Segurança da Informação na cadeia de suprimentos

É importante para a organização garantir que os pilares da Segurança da Informação mantidos internamente sejam respeitados em suas relações externas. Desse modo, a contratação de serviços externos deve ser feita com cuidado e o conhecimento de que toda parte externa trazida para o negócio é um risco em potencial para a Segurança da Informação.

Requisitos base da Segurança de Informação na cadeia de fornecimento

Ciclo de Vida dos Fornecedores

Todo fornecedor deverá funcionar de acordo com as restrições e escopos definidos em contrato sendo a duração dos seus acessos definidos pela duração definida em contrato.

Durante o primeiro contato com um fornecedor deve-se ser apresentado quais os serviços que pretende-se contratar em conjunto com os requisitos de segurança aos quais o fornecedor deverá seguir durante o cumprimento dos serviços. Nesta fase somente pode-se ser compartilhado documentos auxiliares e uma visão superficial da estrutura onde o fornecedor irá trabalhar.

Após definidos e acordados os requisitos, um NDA e o Contrato devem ser assinados para finalizar e oficializar a contratação, somente após essas assinaturas que os acessos devem ser criados. Para isso, o fornecedor deve providenciar uma lista de acessos que vai precisar, juntamente com o nome dos funcionários que irão exercer as funções contratadas.

Durante o prazo do Contrato extensões podem ser formalizadas, assim como mudanças caso necessário. Sejam ela para expansão dos serviços contratados assim como no caso de mudanças nas políticas de segurança da organização que deverão ser adaptadas e consequentemente seguidas pelo fornecedor.

Ao fim do contrato, caso não haja extensão, os acessos serão removidos assim que as transições necessárias finalizem com o prazo de remoção de todos os acessos até o dia final definido no contrato.

Tipos de Acesso

    Os fornecedores devem ser avaliados conforme o nível real e potencial de acessos aos dados que o fornecedor terá para o cumprimento dos serviços contratados.

• Alto: um acesso do tipo  alto significa que o fornecedor terá acesso ou ao banco de dados ou aos servidores de alguma forma. Geralmente envolvendo acesso à VPN pelo fornecedor e principalmente acessos com permissões que permitem a execução de tarefas de manutenção, edição ou atualização desses ativos.
• Moderado: Um acesso do tipo moderado significa que o fornecedor não terá acesso direto ao servidor ou ao banco de dados, porém as suas tarefas permitem que ele tenha acesso à informações ou ativos da organização e seus colaboradores assim como acesso a documentos internos.
• Baixo: um acesso do tipo baixo significa que os dados dos quais os fornecedores têm acesso são dados primariamente públicos ou anonimizados, focando em serviços mais superficiais ou temporários.

Requisitos mínimos de segurança.

Todos os fornecedores devem seguir os requisitos de segurança definidos em contrato. Embora diferentes serviços vão exigir diferentes níveis de risco à segurança da informação é correto imaginar que os riscos aumentam junto com o nível do acesso, dessa forma os requisitos básicos de segurança da informação para cada nível serão gradativamente maiores.

• Baixo: o fornecedor deverá assinar um acordo de confidencialidade, fornecer uma lista de pessoal autorizado a cumprir o serviço contratado e estar em conformidade com a Lei Geral de Proteção de Dados;
• Moderado: engloba os requisitos do nível baixo, com o acréscimo de precisar ter uma política de Segurança de Informação, trilha de auditoria interna capazes de gerar reportes caso solicitado;
• Alto: engloba os requisitos anteriores com o acréscimo da necessidade de políticas de controle de acesso maduros, possuir um Sistema de Gerenciamento de Segurança da Informação implementado, fazer o uso da VPN apenas quando necessário para o cumprimento das funções contratadas, realizar auditorias internas, ser aderente com a Política de Segurança da Informação da 2clix e possuir um Plano de Continuidade de Negócio e Gestão de Riscos e Incidentes.

Monitoramento

O monitoramento do cumprimento dos requisitos pode ser realizado com base nas trilhas de auditoria internas tanto da organização quanto do fornecedor, a equipe de Segurança pode ser acionada para a realização de uma auditoria no fornecedor com o escopo dos requisitos acordados em contratos.

Relatórios também podem ser gerados pela equipe de Segurança a partir da avaliação dos serviços prestados e seus resultados para a organização.

