Uma política de fornecedores para o setor de instalação é uma visão geral das partes com as quais você trabalha — subcontratados, profissionais autónomos, fornecedores de software para seu planeamento ou sistemas de gestão de edifícios — com uma avaliação de risco por parte. Para empresas de instalação, o enfoque geralmente não se limita ao acesso digital, mas também ao acesso físico: quem recebe uma chave, um cartão de acesso ou um login no sistema de gestão do seu cliente.
Isto torna o setor de instalação um caso especial. Enquanto uma empresa de software olha principalmente para quem pode aceder ao código-fonte, uma empresa de instalação observa quem está no edifício do cliente, que cabeamento está sendo operado e quais dados sobre esse edifício — plantas, códigos de alarme, registos de acesso — estão a ser enviados para um subcontratado. Uma política de fornecedores reúne estes dois mundos, físico e digital, numa única visão geral.
Por que isto é relevante mesmo sem obrigação própria
As empresas de instalação geralmente não se enquadram na obrigação de cuidado da Lei de Cibersegurança. Mas o cliente que está sujeito a essa obrigação — um hospital, uma empresa de energia, uma autarquia — deve avaliar sua própria cadeia, o que significa que também observa quem você contrata. Um subcontratado com um portátil desprotegido que faz login no sistema de gestão de edifícios de um hospital é um risco para esse cliente, mesmo que formalmente o contrato tenha sido celebrado com você. Uma política de fornecedores mostra que conhece e gere essa cadeia de distribuição, em vez de ficar devendo uma resposta assim que a pergunta chegar. Mais sobre o que exatamente esse cliente pode pedir, pode ler em a visão geral de tópicos por setor.
O que concretamente deve estar na política
Uma política de fornecedores viável começa com uma lista: quem trabalha para você, com que acesso e como essa relação é estabelecida. Para empresas de instalação, geralmente existem três categorias. Subcontratados e profissionais autónomos que trabalham no local e ganham acesso físico a edifícios, armários de chaves ou salas de servidores. Fornecedores de software para sistemas de planeamento, faturação ou gestão de edifícios que monitorizam ou colaboram remotamente. E fornecedores de materiais ou equipamento que às vezes também precisam de seu próprio login, por exemplo para registo de garantia remota.
Por cada parte, a questão é qual é um controlo razoável: uma declaração de que as palavras-passe não são partilhadas entre colaboradores, um acordo sobre o que acontece com os códigos de acesso após o término de um trabalho, ou simplesmente um contacto que pode alcançar se algo correr mal. Nem todos os fornecedores requerem a mesma profundidade — um fornecedor de parafusos exige algo diferente de um subcontratado que faz login na conta do seu cliente no sistema de gestão de um hospital.
Subcontratados e acesso: o ponto onde muitas vezes as coisas correm mal
No setor de instalação, trabalha-se frequentemente com subcontratados variáveis, por vezes para um trabalho único, por vezes estruturalmente. Isto torna a gestão de acessos mais difícil do que numa empresa com uma equipa fixa. Um ponto de partida prático é uma pergunta simples por subcontratado: essa pessoa recebe seu próprio cartão de acesso ou chave, ou trabalha-se com um código compartilhado? Esse acesso é revogado assim que o trabalho estiver concluído, ou permanece ativo até alguém se lembrar de bloqueá-lo? E quem dentro de sua própria empresa é responsável por essa revogação?
Estas perguntas parecem organizacionais, não técnicas, mas é exatamente sobre o que uma política de fornecedores trata: não sobre firewalls, mas sobre quem entra onde e porquê. Para as medidas mais amplas em torno do acesso dentro de sua própria empresa, há uma análise separada; este artigo aborda especificamente as partes fora de sua empresa que você contrata.
Como começar sem o transformar num projecto de um ano
Uma política de fornecedores não precisa estar completa de uma só vez. Uma ordem de trabalho viável é: comece com as partes que têm acesso aos ambientes mais sensíveis — sistemas de gestão de edifícios em clientes dos setores vitais, ou software que monitora remotamente. Registre por cada parte o que sabe, o que ainda precisa investigar e quem se encarrega disso. Depois, expanda esse levantamento para o resto da cadeia.
Se e em que medida isto é relevante para a sua empresa depende dos setores em que seus clientes operam e da natureza do seu próprio serviço. Uma verificação rápida mostra onde sua empresa se situa na cadeiae a base de conhecimento em secria.eu mostra por cada tema qual é a localização na redação oficial correspondente. A forma como mantemos essas fontes é explicada em a página sobre nossa metodologia.
O que este artigo não substitui
Uma política de fornecedores é um documento organizacional, não aconselhamento jurídico sobre seus contratos específicos ou responsabilidade perante subcontratados. Para dúvidas sobre este assunto, um advogado ou a associação setorial é o interlocutor apropriado. Perguntas frequentes sobre o âmbito da lei e o papel dos fornecedores estão reunidas em a página com perguntas frequentes.
Quer saber onde sua própria empresa se situa e quais fornecedores em sua cadeia merecem atenção em primeiro lugar? O verificador rápido é gratuito e oferece, em poucos minutos, uma primeira indicação, sem que você precise de uma conta.