Objetivo principal
Avalie o risco de terceiros antes de conceder acesso a sistemas, serviços ou informações confidenciais da empresa.
Gestão de riscos de terceiros
O que é um Avaliação de risco do fornecedor?
Uma avaliação de risco de fornecedores é o processo de avaliação dos riscos de segurança, privacidade, conformidade, operacionais e comerciais associados a um fornecedor terceirizado antes e durante todo o relacionamento.
Avalia o risco de terceiros
Protege dados sensíveis
Apoia a supervisão contínua.
Ciclo de vida da avaliação de risco do fornecedor
01
Identifique o fornecedor
Documente o serviço, o proprietário, a finalidade e o relacionamento.
Identificar
02
Avaliar controles de segurança
Analisar evidências, certificações, políticas e salvaguardas.
Avaliar
03
Avaliar o risco dos dados
Determine a que dados o fornecedor pode aceder e como são utilizados.
Avaliar
04
Aprovar e monitorar
Aplicar condições, acompanhar as alterações e reavaliar continuamente.
Monitor
Risco de terceiros
Segurança de dados
Conformidade
Due diligence
Monitoramento
Definição rápida
Avaliação de risco do fornecedor em resumo
As avaliações de risco de fornecedores ajudam as organizações a determinar se terceiros podem acessar sistemas, aplicativos e dados confidenciais de forma segura e responsável.
Áreas de avaliação
Segurança, privacidade, conformidade, resiliência operacional, estabilidade financeira e continuidade dos negócios.
Evidências comuns
Relatórios SOC 2, certificações ISO, questionários, testes de penetração, políticas e documentação de privacidade.
Riscos dos dados primários
Exposição de dados sensíveis, acesso excessivo, controles deficientes, locais de armazenamento desconhecidos e compartilhamento não autorizado.
Principais partes interessadas
Segurança, privacidade, compras, jurídico, TI, conformidade, risco e proprietários de empresas.
Atividade contínua
As avaliações devem continuar durante a integração, o uso ativo, a renovação do contrato, alterações substanciais e o desligamento.
Definição Essencial
O que é uma avaliação de risco de fornecedores?
UM avaliação de risco do fornecedor É o processo estruturado que as organizações utilizam para avaliar os riscos de segurança, privacidade, conformidade, operacionais, financeiros e comerciais introduzidos por um fornecedor terceirizado.
A avaliação determina se um fornecedor possui controles adequados para os serviços que presta e para os sistemas ou informações aos quais tem acesso. Ela pode examinar práticas de cibersegurança, tratamento de dados, resposta a incidentes, conformidade regulatória, continuidade de negócios, subcontratados, estabilidade financeira e resiliência operacional.
A avaliação de fornecedores é especialmente importante quando um fornecedor armazena, processa, transmite ou pode acessar dados sensíveis, regulamentados, confidenciais ou críticos para os negócios.
As avaliações não devem terminar após a integração. Os serviços do fornecedor, a propriedade, a infraestrutura, os subcontratados, o acesso aos dados e a postura de segurança podem mudar ao longo do relacionamento.
Terminologia relacionada
Gestão de riscos de terceiros
O programa mais abrangente é utilizado para identificar, avaliar, monitorar e gerenciar riscos de terceiros ao longo do ciclo de vida do fornecedor.
Due Diligence do Fornecedor
A coleta e análise de evidências necessárias para avaliar um fornecedor antes de iniciar ou expandir um relacionamento comercial.
Questionário de segurança
Um conjunto estruturado de perguntas usado para avaliar os controles de segurança, as políticas e as práticas operacionais de um fornecedor.
Acordo de Processamento de Dados
Um contrato que define como os dados pessoais ou regulamentados são processados, protegidos, retidos, compartilhados e eliminados.
Principais diferenças
Avaliação de Riscos de Fornecedores vs. Práticas Relacionadas
A avaliação de risco de fornecedores é um componente de um programa mais amplo de risco de terceiros e difere de avaliações técnicas ou de fornecedores mais específicas.
Avaliação de Risco do Fornecedor
Que riscos esse fornecedor específico apresenta?
Avalia os controles, o acesso a dados, a conformidade, a resiliência e o risco comercial de um fornecedor em um ponto específico ou gatilho no relacionamento.
Gestão de riscos de terceiros
Como a organização governa todas as terceiras partes ao longo do tempo?
O TPRM abrange inventário, classificação, avaliação, contratos, monitoramento, gestão de problemas, reavaliação e desativação.
Gestão de Riscos de Fornecedores
Os fornecedores conseguem dar suporte confiável às operações comerciais?
