NIS2 e segurança da cadeia de fornecimento: como avaliar fornecedores de TI, integradores e subcontratados

A segurança da cadeia de fornecimento não começa pelo envio do mesmo questionário a todos os parceiros. Primeiro, é necessário identificar de que fornecedores dependem os processos da organização, que acessos lhes são concedidos e quais seriam as consequências da sua indisponibilidade, de um incidente ou de uma resposta tardia. Só então é possível definir o âmbito da avaliação, as evidências exigidas, as condições contratuais e o modelo de supervisão. Caso contrário, a organização limita-se a verificar a conformidade formal da documentação, sem controlar o risco efetivamente associado aos serviços de TI, integradores e subcontratados.

O fornecedor como parte da resiliência da organização

O risco associado a um fornecedor não decorre apenas das vulnerabilidades dos seus sistemas ou do nível dos controlos técnicos implementados. Surge sobretudo quando um serviço externo, uma equipa, uma aplicação ou uma infraestrutura condiciona a continuidade de um processo da organização. Por isso, o âmbito da supervisão não deve ser determinado pelo valor do contrato, pela dimensão do fornecedor ou apenas pelo tipo de serviço adquirido, mas pelo impacto da sua indisponibilidade, de uma violação de confidencialidade, da perda de integridade dos dados ou de uma resposta tardia a um incidente.

O processo deve começar pela atribuição clara de responsabilidades. O responsável pelo processo de negócio identifica a dependência e determina a sua relevância operacional. A função de segurança da informação avalia a exposição; compras incorpora os requisitos nos critérios de seleção e no contrato; e a área de TI verifica o âmbito dos acessos e as soluções técnicas. Também deve ficar definido quem classifica o risco, aprova desvios aos requisitos, acompanha a execução contratual e coordena a cooperação durante um incidente. Sem esta governação, o questionário do fornecedor torna-se um documento sem responsável e o risco dilui-se entre diferentes áreas da organização.

Um pequeno integrador com acesso remoto privilegiado ao ambiente de produção pode representar uma exposição superior à de um grande prestador de serviços administrativos, mesmo que o respetivo contrato tenha um valor muito inferior. Uma falha, o comprometimento de uma conta técnica ou a indisponibilidade da equipa do integrador podem interromper diretamente a produção ou dificultar a sua recuperação. A avaliação aprofundada deve, portanto, abranger prioritariamente os parceiros ligados a processos críticos, com acesso remoto ou privilegiado, que tratem informação relevante ou participem na resposta a incidentes e na recuperação da atividade.

Só depois de identificadas estas dependências é possível enquadrar corretamente o processo nos requisitos da NIS2 relativos à gestão do risco, à segurança da cadeia de fornecimento e à responsabilidade do órgão de gestão, considerando o âmbito estabelecido pela legislação nacional aplicável. A gestão de topo não deve substituir a avaliação técnica. Deve, contudo, aprovar os critérios de classificação dos fornecedores, a atribuição dos responsáveis pelo risco e o processo de aceitação de desvios. Entre os indicadores úteis estão o número de processos críticos dependentes de serviços externos e o número de fornecedores com acesso remoto ou privilegiado. O contexto mais amplo destas decisões é apresentado em NIS2 na prática da gestão: como converter requisitos em decisões, responsabilidades e resiliência efetiva da organização.

Segmentação de acordo com o impacto e o nível de acesso

Um questionário único para todos os parceiros não assegura uma avaliação proporcional ao risco. A segmentação deve combinar o impacto da indisponibilidade do serviço, o tipo de informação tratada, o nível de privilégios, a possibilidade de propagação de um incidente para o ambiente da organização e a facilidade de substituição do fornecedor. A classificação deve basear-se no período, definido na análise de impacto no negócio, durante o qual o processo pode funcionar sem o serviço, bem como no número de processos e localizações dependentes. O valor do contrato e a dimensão do parceiro são fatores auxiliares, porque não traduzem as dependências técnicas, o tempo de indisponibilidade tolerável nem o custo de uma substituição segura do serviço.

Os limiares para avaliação básica, avaliação aprofundada e auditoria devem estar associados a critérios mensuráveis. Pode justificar-se uma auditoria quando a falha do fornecedor fizer ultrapassar o tempo máximo de interrupção admissível, quando exista acesso privilegiado ou quando o serviço não possa ser substituído sem uma alteração técnica relevante. A avaliação aprofundada é adequada nos casos de acesso limitado, tratamento de informação que exige proteção ou dependências de níveis subsequentes da cadeia. Os restantes parceiros podem ficar sujeitos a uma avaliação básica, desde que não contribuam para uma acumulação significativa de risco.

