Se a sua empresa atua na prestação de serviços de TI — gestão de servidores e redes, um helpdesk com acesso remoto ou manutenção de software nos clientes — o questionário de segurança que recebe costuma ser mais extenso do que o de outros fornecedores. Isto não acontece porque o seu cliente desconfia de si, mas porque o seu serviço oferece, por definição, acesso a sistemas que não lhe pertencem. Uma organização obrigada a avaliar a sua cadeia de fornecimento examina um prestador de serviços de TI mais minuciosamente do que um fornecedor de mobiliário de escritório.
As perguntas que recorrem neste sector costumam dividir-se em três grupos: como gere remotamente, como regula o acesso aos sistemas de clientes e como lida com subcontratados. Abaixo, para cada grupo, apresentamos o que normalmente é perguntado e porquê.
Porque é que os prestadores de serviços de TI constituem uma categoria separada
Uma organização obrigada deve, nos termos da Diretiva NIS2, avaliar também os riscos que chegam através de fornecedores. Um gabinete de contabilidade que apenas processa faturas constitui um risco diferente do de uma entidade que pode aceder ao servidor empresarial durante a noite para aplicar uma atualização. Os supervisores e a própria diretiva mencionam explicitamente esta dependência dos serviços de TI como um ponto de atenção dentro da cadeia de valor. Para si, isto significa que o questionário frequentemente não aborda o seu escritório, mas o caminho que os seus colaboradores e sistemas percorrem até à rede do cliente.
Perguntas sobre gestão remota
Se gere remotamente os sistemas de clientes, utilizando ferramentas de monitorização e gestão remota (RMM) ou uma ligação VPN, o questionário normalmente pergunta pela segurança dessa ligação. Os tópicos típicos incluem: se o acesso remoto requer apenas autenticação multifator, se as sessões são registadas e durante quanto tempo os registos são conservados, se existe uma janela de tempo fixa para a realização da manutenção e o que acontece se um portátil de um técnico é roubado ou desaparece. Surge também com frequência a pergunta sobre se o próprio software RMM é mantido atualizado — uma vulnerabilidade nesse programa afeta de uma vez todos os clientes que são geridos através dele, o que o torna um ponto sensível para os contratantes.
Perguntas sobre acesso aos sistemas de clientes
O segundo grupo de perguntas diz respeito a quem tem exatamente acesso a quais sistemas. Pense em: trabalha segundo o princípio de que uma pessoa só tem acesso ao que é necessário para a tarefa (privilégio mínimo), o acesso é revogado imediatamente quando um colaborador sai ou muda de função, e as palavras-passe e chaves de acesso são separadas por cliente ou partilhadas entre trabalhos. Alguns questionários também perguntam por um resumo de quem teve acesso durante um determinado período, algo que só é possível responder se esse resumo já estiver sendo mantido. Quem não tem este tipo de informação à mão frequentemente perde não porque a segurança seja inadequada, mas simplesmente porque a resposta não pode ser fornecida com rapidez suficiente.
Perguntas sobre subcontratados e a sua própria cadeia
O terceiro grupo de perguntas é frequentemente esquecido até surgir na mesa: você usa subcontratados para partes do serviço, como um fornecedor externo para o helpdesk fora do horário comercial ou para gerenciamento de rede especializado? Um cliente que precisa mapear sua própria cadeia quer saber se ela termina em você ou continua adiante. As perguntas sobre isso geralmente abrangem se os subcontratados recebem os mesmos requisitos de segurança que você implementa e se o cliente é informado antecipadamente quando um novo subcontratado é acionado. Este é também o ponto em que o questionário pode ir além para informações que não são razoavelmente necessárias para avaliar o risco; onde essa linha fica não é a mesma em todas as situações e merece uma consideração específica.
O que isso significa para a resposta que você dá
As perguntas acima não são uma lista de verificação isolada, mas um padrão recorrente, e esse padrão muda pouco de cliente para cliente neste setor. Isso torna válido conhecer antecipadamente onde você se encontra — quais desses tópicos já têm um proprietário e uma evidência atribuídos e quais ainda estão soltos. em algumas perguntas, ver se e como você é afetado fornece uma primeira direção para isso, e os tópicos desenvolvidos por situação aprofunda-se em medidas específicas como controle de acesso e avaliação de fornecedores. Se você duvidar se uma pergunta feita ainda está dentro de limites razoáveis, é algo para discutir com o próprio cliente ou, em caso de obscuridade persistente, com um jurista; as perguntas mais frequentes sobre este tópico fornece vários pontos de partida.
Se deseja ver sem obrigações onde sua empresa se encontra em relação a esses tipos de questionários, realize a verificação rápida gratuita ou navegue pela base de conhecimento em secria.eu — ambas são acessíveis sem conta.