Como Avaliar a Segurança dos Seus Fornecedores de TI

A segurança dos fornecedores de TI é um dos riscos mais subestimados pelas PMEs portuguesas. O seu fornecedor de software, o técnico de informática, o prestador de serviços cloud — todos têm acesso a dados e sistemas críticos. Um fornecedor comprometido pode ser a porta de entrada para um ataque devastador.

O Risco da Cadeia de Fornecimento (Supply Chain Attack)

Um ataque à cadeia de fornecimento ocorre quando um atacante compromete um fornecedor para depois atingir os seus clientes. O caso mais notório foi o ataque SolarWinds em 2020, que comprometeu 18.000 organizações. A diretiva NIS2, agora em vigor em Portugal, exige avaliação e gestão dos riscos da cadeia de fornecimento.

As Perguntas Essenciais a Fazer aos Fornecedores

Como protegem as credenciais de acesso? Qual a política de atualizações? Onde são armazenados os dados? Realizam pen tests? Qual o processo em caso de incidente? Têm certificações ISO 27001 ou SOC 2?

O Que Deve Constar no Contrato

SLA com requisitos de segurança explícitos, cláusula de notificação de incidentes em 24h, Acordo de Tratamento de Dados conforme o RGPD, e cláusulas de rescisão em caso de incumprimento grave.

Gestão de Acessos de Fornecedores

Configure acessos com tempo limitado. Mantenha log de todos os acessos remotos. Revogue acessos imediatamente ao terminar o contrato. Aplique o princípio do mínimo privilégio — é um dos erros mais comuns nas PMEs.

Sinais de Alerta

Fornecedor não responde a perguntas básicas sobre segurança, usa as mesmas passwords em vários clientes, não tem política escrita de segurança, não tem seguro de responsabilidade civil profissional.

Conclusão

A segurança da sua empresa é tão forte quanto o elo mais fraco da cadeia. Comece por identificar fornecedores com acesso a dados ou sistemas críticos e priorize a avaliação desses.