Na avaliação de um fornecedor de sistemas de recursos humanos, a prioridade deve recair sobre a classificação da informação, as permissões e a recuperação dos dados. Um integrador de automação deve ser avaliado sobretudo quanto ao acesso remoto, às alterações de configuração e à capacidade de prestar apoio após um incidente. Um subcontratado que efetue a manutenção de equipamentos pode não ter acesso aos sistemas, mas a sua indisponibilidade pode interromper o processo por falta de peças, competências ou documentação. As dependências entre sistemas de informação, tecnologia operacional e continuidade da produção são analisadas em maior detalhe em NIS2 para empresas industriais: quem está abrangido, que obrigações são introduzidas e como preparar a organização sem reduzir o tema exclusivamente à TI.

A classificação não pode permanecer inalterada durante todo o período da relação contratual. Deve ser revista sempre que existam alterações no âmbito do serviço, nos acessos, na arquitetura, nos subcontratados, na informação tratada ou na relevância do processo. Também deve ser confirmada periodicamente, mesmo quando as condições contratuais se mantêm. Esta abordagem permite ajustar o nível de diligência à exposição real e demonstrar que a supervisão da cadeia de fornecimento resulta da avaliação dos impactos, e não de uma divisão meramente formal dos parceiros.

Evidências em vez de declarações

A avaliação do fornecedor deve incidir sobre a forma como os controlos são executados, e não apenas sobre a existência de políticas e procedimentos. As perguntas devem abranger a gestão de acessos, vulnerabilidades e alterações, as cópias de segurança, a monitorização de eventos, a resposta a incidentes, a continuidade do negócio, a segurança do pessoal e a supervisão dos subcontratados. A resposta “temos um procedimento implementado” é insuficiente se não identificar o responsável pela atividade, a frequência do controlo, a forma de registo dos resultados e o tratamento dos desvios. Também constituem sinais de alerta os materiais genéricos que não se referem ao serviço contratado, à sua localização ou ao ambiente em que é prestado.

O conjunto mínimo de evidências deve ser definido para cada classe de fornecedor antes do início da avaliação. Para riscos mais reduzidos, podem ser suficientes as respostas do responsável pelo processo, apoiadas por documentação atualizada e exemplos de registos. À medida que aumenta a criticidade, devem ser exigidos resultados de testes, registos operacionais, indicadores de execução dos controlos e avaliações independentes. Para serviços críticos, pode justificar-se uma entrevista técnica, uma avaliação remota ou uma auditoria no local. A escolha do método deve considerar, entre outros aspetos, a possibilidade de verificar os controlos sem aceder à infraestrutura e o impacto de uma declaração incorreta. É igualmente útil registar a data e o resultado do último teste de recuperação do serviço relevante, bem como os prazos de correção de vulnerabilidades de acordo com os níveis de criticidade definidos pelo fornecedor.

A declaração de que são efetuadas cópias de segurança ilustra bem a diferença entre uma garantia e uma evidência. Essa afirmação não esclarece se as cópias estão segregadas do ambiente de produção, quem as pode eliminar, com que frequência são realizados testes de recuperação ou qual foi o resultado do último teste. Também não determina quem é responsável pela recuperação integral do serviço: o fornecedor da infraestrutura, o produtor da aplicação, o integrador ou o cliente. Uma evidência adequada inclui, por isso, não apenas a descrição das regras, mas também o registo do último teste, o âmbito dos dados e funções recuperados, as não conformidades identificadas e a confirmação de que as causas das falhas foram eliminadas. Uma resposta evasiva caracteriza-se normalmente pela ausência de datas, âmbito, responsabilidades ou ligação da evidência a um serviço concreto.

Um certificado de sistema de gestão constitui uma evidência complementar relevante, mas não substitui a devida diligência. É necessário verificar o seu âmbito, período de validade, localizações e serviços abrangidos, bem como a correspondência destes elementos com o objeto da contratação. A certificação da sede pode não abranger o centro de processamento, a equipa de manutenção ou o subcontratado responsável por uma parte essencial do serviço. O certificado pode integrar uma avaliação básica. Contudo, perante uma dependência crítica, deve ser complementado por evidências operacionais e, se existirem lacunas relevantes, por uma auditoria. Esta articulação entre controlos e responsabilidade pelos processos também é apresentada em TISAX para o responsável pelo sistema e o engenheiro da qualidade: como integrar a segurança da informação nos processos da empresa; a segurança não deve permanecer confinada à documentação de TI.