A gestão de riscos de fornecedores geralmente enfatiza a disponibilidade, a qualidade, a localização geográfica, a saúde financeira, a logística e a continuidade do fornecimento.
Avaliação de segurança
As salvaguardas técnicas e organizacionais são eficazes?
Uma avaliação de segurança concentra-se nos controles de segurança, mas pode não abordar completamente os riscos de privacidade, conformidade, financeiros ou operacionais.
Ciclo de vida da avaliação
Como funcionam as avaliações de risco de fornecedores
Um processo de avaliação robusto conecta o contexto do fornecedor, o acesso aos dados, as evidências de controle, o risco inerente, o risco residual e o monitoramento contínuo.
Identificar
Identifique o fornecedor e o serviço.
Documente o fornecedor, o proprietário da empresa, o serviço, a finalidade, o contrato, os sistemas, as regiões e as dependências críticas do negócio.
Escopo
Determinar o acesso a dados e sistemas
Identifique quais dados o fornecedor armazenará, processará, transmitirá, visualizará ou acessará e quais sistemas ou ambientes estão envolvidos.
Análise
Analisar os controles de segurança
Avaliar questionários, políticas, certificações, relatórios de testes, arquitetura, controles de acesso e práticas de resposta a incidentes.
Validar
Avaliar a privacidade e a conformidade.
Confirme as obrigações regulamentares, as finalidades do processamento, a retenção, a eliminação, a residência dos dados, os subcontratados e os controles contratuais.
Decidir
Determinar o risco e o tratamento.
Calcular o risco inerente e residual, documentar as conclusões, exigir medidas corretivas, aplicar condições ou recusar o fornecedor.
Monitor
Monitorar e reavaliar
Monitorar incidentes, mudanças de postura, novos subprocessadores, acesso expandido a dados, falhas de controle, alterações contratuais e riscos emergentes.
Exposição a terceiros
Por que as avaliações de risco de fornecedores são importantes
Os fornecedores podem expandir a capacidade operacional, ao mesmo tempo que introduzem novos caminhos para dados sensíveis, sistemas, exposição regulatória e interrupção dos negócios.
Proteja os dados sensíveis.
Determine se os fornecedores possuem medidas de segurança adequadas para informações pessoais, regulamentadas, confidenciais e críticas para os negócios.
Reduzir o risco para terceiros
Identifique controles deficientes, acesso excessivo, práticas inseguras e problemas não resolvidos antes que eles causem uma exposição mais ampla.
Apoiar a conformidade
Demonstrar supervisão sobre terceiros que processam dados regulamentados ou sistemas de suporte sujeitos a obrigações legais e contratuais.
Melhorar as decisões de compras
Compare os fornecedores usando critérios de risco baseados em evidências, em vez de confiar apenas em recursos, custo ou garantias autodeclaradas.
Fortalecer a governança da IA
Avaliar fornecedores de IA, modelos, agentes, práticas de treinamento, uso de dados, retenção, controles de segurança e subprocessadores subsequentes.
Habilitar a supervisão contínua
Detectar alterações no acesso, serviços, propriedade, controles, incidentes e tratamento de dados do fornecedor ao longo do relacionamento.
Redução de riscos
Melhores práticas para avaliação de riscos de fornecedores
Avaliações eficazes combinam o inventário de fornecedores, o contexto de negócios, a visibilidade de dados sensíveis, a análise baseada em riscos, a definição clara de responsabilidades e o monitoramento contínuo.
Mantenha um inventário completo de fornecedores.
Identifique todos os fornecedores, prestadores de serviços, parceiros, consultores, subcontratados e serviços externos com acesso a sistemas ou dados.
Classificar dados compartilhados
Determine se o fornecedor pode acessar dados pessoais, regulamentados, confidenciais, financeiros, de saúde, de clientes, de funcionários ou de IA.
Aplicar a classificação por risco
Ajuste a profundidade e a frequência da avaliação com base na criticidade, na sensibilidade dos dados, no nível de acesso, na dependência do serviço e na localização geográfica.
Valide as evidências, não apenas as respostas.
Analisar relatórios independentes, certificações, resultados de testes, contratos, políticas e evidências técnicas, quando apropriado.
Impor o princípio do menor privilégio.
Limite as identidades dos fornecedores, as integrações, as aplicações e o pessoal de suporte aos dados e sistemas mínimos necessários.
Monitorar o risco continuamente
Monitore as alterações de acesso, uso de dados, incidentes, subcontratados, serviços, postura, propriedade e obrigações contratuais.
