Capítulo 22 — Governança, riscos e compliance de segurança: dados e dependências

Mapa da aula

Aula 22 publicada. Mapa, exemplo, EX064.

flowchart TD
  N0["22.1 Dependências de fornecedores"]
  N1["22.2 Níveis"]
  N2["Laboratório — Níveis de fornecedores por dados, crit"]
  N3["22.3 Controles proporcionais"]
  N4["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4
  N4 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX064"]

Desenho lógico

flowchart LR
  N0["22.1 Dependências de fornecedores"]
  N1["22.2 Níveis"]
  N2["Laboratório — Níveis de fornecedores por dados, crit"]
  N3["22.3 Controles proporcionais"]
  N4["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> Q["EX064"]

[22.1 Dependências de fornecedores]
    |
    v
[22.2 Níveis]
    |
    v
[Laboratório — Níveis de fornecedores por dados, crit]
    |
    v
[22.3 Controles proporcionais]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX064]

Objetivos de aprendizagem

Você vai (1) mapear as dependências de fornecedores; (2) classificar os fornecedores em níveis de risco; (3) fixar controles proporcionais para os fornecedores.

22.1 Dependências de fornecedores

A Elmfield depende de fornecedores para o sistema habitacional, o e-mail, a folha de pagamento, a manutenção e a impressão. Sofia mapeia o que cada fornecedor acessa: dados, sistemas ou instalações. Aprende que o NIST CSF 2.0 inclui a gestão de riscos de cibersegurança da cadeia de suprimentos na função Govern, e que a ISO/IEC 27002:2022 cobre a segurança da informação nas relações com fornecedores. Organizações pequenas dependem muito de fornecedores, então sua segurança costuma depender tanto dos controles deles quanto dos próprios. O acesso remoto do prestador de manutenção ao sistema habitacional mostra como os controles de um fornecedor passam a fazer parte da exposição da própria Elmfield.

22.2 Níveis

Sofia pontua cinco fornecedores de zero a dois em três fatores: acesso a dados pessoais, criticidade para os serviços e acesso remoto a sistemas. O laboratório soma as notas e atribui os níveis. O prestador de manutenção e o e-mail em nuvem somam cinco, nível alto. O escritório de folha de pagamento soma quatro, também alto, por meio dos dados pessoais e da criticidade, mesmo sem acesso remoto. A gráfica soma um e a empresa de limpeza, zero, ambas de nível baixo. A classificação permite à Elmfield concentrar o escrutínio nos três fornecedores de nível alto, em vez de tratar todos os fornecedores da mesma forma, e as notas explicam a razão de cada nível.

Laboratório — Níveis de fornecedores por dados, criticidade e acesso remoto

"""Supplier tiering: data access, criticality and remote access scored 0-2 (synthetic)."""
sup = {"repairs contractor": (1, 2, 2), "payroll bureau": (2, 2, 0), "cloud email": (2, 2, 1),
       "printing firm": (1, 0, 0), "cleaning company": (0, 0, 0)}
for s, (d, c, r) in sup.items():
    t = d + c + r; tier = "high" if t >= 4 else "medium" if t >= 2 else "low"
    print(f"{s}: score {t} tier {tier}")

Execute com python3 lab_tier.py. Saída verificada:

repairs contractor: score 5 tier high
payroll bureau: score 4 tier high
cloud email: score 5 tier high
printing firm: score 1 tier low
cleaning company: score 0 tier low

22.3 Controles proporcionais

Para os fornecedores de nível alto, Sofia recomenda perguntas de segurança antes dos contratos, cláusulas contratuais de notificação de violações e devolução de dados e uma revisão anual de seus relatórios de garantia ou certificações. Para os de nível baixo, basta uma cláusula curta de confidencialidade. Ela observa que o acesso remoto do prestador de manutenção precisa de atenção especial, porque sua equipe se conecta ao sistema habitacional a partir dos próprios escritórios; exigir contas nominais apoiaria também os controles contra mau uso escolhidos depois. Ela aprende que uma governança de fornecedores proporcional economiza esforço e concentra a atenção no risco real.

Exemplo resolvido

Sofia mapeia os acessos dos fornecedores, classifica cinco fornecedores, três deles de nível alto, e fixa controles proporcionais.

Caso sintético. Os fornecedores e as notas são sintéticos; o CSF 2.0 e a ISO/IEC 27002:2022 são reais.

Erros e limites

Notas simples perdem nuances. Os relatórios de garantia dos fornecedores variam de escopo.

Exercícios

• EX064 — Fatores dos níveis. Que três fatores são pontuados?
  Mostrar critérios de avaliação

  Rubrica: 3 = acesso a dados pessoais, criticidade, acesso remoto;; 2 = três;; 1 = vago;; 0 = nenhuma.
• EX065 — Nível alto. Que fornecedores ficam no nível alto?
  Mostrar critérios de avaliação

  Rubrica: 3 = prestador de manutenção, e-mail em nuvem, folha de pagamento;; 2 = três;; 1 = gráfica;; 0 = nenhuma.
• EX066 — Controles de nível alto. Cite dois controles para fornecedores de nível alto.
  Mostrar critérios de avaliação

  Rubrica: 3 = perguntas antes do contrato e cláusulas de notificação de violações;; 2 = controles;; 1 = vago;; 0 = nenhuma.

Síntese

Classificar os fornecedores em níveis concentra o escrutínio onde as dependências trazem risco real.