O contrato como mecanismo de controlo

O contrato com um fornecedor crítico deve converter o resultado da avaliação do risco em obrigações executáveis e verificáveis. Uma cláusula de confidencialidade, por si só, não é suficiente. As disposições devem abranger a comunicação de eventos, o acesso à informação necessária para avaliar os respetivos impactos, a participação do fornecedor na análise e na recuperação da atividade, a manutenção dos controlos acordados, a gestão de alterações e as regras aplicáveis à utilização de outros subcontratados. Para cada serviço, também devem ser acordados parâmetros de disponibilidade, recuperação e retenção coerentes com as necessidades do processo de negócio, em vez de se aceitar apenas a descrição normalizada do fornecedor.

É essencial designar o responsável pela negociação dos requisitos de segurança e definir os limiares para a aceitação de desvios contratuais. A área de compras pode conduzir o processo contratual, mas não deve decidir isoladamente se são aceitáveis uma limitação de responsabilidade, a recusa do direito de auditoria ou a subcontratação sem restrições. Dependendo da natureza do risco, estes desvios exigem uma avaliação do responsável pelo processo, da segurança da informação, da continuidade do negócio e do apoio jurídico. Quando um fornecedor dominante não aceita as cláusulas propostas pelo cliente, a decisão não deve resumir-se à aceitação incondicional do seu modelo contratual. A organização pode avaliar controlos alternativos, limitar o âmbito do serviço, reforçar a monitorização ou aceitar formalmente o risco, documentando a justificação e identificando o respetivo responsável.

Uma cláusula de notificação “sem demora injustificada” tem pouca utilidade operacional se não definir o canal de comunicação, a informação mínima, os contactos e as pessoas autorizadas a tomar decisões. O prazo de notificação acordado deve permitir que a organização avalie o evento e cumpra as suas próprias obrigações. O fornecedor deve comunicar, pelo menos, a descrição do evento, os serviços e dados afetados, o impacto conhecido ou previsível, as medidas de contenção adotadas e o momento previsto para a atualização seguinte. O contrato também deve regular o acesso aos registos técnicos e a participação dos especialistas relevantes na análise de causas e na recuperação do serviço.

Do mesmo modo, o simples direito de auditoria não garante um controlo eficaz. Se o contrato não definir os motivos que permitem iniciar a auditoria, o âmbito de acesso às evidências, as regras de proteção da informação confidencial, os custos e os prazos para acordar e executar ações corretivas, a cláusula pode revelar-se impraticável precisamente durante um incidente. O conteúdo contratual deve depender da criticidade do fornecedor e da possibilidade de substituição do serviço. Um conjunto excessivo de requisitos que depois não é acompanhado cria uma aparência de controlo e aumenta o custo de gestão do contrato. Entre os indicadores relevantes estão o número de desvios sujeitos a aceitação formal do risco e o cumprimento dos prazos das obrigações acordadas.

O custo da alteração dos contratos não se limita ao trabalho jurídico. Inclui a reavaliação dos fornecedores, as negociações, as auditorias, a monitorização dos parâmetros acordados e a implementação de controlos adicionais. Estas dependências devem ser consideradas no orçamento descrito em Quanto custa implementar a NIS2 e a uKSC: como estruturar o orçamento para auditoria, documentação, formação e controlos sem erros dispendiosos. O contrato só cumpre a sua função quando a organização designa um responsável pela supervisão, conserva evidências do cumprimento das obrigações e estabelece como atuar perante uma alteração ou cessação do serviço.

Supervisão após a assinatura do contrato

A avaliação inicial perde rapidamente atualidade quando, durante a relação contratual, se alteram o âmbito do serviço, a arquitetura da solução, a estrutura de propriedade do fornecedor, a localização do tratamento, os subcontratados ou o nível de acesso aos sistemas e à informação. A supervisão deve, por isso, incluir revisões periódicas cuja frequência reflita a criticidade do serviço, bem como avaliações desencadeadas por eventos previamente definidos. Os fornecedores com elevado impacto na continuidade do negócio exigem um controlo mais frequente do que os prestadores facilmente substituíveis e sem acesso privilegiado.

