Uma política de fornecedores para a prestação de serviços TIC é um inventário de cada parte que tem acesso, em seu nome ou paralelamente, aos sistemas, dados ou infraestrutura dos seus clientes, com uma descrição, por parte, do que é permitido, o que foi acordado e quando foi verificado pela última vez. Estabelece-a porque a obrigação de diligência que é imposta aos seus clientes os obriga também a avaliar a sua segurança — e porque, por seu turno, depende de subcontratados, software de gestão remota e parceiros de cloud que merecem a mesma avaliação.
O essencial é simples: quem pode aceder aos seus clientes deve constar do seu inventário. Isto aplica-se à entidade que aloja o seu sistema de tickets, ao profissional independente que implementa patches à noite e à ferramenta com que monitoriza remotamente uma estação de trabalho. Uma política de fornecedores não é uma formalidade; é a resposta à pergunta que o seu próprio cliente lhe fará um dia: quem mais pode aceder aos meus dados, e como sabe que o fazem corretamente.
Quem deve constar do inventário
Comece por uma lista abrangente e depois reduza. O inventário deve incluir subcontratados que realizam trabalho seu, fornecedores de software cujas ferramentas têm acesso aos ambientes dos clientes, parceiros de cloud onde aloja dados dos clientes e especialistas independentes que colaboram ocasionalmente. A pergunta que se coloca a si próprio por cada fornecedor não é se são importantes para o funcionamento do seu negócio, mas se — direta ou indiretamente — podem aceder aos sistemas ou dados dos seus clientes. Um fornecedor de consumíveis de escritório não se inclui; uma entidade que aloja o seu software de monitorização, sim.
É tentador incluir apenas os grandes fornecedores visíveis e omitir subcontratados menores porque a relação é informal. É precisamente aqui que as coisas correm mal: um acordo informal com um profissional independente que trabalha com as suas credenciais num cliente não é menos arriscado para o cliente do que um contrato com uma grande entidade. Quem duvida se a sua própria organização se encontra sujeita à obrigação de diligência e, portanto, obrigada a manter este inventário, pode esclarecê-lo em algumas perguntas.
O que registar por fornecedor
Por fornecedor, um conjunto limitado de dados é normalmente suficiente: que tipo de acesso tem a entidade (leitura, escrita, direitos de administrador), a que sistemas ou dados, existe um contrato com disposições sobre segurança, quem é o seu contacto, e quando verificou pela última vez se algo mudou. Este último ponto é frequentemente esquecido: um fornecedor avaliado há dois anos e desde então não revisto conta, na prática, como não avaliado. Uma data fixa anual para rever a lista evita isto.
Os conceitos que aparecem neste tipo de inventários — obrigação de diligência, cadeia de fornecimento, materialidade — tornam-se mais claros se os consultar separadamente da sua situação; a base de conhecimento por tema apresenta uma resposta breve e verificável por conceito.
Subcontratados: um ponto de atenção especial
Os subcontratados merecem atenção especial porque o cliente muitas vezes não sabe que existem. Se externaliza trabalho para uma terceira parte que, ao fazê-lo, acede aos sistemas dos clientes, é costume comunicar isso ao cliente e registar o que essa terceira parte pode fazer. Alguns contratos com clientes proíbem a subcontratação sem consentimento prévio; verificar isto faz parte do estabelecimento da política, não de uma discussão posterior com o cliente.
Gestão remota como categoria própria
Software para gerenciamento remoto — remote management, monitoring, ticketing com visualização compartilhada — merece um lugar separado na visão geral, mesmo que não seja um «fornecedor» no sentido comum. Essas ferramentas geralmente têm acesso amplo a muitos ambientes de clientes simultaneamente, o que as torna atrativas como vetor de ataque. Registrar quem pode acessar essas ferramentas, com quais direitos e com qual verificação, é, portanto, uma das primeiras coisas que um cliente solicita assim que a conversa sobre sua própria segurança começa.
Da visão geral para a resposta
Uma política de fornecedores que existe apenas no papel não ajuda quando um cliente envia uma lista de verificação amanhã. A visão geral só é útil quando está vinculada a uma prova por fornecedor e a um responsável que a mantém atualizada. Como esse registro vivo funciona na prática e de onde vêm as respostas correspondentes para listas de verificação está explicado em a página que mostra como a plataforma funciona.
Gostaria de verificar primeiro se sua organização está sujeita à obrigação de cuidado da NIS2 ou apenas é afetada pela cadeia? Faça a verificação gratuita ou navegue pelos tópicos — ambos podem ser consultados sem conta e fornecem imediatamente uma próxima etapa adequada à sua situação.