Modelos e registos · ISO 27001 · Cláusula A.5.19 a A.5.22
Modelo de avaliação da segurança de fornecedores ISO 27001
A ficha de cada fornecedor que toca em informação ou sistemas da empresa: que acesso tem, o que lhe é exigido por contrato e como se verifica que o cumpre.
Numa frase
A avaliação da segurança de fornecedores classifica cada fornecedor segundo o acesso que tem à informação, fixa os requisitos de segurança do contrato e deixa evidência do seu acompanhamento; responde aos controlos 5.19 a 5.22 da ISO/IEC 27001:2022, que pedem que se gerem os riscos dos fornecedores, se acordem requisitos, se cuide da cadeia de abastecimento das TIC e se monitorizem os seus serviços.
- Onde a norma o exige
- ISO 27001 · Cláusula A.5.19 a A.5.22 As secções seguem a ISO/IEC 27001:2022; as que começam por «A.» são controlos do Anexo A, exigíveis na medida em que a declaração de aplicabilidade os inclua.
- Tipo de informação
- Boa prática Evidência dos controlos 5.19 a 5.22 do Anexo A
- Quem o preenche
- Compras com o responsável de segurança O proprietário do serviço contratado participa na revisão
- Quando
- Antes de contratar e periodicamente Revisão segundo a criticidade e perante alterações no serviço ou incidentes do fornecedor
- Durante quanto tempo se conserva
- Definido pela organização A ISO/IEC 27001 não fixa prazos: pede que se decida a conservação e a eliminação da informação documentada (7.5.3). Abranger o ciclo de certificação de três anos permite mostrar o histórico na renovação.
O que a norma exige
O que o referencial ISO 27001 exige e o que fica ao seu critério
Os controlos 5.19 a 5.22 cobrem o ciclo completo: definir como se gerem os riscos dos fornecedores, acordar com cada um os requisitos de segurança, estendê-los à cadeia de abastecimento das TIC e monitorizar, rever e avaliar as suas práticas, incluindo as respetivas alterações. O 5.23 acrescenta os serviços na nuvem.
Não é a avaliação de fornecedores da ISO 9001, que olha para qualidade, prazo e preço: aqui a pergunta é que dano poderia o fornecedor causar à informação e que garantias oferece.
O esforço gradua-se em função do risco: um fornecedor de alojamento com dados de clientes exige questionário, cláusulas e revisão anual; o de material de escritório, nenhuma.
Estrutura
Campos que o modelo deve ter
- Fornecedor e serviço prestado
- Tipo de acesso: dados, sistemas, instalações
- Criticidade para a segurança
- Requisitos exigidos e cláusulas assinadas (confidencialidade, aviso de incidentes, subcontratação, auditoria)
- Evidências apresentadas: certificados, relatórios, questionário
- Data da avaliação e resultado
- Incidentes do fornecedor e alterações no seu serviço
- Próxima revisão
Exemplo
Exemplo: fornecedor de alojamento na nuvem
Empresa, pessoas e números fictícios: o exemplo serve apenas para mostrar como fica um registo bem preenchido.
| Campo | Conteúdo |
|---|---|
| Fornecedor | Fornecedor de nuvem (fictício) · alojamento da plataforma SaaS |
| Acesso | Infraestrutura onde residem os dados de clientes |
| Criticidade | Alta |
| Cláusulas | Confidencialidade, dados na UE, aviso de incidentes em 24 h, lista de subcontratantes ulteriores |
| Evidências | Certificado ISO/IEC 27001 em vigor e respetivo âmbito revisto |
| Avaliação | 3 de março de 2026 · apto |
| Acompanhamento | Incidente de disponibilidade de 2 h a 12 de agosto: relatório recebido e revisto |
| Próxima revisão | Março de 2027 |
Na auditoria
Erros que os auditores costumam apontar
- Pede-se o certificado do fornecedor sem verificar se o seu âmbito cobre o serviço contratado.
- Contratos sem cláusula de aviso de incidentes.
- Ninguém revê os fornecedores depois da contratação.
- Serviços na nuvem contratados por um departamento sem passar pela segurança.
No Kimobox
Como se gere este registo no Kimobox
- 1Cada fornecedor é registado com as suas cláusulas de segurança a partir do portal de fornecedores.
- 2As evidências do fornecedor ficam na sua ficha, com data de validade e aviso.
- 3A avaliação contínua do fornecedor coexiste com a sua documentação: se um certificado caducar, o fornecedor deixa de estar qualificado antes de lhe ser emitida uma encomenda.
Perguntas frequentes
O que nos perguntam antes de começar
Basta que o fornecedor esteja certificado pela ISO 27001?
Ajuda muito, mas é preciso ler o âmbito do certificado: se não incluir o serviço contratado, não o cobre. E o certificado não substitui as cláusulas do contrato.
Pode usar-se a mesma ficha que para a ISO 9001?
A mesma ficha de fornecedor, sim; a mesma avaliação, não. Convém acrescentar à ficha geral um bloco de segurança com o seu próprio critério e a sua própria frequência.
Faça a gestão dos registos do referencial ISO 27001 sem modelos avulsos
Mostramos-lhe o módulo a funcionar com dados semelhantes aos seus.
Continue a explorar
Páginas relacionadas
Modelo de avaliação de fornecedores ISO 9001
O que a ISO 9001 (8.4) exige para avaliar, selecionar, monitorizar e reavaliar fornecedores, que critérios…
Modelo de due diligence de terceiros para compliance
Como documentar a due diligence de parceiros, agentes e fornecedores num sistema ISO 37301: risco do…
Operacionalização
A operacionalização traduz a análise de riscos em controlos reais: acessos, cifragem, cópias de segurança e…
Modelo de declaração de aplicabilidade ISO 27001
O que deve conter a declaração de aplicabilidade da ISO 27001 (6.1.3 d): controlos necessários…
Fontes
De onde vem cada dado
Referências ao texto oficial em vigor. Se uma norma for revista, esta página é atualizada e a data de revisão reflete-o.
- ISO/IEC 27001:2022 — Sistemas de gestão da segurança da informação. Requisitos ISO/IEC · 25 de outubro de 2022
- ISO/IEC 27002:2022 — Controlos de segurança da informação ISO/IEC · Fevereiro de 2022