Modelo gratuito de questionário de segurança para fornecedores
Responda três perguntas sobre um fornecedor e receba um questionário de segurança no tamanho do risco dele: curto para fornecedores de baixo risco, completo para os que guardam seus dados ou se conectam aos seus sistemas.
Por que ajustar o questionário ao fornecedor?
Enviar a mesma planilha de 300 perguntas para todo fornecedor desperdiça o tempo de todos: fornecedores pequenos desistem ou respondem sem cuidado, e sua equipe não consegue revisar tudo. A classificação por nível de risco faz poucas perguntas aos fornecedores de baixo risco e reserva a avaliação completa para os que guardam dados sensíveis, se conectam aos seus sistemas ou mantêm seu negócio funcionando.
Como o nível de risco é definido
- Dados: quanto mais sensíveis os dados que o fornecedor vê, maior o risco. Dados de saúde, financeiros e de identidade sempre colocam o fornecedor no nível 1.
- Acesso: direitos de administrador ou uma conexão à sua rede fazem do problema de segurança de um fornecedor um problema seu. Uma conexão de rede sempre significa nível 1.
- Criticidade: o quanto uma interrupção no fornecedor afetaria suas operações ou seus clientes.
O que um bom questionário para fornecedores cobre
Governança e certificações, controle de acesso, proteção de dados e privacidade, infraestrutura e operações, segurança de aplicações, resposta a incidentes e continuidade, e os próprios subcontratados e pessoas do fornecedor. Inclua perguntas sobre dados de saúde ou de cartão quando o fornecedor lidar com esses dados. Peça evidências nas respostas mais importantes, não apenas sim ou não.
Aceitar SOC 2 ou ISO 27001 no lugar
Um relatório SOC 2 Tipo 2 ou certificado ISO 27001 vigente já cobre muitos controles gerais. Aceitá-lo no lugar dessas perguntas torna a avaliação mais rápida para os dois lados. Confira o escopo e as datas, leia as exceções de um relatório SOC 2 e ainda assim faça as perguntas específicas dos seus dados e do serviço.
Perguntas frequentes
Este modelo de questionário para fornecedores é gratuito?
Sim. Crie e baixe quantos questionários quiser, em PDF ou em CSV para enviar aos fornecedores, sem criar conta.
É o mesmo que CAIQ, SIG ou HECVAT?
Não. Esses são questionários padrão publicados por outras organizações. Este gerador usa perguntas próprias e as mantém proporcionais ao risco do fornecedor; muitos fornecedores que já preencheram um questionário padrão conseguem respondê-lo rápido a partir desse trabalho.
Com que frequência os fornecedores devem ser reavaliados?
Uma prática comum é todo ano para o nível 1, a cada dois anos para o nível 2 e quando o escopo do serviço mudar para o nível 3. Reavalie antes após um incidente ou uma mudança importante no fornecedor.
Minhas informações são enviadas para algum servidor?
Não. O questionário é criado no seu navegador. Se você informar seus dados de contato e baixá-lo, a Sourceably salva esses dados para que nossa equipe possa ajudar você, a menos que você marque “Não entrar em contato”.