Perguntas frequentes
Perguntas frequentes sobre avaliação de risco de fornecedores
Explore perguntas frequentes sobre due diligence de fornecedores, escopo da avaliação, monitoramento por terceiros, evidências de segurança, fornecedores de IA e automação.
O que é uma avaliação de risco de fornecedores?
Uma avaliação de risco de fornecedores avalia os riscos de segurança, privacidade, conformidade, operacionais, financeiros e comerciais associados a um fornecedor terceirizado.
Por que as avaliações de risco de fornecedores são importantes?
Eles ajudam as organizações a identificar as vulnerabilidades de terceiros antes que um fornecedor obtenha acesso a dados confidenciais, sistemas, aplicativos ou processos de negócios críticos.
O que deve incluir uma avaliação de risco de fornecedores?
Deve-se avaliar o serviço do fornecedor, o acesso aos dados, os controles de segurança, as práticas de privacidade, a conformidade, os subcontratados, a resposta a incidentes, a resiliência e a criticidade para os negócios.
Com que frequência os fornecedores devem ser reavaliados?
A frequência de reavaliação deve refletir o risco. Fornecedores de alto risco podem exigir revisão anual ou contínua, enquanto mudanças significativas, incidentes e acesso ampliado devem motivar revisões adicionais.
Qual a diferença entre uma avaliação de risco de fornecedor e o TPRM?
Uma avaliação de risco de fornecedores avalia um fornecedor individualmente. A gestão de riscos de terceiros é o programa mais abrangente que rege os fornecedores durante todo o processo de integração, monitoramento, renovação e desvinculação.
Que estruturas dão suporte às avaliações de risco de fornecedores?
As organizações geralmente utilizam evidências e orientações do SOC 2, ISO 27001, NIST, questionários SIG, avaliações CSA e requisitos regulamentares aplicáveis.
Como os fornecedores de IA alteram o risco para os fornecedores?
Os fornecedores de IA levantam questões adicionais sobre dados de treinamento, comportamento do modelo, retenção de dados, acesso do agente, ações automatizadas, reutilização de dados, subprocessadores, explicabilidade e governança.
Como as organizações podem automatizar as avaliações de risco de fornecedores?
As organizações podem automatizar o inventário de fornecedores, a descoberta de dados, a análise de acesso, a coleta de evidências, a pontuação de risco, o rastreamento de problemas, os gatilhos de reavaliação e o monitoramento contínuo.
Continue explorando
Dados relacionados e recursos de risco de terceiros
Explore os recursos do BigID para descobrir dados confidenciais, reduzir a exposição, governar o uso de IA e aprimorar a segurança de dados corporativos.
Plataforma de Segurança de Dados
Descubra, classifique, proteja, governe e tome medidas com dados confidenciais em ambientes de nuvem, SaaS, locais e de IA.
Explore a plataforma →Gestão de Postura de Segurança de Dados
Identificar a exposição de dados sensíveis, o acesso excessivo, as combinações tóxicas e os riscos de dados de alta prioridade em toda a empresa.
Explore o DSPM →Segurança e Governança da IA
Descubra ativos de IA, controle o acesso, avalie o risco dos dados de IA, monitore o comportamento e aplique políticas em todos os modelos e agentes.
Explore a segurança da IA →
@media (max-width: 1024px) {
.bigid-vra-final-cta-inner {
grid-template-columns: 1fr;
gap: 0;
padding: 54px 40px;
text-align: center;
}
.bigid-vra-final-cta-copy {
width: 100%;
max-width: 780px;
margin: 0 auto;
}
.bigid-vra-final-cta-copy > p:not(
.bigid-vra-final-cta-eyebrow
) {
margin-right: auto;
margin-left: auto;
}
.bigid-vra-final-cta-actions {
justify-content: center;
}
.bigid-vra-final-visual {
display: none !important;
visibility: hidden !important;
width: 0 !important;
height: 0 !important;
min-height: 0 !important;
margin: 0 !important;
padding: 0 !important;
overflow: hidden !important;
}
}
@media (max-width: 640px) {
.bigid-vra-final-cta {
padding: 64px 20px 72px;
}
.bigid-vra-final-cta-inner {
padding: 42px 24px;
border-radius: 22px;
}
.bigid-vra-final-cta h2 {
font-size: clamp(36px, 10vw, 48px);
line-height: 1.08;
}
.bigid-vra-final-cta-actions {
flex-direction: column;
width: 100%;
}
.bigid-vra-final-button {
width: 100%;
}
}
@media (prefers-reduced-motion: reduce) {
.bigid-vra-final-button {
transition: none;
}
}
Liderança do setor
