Entenda o risco dos seus parceiros antes que ele afete seu negócio.
Avalie a postura de segurança de fornecedores e parceiros e organize as informações que apoiam decisões de contratação e acompanhamento.
A Gestão de Riscos de Terceiros (TPRM, do inglês third party risk management) é a prática de avaliar e acompanhar os riscos que fornecedores e parceiros trazem para a organização. Quando o foco é o risco cibernético, também é chamada de gestão de riscos cibernéticos de terceiros (TPCRM). A solução estrutura a avaliação do risco cibernético associado a fornecedores e parceiros. Ela organiza informações sobre as práticas de segurança de cada um, identifica lacunas e apoia decisões proporcionais à criticidade de cada relacionamento.
- Times de segurança, riscos e compras envolvidos na avaliação de fornecedores;
- Empresas que compartilham dados ou dependem de serviços digitais prestados por terceiros;
- Organizações que precisam dar consistência à análise de risco na contratação e na renovação.
Cada parceiro na medida do seu risco
Saiba como sua empresa pode avaliar fornecedores e como acompanhar as decisões ao longo do relacionamento.
Defina quem avaliar
Selecione os terceiros e considere o tipo de acesso, os dados envolvidos e a dependência do negócio.
Conduza a avaliação
Reúna respostas e informações sobre as práticas de segurança do terceiro.
Analise as lacunas
Examine os resultados e discuta os pontos relevantes com os responsáveis pelo relacionamento.
Acompanhe as decisões
Use a avaliação para orientar condições de contratação, melhorias e reavaliações.
Parceiros avaliados em cada etapa
Descubra como a avaliação de terceiros apoia seus times de segurança, riscos e compras ao longo do relacionamento com fornecedores.
Desafio
Fornecedores passam a acessar informações ou sistemas da empresa sem que suas práticas de segurança tenham sido avaliadas.
Solução
Avalie as práticas de segurança do fornecedor antes da contratação.
Resultado
Seu time contrata sabendo quais riscos o fornecedor traz e quais condições exigir.
Desafio
A situação de um parceiro pode mudar depois da contratação, e uma falha ou indisponibilidade dele pode afetar diretamente o negócio.
Solução
Revise periodicamente os terceiros cuja indisponibilidade ou comprometimento pode afetar a operação.
Resultado
Você acompanha os parceiros críticos durante todo o relacionamento, e não só na entrada.
Desafio
Renovações acontecem sem que os compromissos de segurança do fornecedor sejam revistos.
Solução
Use as lacunas identificadas na avaliação para discutir compromissos e condições de segurança na renovação.
Resultado
Seu time renova contratos com condições de segurança alinhadas ao risco de cada fornecedor.
Desafio
Com muitos fornecedores, avaliar todos com a mesma profundidade consome tempo e dispersa a atenção do time.
Solução
Concentre a avaliação nos relacionamentos com maior criticidade e necessidade de acompanhamento.
Resultado
Seu time dedica mais atenção aos terceiros que mais podem afetar o negócio.
Combine com outras soluções de segurança
Use com outros módulos da plataforma para criar jornadas mais completas e seguras.
Avaliação de Maturidade em Segurança
Avalie a maturidade das práticas de segurança da sua própria organização; a gestão de riscos de terceiros leva esse olhar a fornecedores e parceiros.
Gestão da Superfície de Ataque (ASM)
Ganhe visibilidade da exposição externa dos terceiros, quando houver escopo autorizado; a gestão de riscos de terceiros soma essa visão à avaliação das práticas de segurança.
Conscientização em Segurança da Informação
Prepare os times que interagem com fornecedores e parceiros; a gestão de riscos de terceiros cuida da avaliação dos próprios fornecedores.
Perguntas frequentes
O que é TPRM (gestão de riscos de terceiros)?
TPRM é a sigla de third party risk management, ou gestão de riscos de terceiros: a prática de avaliar e acompanhar os riscos que fornecedores e parceiros trazem para a organização. Também é chamada de gestão de riscos de fornecedores ou vendor risk management.
Qual a diferença entre TPRM e TPCRM?
TPRM é o termo mais amplo para a gestão de riscos de terceiros. TPCRM, ou gestão de riscos cibernéticos de terceiros, é o recorte focado no risco cibernético, como as práticas de segurança de fornecedores e parceiros. O produto atua nesse recorte cibernético.
Quais terceiros devem ser avaliados?
Priorize os que acessam dados sensíveis, sistemas ou processos essenciais, considerando também o impacto de uma interrupção.
A avaliação impede a contratação de um fornecedor?
Não sozinha. A solução apoia a decisão; a aceitação do risco e as condições de contratação seguem os critérios e a governança da sua organização.
As respostas do fornecedor são suficientes?
As respostas ajudam a estruturar a análise, mas devem ser contextualizadas e, quando necessário, complementadas por evidências e esclarecimentos.
Com que frequência devo reavaliar?
A periodicidade depende da criticidade do terceiro e deve considerar mudanças de escopo, incidentes e renovações contratuais.
A avaliação é uma certificação do fornecedor?
Não. É um instrumento de avaliação e gestão de risco; não equivale a uma certificação independente nem elimina o risco do relacionamento.
Conheça o risco de quem trabalha com você
Entre em contato com nosso time e descubra como a Gestão de Riscos de Terceiros (TPRM) pode mostrar o risco dos seus parceiros antes que ele afete seu negócio.