Como responder a um questionário de segurança de cliente

This article is available in Portuguese only.

Cada vez mais clientes, principalmente os grandes, pedem que seus fornecedores comprovem como protegem dados e sistemas. O motivo é concreto: no relatório DBIR 2025 da Verizon, 30% das violações analisadas envolveram um fornecedor ou parceiro, o dobro do ano anterior. Para quem vende, o questionário de segurança virou uma etapa da negociação.

Antes de responder, entenda o pedido

• Formato: planilha própria do cliente, questionário padronizado do mercado ou perguntas baseadas na ISO/IEC 27001.
• Prazo e responsável: defina quem coordena as respostas e quem valida cada área (TI, jurídico, RH, operações).
• Escopo: confirme quais serviços, sistemas e dados do cliente estão envolvidos. Muitas perguntas não se aplicam a todo contrato.

Responda com precisão, não com otimismo

O erro mais caro é marcar “sim” para um controle que não existe. A resposta costuma virar anexo do contrato, e o que foi declarado passa a ser obrigação. Use três tipos de resposta:

• Sim: o controle existe e há evidência.
• Parcial: existe em parte; descreva o que já funciona e o que falta.
• Não, com plano: o controle ainda não existe; informe a ação prevista e o prazo.

Junte as evidências mais pedidas

• Política de segurança da informação aprovada e data da última revisão.
• Registro de treinamentos de segurança e conscientização.
• Comprovação de autenticação em dois fatores (MFA) em e-mail e sistemas críticos.
• Rotina de backup e registro do último teste de restauração.
• Plano de resposta a incidentes e responsável pela comunicação à ANPD.
• Lista de fornecedores críticos e como eles são avaliados.

Crie uma base de respostas reutilizável

As perguntas se repetem de um cliente para outro. Guarde cada resposta aprovada, com a evidência correspondente e a data da última revisão. No próximo questionário, a maior parte do trabalho já estará feita, e as respostas ficam coerentes entre clientes.

As lacunas que mais aparecem

1. MFA ausente em parte dos acessos.
2. Nenhum inventário de onde estão os dados pessoais.
3. Plano de incidentes inexistente ou nunca testado.
4. Fornecedores sem nenhuma avaliação de segurança.
5. Políticas antigas, sem dono e sem revisão.

Se várias delas aparecem no seu caso, vale tratar o questionário como o ponto de partida de um plano: corrigir o que é rápido antes de responder e registrar o restante com prazo.

Checklist antes de enviar

• Todas as respostas foram validadas por quem é responsável pela área.
• Nenhum “sim” sem evidência.
• Itens “parcial” e “não” têm ação e prazo.
• Os anexos não expõem dados sensíveis desnecessários.
• A versão final foi guardada na base de respostas.