Capítulo 27 — Fornecedores e terceiros

Capítulo 27 — Fornecedores e terceiros

Mapa da aula

Aula 27 publicada. Mapa, exemplo, EX079.

flowchart TD
  N0["27.1 Risco dos fornecedores"]
  N1["27.2 Avaliação proporcional"]
  N2["27.3 Gerenciando os acessos"]
  N3["27.4 Contratos e saída"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX079"]

Desenho lógico

flowchart LR
  N0["27.1 Risco dos fornecedores"]
  N1["27.2 Avaliação proporcional"]
  N2["27.3 Gerenciando os acessos"]
  N3["27.4 Contratos e saída"]
  N0 --> N1 --> N2 --> N3 --> Q["EX079"]

[27.1 Risco dos fornecedores]
    |
    v
[27.2 Avaliação proporcional]
    |
    v
[27.3 Gerenciando os acessos]
    |
    v
[27.4 Contratos e saída]
    |
    v
[Exemplo resolvido] --> [Exercício EX079]

Objetivos de aprendizagem

Você vai (1) identificar os riscos de segurança dos fornecedores; (2) avaliar os fornecedores de forma proporcional; (3) gerenciar os acessos e os contratos dos fornecedores.

27.1 Risco dos fornecedores

A Ashfield depende de fornecedores: um provedor do sistema bancário central, um processador de cartões, uma empresa de suporte de TI e um serviço de e-mail em nuvem. Cada um tem acesso aos dados ou aos sistemas da Ashfield, então a segurança deles afeta a da Ashfield. Aisha lista os fornecedores com os dados que tratam e os acessos que têm. Ela descobre que a empresa de suporte de TI tem acesso remoto permanente a todos os servidores. O Dr. Carrow observa que muitas violações começam num fornecedor com segurança mais fraca do que a do seu cliente. Ela registra os acessos e os dados de cada fornecedor num registro compartilhado.

27.2 Avaliação proporcional

Aisha não consegue avaliar a fundo todos os fornecedores, então os agrupa pelo risco. Os fornecedores com acesso aos dados dos associados ou aos sistemas recebem um questionário e pedidos de evidências, como certificações. Os fornecedores de baixo risco, como a empresa de limpeza do escritório, recebem apenas cláusulas contratuais básicas. Ela aprende que a certificação ISO/IEC 27001 pode ser uma evidência útil, mas somente se o escopo do certificado abranger os serviços que a Ashfield usa. Ela envia questionários aos quatro fornecedores de maior risco e registra suas respostas e evidências no registro de fornecedores, anotando as lacunas que exigem acompanhamento.

27.3 Gerenciando os acessos

Aisha recomenda que o acesso permanente da empresa de suporte de TI seja substituído por um acesso habilitado apenas quando um pedido de suporte for aprovado, registrado em log e desabilitado depois. A empresa concorda depois de uma breve conversa. Ela também recomenda que as contas dos fornecedores sejam revisadas na revisão trimestral de acessos, junto com as contas dos funcionários. Ela aprende que os acessos dos fornecedores muitas vezes são esquecidos porque os fornecedores não estão na lista de funcionários. O novo arranjo é testado no pedido de suporte seguinte, que avança sem atrasos, e a conta do fornecedor é desabilitada de novo quando o trabalho termina.

27.4 Contratos e saída

Aisha revisa os contratos dos fornecedores em busca de cláusulas de segurança: proteção dos dados, notificação de incidentes, direito de auditoria e devolução ou eliminação dos dados quando o contrato termina. Dois contratos não têm cláusulas de eliminação. Ela recomenda acrescentá-las na renovação. Ela observa que planejar a saída importa, porque trocar de fornecedor sem recuperar e eliminar os dados deixa cópias em lugares que a Ashfield já não controla. O chefe de operações acrescenta as cláusulas de eliminação à lista de verificação da renovação. Aisha também sugere que, quando um contrato terminar, a Ashfield peça uma confirmação por escrito de que seus dados foram eliminados.

Exemplo resolvido

Aisha lista os acessos dos fornecedores, escalona as avaliações pelo risco, substitui o acesso permanente do suporte por sessões aprovadas e acrescenta as cláusulas de eliminação que faltavam.

Caso sintético. Os fornecedores são sintéticos.

Erros e limites

A evidência de certificação só é útil se seu escopo abranger os serviços usados.

Exercícios

• EX079 — Acesso permanente. Que fornecedor tinha acesso remoto permanente? Rubrica: 3 = a empresa de suporte de TI;; 2 = parcialmente correto;; 1 = outro;; 0 = nenhuma.

• EX080 — Cautela com o certificado. Quando a certificação ISO/IEC 27001 é uma evidência útil? Rubrica: 3 = quando seu escopo abrange os serviços usados;; 2 = parcialmente correto;; 1 = vago;; 0 = nenhuma.

• EX081 — Cláusulas faltantes. O que faltava em dois contratos? Rubrica: 3 = cláusulas de eliminação de dados;; 2 = parcialmente correto;; 1 = outro;; 0 = nenhuma.

Continue estudando — aula 27 (capítulo 27 de 40)

← Capítulo 26 · Índice das aulas · Capítulo 28 →

Continue para a próxima aula já escrita.