PRC-SI-007 — Due Diligence e Acesso de Terceiros
Gatilho: Contratação de fornecedor, parceiro ou prestador com acesso a dados ou sistemas Frequência: Por evento (nova contratação) + revisão anual de contratos vigentes
Objetivo
Garantir que nenhum terceiro acesse sistemas, dados ou infraestrutura da Fortes Sertão Central sem avaliação prévia de segurança, NDA firmado, cláusulas contratuais de SI e conta de acesso com escopo e prazo definidos.
Fluxo Completo
Questionário de Due Diligence
A aplicar antes de contratar qualquer fornecedor com acesso a dados ou sistemas:
| # | Pergunta | Sim | Não | Obs. |
|---|---|---|---|---|
| 1 | Possui Política de Segurança da Informação documentada? | |||
| 2 | Possui processo formal de controle de acesso para colaboradores? | |||
| 3 | Dados em trânsito e repouso são protegidos por criptografia? | |||
| 4 | Está em conformidade com a LGPD? Possui DPO? | |||
| 5 | Há histórico de incidentes de segurança nos últimos 2 anos? | |||
| 6 | Realiza treinamento de SI para colaboradores? | |||
| 7 | Possui controles de backup e continuidade de negócio? | |||
| 8 | Aceita assinar NDA e cláusulas de SI no contrato? |
Regras para Contas de Acesso de Terceiros
| Parâmetro | Regra |
|---|---|
| Prazo | Definido no contrato (início e término) |
| Escopo | Restrito — apenas sistemas/dados necessários para o serviço |
| Senha | Padrões mínimos conforme NR.SI.001 |
| Revogação | Imediata ao término do contrato ou da necessidade |
| Auditoria | Atividades do terceiro registradas em log |
Encerramento de Contrato com Terceiro
Referências Normativas
| Obrigação | Fonte |
|---|---|
| Due diligence antes de qualquer contratação relevante | PSI - Política de Segurança da Informação Art. 48 |
| NDA obrigatório antes de troca de informação | PSI Art. 48 |
| Ciência da PSI antes da contratação | PSI Art. 48 |
| Contratos devem incluir requisitos de SI | PSI Art. 49 |
| Contas de terceiros com prazo e escopo | NR.SI.003 - Acesso de Terceiros |
| Fornecedores devem demonstrar conformidade LGPD | PSI Art. 51 |
| Diligências documentadas junto ao SI | PSI Art. 51 |