Política de Segurança de Fornecedores e Terceiros

A Política de Segurança de Fornecedores e Terceiros (P26) fornece um quadro de governação abrangente para estabelecer, gerir e supervisionar continuamente relações seguras com fornecedores terceiros, contratados, fornecedores de nuvem e organizações de serviços. Esta política foi concebida para organizações comprometidas em manter normas rigorosas de segurança da informação ao externalizar ou adquirir serviços que acedem, tratam ou se integram com ativos e sistemas críticos de negócio. A política aplica-se a todos os compromissos com fornecedores que envolvam dados sensíveis, ambiente de produção ou suporte a funções-chave de negócio, abrangendo tanto fornecedores diretos como os seus subcontratados. Define papéis e responsabilidades detalhados para o Diretor de Segurança da Informação (CISO), aquisição e gestão de fornecedores, líderes de Segurança da Informação e Gestão de Riscos, proprietários de relações de negócio e as funções de Jurídico e Conformidade. Cada papel contribui para a gestão segura do ciclo de vida dos fornecedores, desde a avaliação inicial de riscos e negociação contratual até à monitorização contínua e desvinculação segura. No centro da política está o requisito de um modelo formal de classificação de terceiros e classificação por níveis de risco, agrupando fornecedores com base no acesso a dados, criticidade do serviço, exposições regulamentares e dependências de terceiros. Todos os compromissos com terceiros devem aderir a uma abordagem de ciclo de vida definida: os fornecedores passam por devida diligência pré-contrato, avaliação de riscos e revisão de segurança contratual; os contratos devem estar equipados com controlos de segurança aplicáveis, incluindo notificação de violações, cláusulas de direito de auditoria, tratamento de dados e requisitos específicos para a utilização de subcontratados. Os fornecedores são depois monitorizados continuamente através de certificações, desempenho de Acordos de Nível de Serviço (SLA), notificação de incidentes de segurança e alterações aos seus serviços ou pessoal. Se um fornecedor não conseguir cumprir totalmente os requisitos de segurança, a política exige um processo formal de pedido de exceção, com documentação, controlos compensatórios e aprovação executiva. O estado de exceção desencadeia revisões frequentes e pode resultar em termos renegociados ou auditorias suplementares. Fornecedores considerados não conformes enfrentam penalizações contratuais, suspensão ou cessação de serviços e acessos. A aplicação rigorosa é assegurada através de auditorias de conformidade agendadas, revisões de desempenho de fornecedores e medidas disciplinares para contornos internos à política. A política é revista pelo menos anualmente ou após alterações significativas na estratégia de aquisição, no panorama regulamentar ou após incidentes relevantes de fornecedores. Todas as alterações e resultados de auditoria são documentados e comunicados em toda a organização, mantendo um programa de governação de terceiros totalmente rastreável e conforme.