores. A análise de lacunas e o tópico de risco na cadeia de suprimentos mostram como cada framework formula esses requisitos.

Principais conclusões

• Um único inventário de fornecedores, classificado por risco, atende a todos os frameworks.
• Aceite relatórios de asseguração independentes quando o escopo for adequado, e leia-os.
• Redija os termos contratuais uma vez, para cobrir todas as obrigações.

Um registro por fornecedor

Mantenha tudo (nível, avaliações, relatórios analisados, termos contratuais, revisões) em um único local por fornecedor. Os auditores de cada framework poderão então encontrar suas evidências no mesmo registro.

A página de tópico Risco de Fornecedores lista cada requisito com sua fonte, e nosso artigo sobre por que "certificado SOC 2" é a pergunta errada trata da leitura de relatórios de fornecedores.

Perguntas

Posso aceitar o relatório SOC 2 de um fornecedor em vez de um questionário?

Muitas vezes, sim, se o relatório for do Tipo II, recente, cobrir o serviço que você utiliza, e você analisar as exceções e os controles complementares do usuário da entidade. Um relatório que não cubra o seu serviço diz pouco.

Quais frameworks exigem que contratos com fornecedores incluam termos de segurança?

ISO 27001 (A.5.20), PCI DSS (12.8.2), GDPR para operadores (Artigo 28), contratos de associado de negócios da HIPAA e as medidas de cadeia de suprimentos da NIS2 exigem termos de segurança nos acordos com fornecedores.

Com que frequência os fornecedores devem ser reavaliados?

Fornecedores críticos pelo menos anualmente (o PCI DSS exige monitoramento anual da conformidade dos provedores de serviços), os demais a cada um ou dois anos, e qualquer fornecedor após um incidente relevante ou mudança no serviço.