Depois de ler, poderá enviar questionários adequados ao risco e construir uma biblioteca que lhes responda depressa e com verdade.
Definição
Os compradores usam as suas próprias listas ou listas partilhadas, como o SIG da Shared Assessments ou o CAIQ da Cloud Security Alliance. As respostas acabam muitas vezes no contrato, o que lhes dá peso.
Porque é importante
Para um comprador, é uma forma barata de comparar fornecedores. Para um fornecedor sem nada preparado, pode travar um negócio durante semanas.
O seu limite é que as respostas são autodeclaradas, por isso as evidências e as cláusulas contratuais têm de sustentar o que mais importa.
Como funciona
Se o enviar, ajuste-o ao nível: uma lista curta para risco baixo, a lista completa só para fornecedores críticos. Peça evidências nos pontos importantes e leia as respostas.
Se responder, mantenha uma biblioteca de respostas aprovadas, cada uma com a sua evidência e o seu responsável, e atualize-a após cada alteração relevante.
Responda exatamente ao que é perguntado. Quando uma prática é apenas parcial, diga-o e explique o controlo compensatório.
Um caso prático
Uma empresa SaaS de 50 pessoas recebe cerca de quatro questionários por mês, com cerca de 200 perguntas cada. Constrói uma biblioteca de 150 respostas aprovadas e uma página de confiança com o seu certificado ISO/IEC 27001.
O tempo médio de resposta desce de nove dias para dois, e a área comercial só recorre à segurança quando uma pergunta é nova.
Boas práticas
- Faça aprovar cada resposta por alguém que conheça a prática.
- Date as suas respostas e reveja-as uma vez por ano.
- Partilhe as evidências ao abrigo de um acordo de confidencialidade.
- Transforme as perguntas que se repetem em documentos públicos.
Erros frequentes
- Responder sim a tudo para fechar a venda. Essas respostas podem voltar como cláusulas contratuais.
- Reutilizar uma resposta antiga depois de a prática ter mudado.
- Enviar 300 perguntas a um pequeno fornecedor de serviços de baixo risco.
- Recolher respostas e nunca as ler, o que faz perder tempo a todos.
Perguntas
- O que é o questionário SIG?
- O Standardized Information Gathering questionnaire da Shared Assessments, muito usado nas revisões de fornecedores.
- O que é o CAIQ?
- O Consensus Assessments Initiative Questionnaire da Cloud Security Alliance, destinado a fornecedores cloud.
- Um certificado pode substituir um questionário de segurança?
- Pode encurtá-lo, sobretudo quando o âmbito se ajusta. Muitos compradores continuam a pedir pormenores.
- As respostas aos questionários são juridicamente vinculativas?
- Podem ser, sobretudo se o contrato as referir, e uma resposta falsa pode constituir uma declaração enganosa.
- A IA pode preencher questionários de segurança?
- Pode redigir um rascunho a partir das suas respostas aprovadas. Alguém que conheça a prática deve verificá-lo na mesma.