O ciclo de monitorização deve ter um responsável, limiares de escalamento e registos obrigatórios. Não basta verificar os níveis de serviço. Estes devem ser analisados em conjunto com a informação sobre incidentes, os resultados dos testes de continuidade e recuperação, o estado das ações corretivas, as alterações de subcontratados e os sinais de deterioração da capacidade operacional do fornecedor. Entre os eventos que devem desencadear uma reavaliação extraordinária incluem-se:

• alteração relevante no âmbito do serviço ou dos acessos;
• mudança do local de tratamento;
• alteração de um subcontratado que influencie a prestação do serviço;
• incumprimentos recorrentes dos níveis de serviço;
• não encerramento de uma não conformidade dentro do prazo;
• evento que revele uma capacidade de resposta insuficiente.

Um fornecedor avaliado positivamente no momento da contratação pode, um ano depois, utilizar um novo centro de dados ou subcontratar parte do serviço. O nome e o âmbito declarado do serviço permanecem inalterados, mas mudam as dependências técnicas, o local de tratamento, o modelo de recuperação e a disponibilidade das evidências. Sem um mecanismo de comunicação destas alterações, a organização supervisiona um perfil de risco histórico, e não o perfil real. Entre os indicadores úteis estão o número de alterações ao âmbito, aos acessos ou aos subcontratados que exigem reavaliação, o número de incidentes e incumprimentos dos níveis de serviço e a percentagem de ações corretivas encerradas no prazo acordado.

Uma não conformidade identificada não implica automaticamente a cessação da relação contratual. A decisão deve considerar o impacto da não conformidade, o prazo necessário para a sua correção, a possibilidade de substituir o serviço e o risco do período de transição. A organização pode exigir ações corretivas, aplicar controlos compensatórios, aceitar temporariamente o risco com uma data definida para nova revisão, limitar o âmbito dos acessos ou ativar um plano de substituição do fornecedor. Cada opção exige um responsável pela decisão, um prazo, critérios de encerramento e evidências que confirmem a eficácia, e não apenas a execução de uma tarefa.

A eficácia de todo o mecanismo deve ser verificada periodicamente com base nos registos, nos exercícios de resposta e na capacidade da organização para decidir perante alterações do risco. Um referencial útil para planear esta verificação é Auditoria NIS2 numa empresa industrial: como verificar se a organização está preparada para as novas obrigações. A auditoria deve confirmar não apenas a existência de um calendário de revisões, mas também se os sinais de alerta dão origem a escalamento, se as não conformidades são encerradas segundo critérios definidos e se o risco dos fornecedores permanece ligado à continuidade dos processos da organização.

Um programa de avaliação preparado para auditoria

Um programa de supervisão de fornecedores está preparado para auditoria quando funciona como um único mecanismo de decisão, em vez de constituir um conjunto de questionários, cláusulas e registos dispersos. O seu âmbito mínimo inclui um registo dos fornecedores e das respetivas dependências processuais e técnicas, critérios de segmentação, funções decisórias, requisitos por classe, avaliação de evidências, regras contratuais, monitorização, escalamento e procedimentos aplicáveis ao fim da relação. O programa de auditorias e o registo de riscos devem utilizar as mesmas classificações, responsabilidades e critérios de aceitação.

Quando os recursos são limitados, o grupo-piloto deve ser selecionado entre os fornecedores que suportam processos críticos, dispõem de acesso privilegiado ou são difíceis de substituir. O âmbito pode depois ser alargado de acordo com o nível de risco e os resultados das primeiras avaliações. Tentar abranger toda a base de fornecedores em simultâneo aumenta normalmente o esforço administrativo sem gerar valor proporcional. A gestão de topo deve aprovar a sequência das avaliações, o plano de tratamento das lacunas e o orçamento, bem como decidir sobre riscos que ultrapassem os níveis de autoridade operacional definidos.

Durante uma auditoria, um registo coerente de uma decisão é mais convincente do que um procedimento extenso: classificação do fornecedor, justificação dos requisitos, evidências avaliadas, condições contratuais adequadas, registos de monitorização e não conformidades, além da aceitação formal do risco ou da decisão sobre ações corretivas. A preparação pode ser medida pela percentagem de fornecedores classificados e avaliados no programa, pelo cumprimento do calendário de avaliações dos fornecedores críticos e pelo número de riscos sem responsável, prazo de resposta ou decisão aprovada.

O enquadramento normativo e jurídico deve completar o desenho do processo, e não substituir a sua lógica. Os requisitos da NIS2 devem ser convertidos em responsabilidades, critérios, registos e evidências verificáveis, considerando a legislação nacional de transposição aplicável e o âmbito em que esta abrange a organização. Um exemplo setorial desta abordagem é ISO 19443 — acesso à cadeia de fornecimento do setor nuclear polaco, em que a qualificação e a supervisão dos fornecedores contribuem para a capacidade da organização cumprir os requisitos com segurança.