Treinamentos

A organização deverá realizar treinamentos com seus colaboradores em relação ao uso dos serviços do fornecedor, assim como quais os tipos de informação e acessos que o pessoal do fornecedor deverá ter ciência e quais tipos de dados e acesso não estão no escopo dos serviços do fornecedor. Dessa forma, visa-se garantir que o escopo das funções e acessos seja mantido por todos os colaboradores assim como o acesso a informações seja restrito apenas àquilo que foi acordado em contrato.

Mudança de Fornecedor

Nos casos em que há a mudança de fornecedor, um período de adaptação deve ser adotado para que não haja perda de dados ou indisponibilidade do Portal da Qualidade durante a transição. Caso seja necessário uma extensão de contrato com o fornecedor anterior pode ser feita para garantir que os dados e processos tenham sido completamente transferidos para a plataforma do novo fornecedor.

Documentação e Contratos

Os contratos de fornecedores devem conter os requisitos básicos de segurança de informação baseados no nível de acesso que o fornecedor terá, assim como requisitos particulares relacionados ao serviço contratado.  

Nesses requisitos deve-se deixar claro quais as os serviços contratados, qual o nível de acesso que o fornecedor terá assim como quais as informações que o fornecedor poderá acessar e principalmente quais as informações que não deverão ser acessadas pelo fornecedor.

O aceite da Política de Segurança da Informação poderá ser incluída no processo contratual assim como conformidades com as Leis locais referentes à segurança da informação e proteção de dados.

Gerenciamento de SI durante o Contrato do Fornecedor

Monitoramento das Entregas

As entregas do fornecedor devem ser avaliadas pelas equipes de Segurança e Administração que devem a intervalos regulares avaliar a eficácia dos serviços prestados, os riscos apresentados durante o fornecimento dos serviços e o impacto com a disponibilidade, integridade e confiabilidade do Portal da Qualidade.

Deve-se também avaliar a adequação do fornecedor com os requisitos de segurança acordados, assim como fazer uma revisão geral do uso dos acessos cedidos ao fornecedor. Dessa forma espera-se que, junto com o processo de melhoria contínua dos demais processos de segurança da organização, os requisitos de segurança aplicados ao fornecedor evoluam conjuntamente.

No caso de subfornecedores deve-se garantir que os requisitos de segurança da informação sejam seguidos em toda cadeira, de forma que, todo subfornecedor envolvido com os serviços prestados à 2CLIX TECNOLOGIA EIRELLI devem possuir no mínimo os requisitos de segurança acordados no contrato com o fornecedor.

Relatórios devem ser solicitados aos fornecedores quanto às trilhas de auditoria e controles de segurança, assim como auditorias podem ser realizadas pela equipe de segurança caso a organização veja a necessidade.

Por fim, espera-se que haja transparência quanto aos incidentes de segurança ocorridos no fornecedor para que uma análise correta de riscos seja efetuada assim como mudanças sejam feitas no contrato de modo a minimizar riscos observados.

Gestão de Mudanças

Além da previsão quando há troca de fornecedores ainda há a possibilidade de haver mudanças quanto ao escopo dos serviços do fornecedor conforme a necessidade da organização.

Desta forma, a revisão dos acordos devem ser feitas não somente quando há necessidade quanto aos processos e controles de segurança, mas também quanto aos serviços prestados de modo que  a organização pode solicitar por melhorias nos serviços atuais, mudança ou melhoria na infraestrutura, mudança na tecnologia utilizada para tecnologias, frameworks ou versões mais novos, mudança de local físico tanto do fornecedor quanto da organização e mudança na cadeira de subfornecedores.

A requisição de mudanças pode vir por parte do fornecedor assim como da organização e as mudanças devem ser acordadas com ambas as partes e finalizadas em um adendo ou ajuste no contrato formalizado por ambas as partes.

Gestão de Documentos

Este documento é válido a partir da sua aprovação mais recente e é de responsabilidade da equipe de administração da 2CLIX TECNOLOGIA EIRELI.  O ciclo de atualização deste documento é anual e deve ser realizado sempre a partir da avaliação de eficácia e adequação deste documento com as demais políticas e processos da empresa.

Para garantir uma avaliação concisa e clara, os seguintes critérios de avaliação serão utilizados:

• Retorno das partes interessadas a respeito da eficácia e impacto do SGSI;
• Evolução do número de incidentes de segurança causados por falha nos controles de segurança dos fornecedores;
• Evolução dos número de incidentes de segurança causados por acesso indevido dos fornecedores;
• Feedback dos colaboradores e equipes a partir de treinamentos e interação com os fornecedores;
• Evolução do número de incidentes causados por falta de definição de parâmetros de segurança nos contratos;