Um questionário de cibersegurança geralmente solicita um conjunto fixo de comprovantes: uma política de segurança da informação, uma visão geral de quem tem acesso a quais sistemas, um plano para quando algo der errado e a prova de que você realmente testa isso. Concretamente, geralmente envolve um documento de política, uma análise de riscos, um plano de resposta a incidentes, um relatório de um teste de penetração recente (uma tentativa controlada de invadir seus sistemas para encontrar pontos fracos), uma visão geral de backups e procedimentos de recuperação e prova de que os colaboradores receberam treinamento de conscientização.
O detalhe que mais importa neste tipo de questionário não é o conteúdo desses documentos, mas a data neles. Uma política de segurança da informação com três anos de idade, um relatório de pentest sem uma data de aprovação clara ou uma visão geral de treinamento que não mostra quando foi a última sessão: estas são precisamente as coisas pelas quais um cliente desaprova ou solicita complementação. O questionário em si frequentemente testa não apenas se uma medida existe, mas se é atual.
Por que a data tem tanto peso
Um questionário de cibersegurança tenta fornecer um instantâneo de como um fornecedor está agora, não como estava dois anos atrás. Um pentest com dois anos de idade diz pouco sobre os sistemas que foram atualizados ou substituídos entretanto. Um documento de política que não foi revisado desde uma reorganização pode não cobrir mais a situação atual. Os clientes que estão sob supervisão, por exemplo, através de regras sobre segurança de redes e informações, frequentemente transmitem essa expectativa de atualidade aos seus próprios fornecedores. Isso explica por que um portal às vezes solicita explicitamente uma data de validade junto ao documento em si.
Para empresas que se enquadram na Diretiva NIS2, ou que fazem negócios com uma organização que se enquadra, esses comprovantes frequentemente surgem em um arranjo fixo de medidas. O que essa diretiva exatamente exige e para quem, você pode ler na base de conhecimento; este artigo trata dos documentos em si, não do escopo das regras. banco de conhecimentos com explicação por tema fornece uma visão geral disso.
O que você geralmente precisa e não precisa fornecer
Nem todos os clientes solicitam a mesma profundidade. Um cliente grande com seu próprio departamento de compras de cibersegurança às vezes solicita o relatório de pentest completo; um cliente menor geralmente fica satisfeito com um resumo ou uma declaração de que foi testado e quando. O que você concretamente deve compartilhar depende do portal e do questionário desse cliente específico. Não é comum compartilhar código-fonte, política de senhas em detalhes ou diagramas de rede internos; essa informação geralmente não pertence a um questionário de fornecedor e um cliente cauteloso também não a solicita.
Um dossier, múltiplos questionários
O difícil nestes documentos não é que faltem, mas que estão dispersos: a política na TI, a visão geral de treinamento em RH, o relatório de pentest no terceirizado que conduziu o teste. No próximo questionário, você os reúne novamente e verifica se as datas ainda estão corretas. Um dossier de cadeia centralizado mantém esses documentos e sua data de validade em um único lugar, para que você veja em um novo questionário quais respostas ainda são atuais e quais precisam de uma atualização. Supplia preenche as perguntas na lista do seu cliente com base nisso; você confirma por resposta e envia você mesmo ao portal do seu cliente.
Se sua empresa está faltando documentos que frequentemente são solicitados, você vê rapidamente com a verificação gratuita que em algumas perguntas mostra onde você está. Como os dados em tal dossier são tratados e protegidos, você pode ler em a página sobre privacidade e proteção de dados. E se quiser saber como o Supplia obtém exatamente as respostas que preenche para si, encontra-se explicado em a explicação sobre como o sistema funciona.
Para a situação da sua própria empresa, com os seus próprios sistemas e riscos, uma conversa com um especialista em segurança informática ou um jurista especializado continua a ser o conselho mais fiável. Este artigo fornece uma visão geral do que é frequentemente perguntado, não uma avaliação do que é necessário ou suficiente no seu caso.
Quer ver quais os documentos que já estão em ordem na sua própria empresa e quais precisam de uma atualização? Faça a verificação rápida gratuita ou navegue pelos tópicos na base de conhecimento para ver o que é relevante para a sua situação.