Que software existe para avaliar fornecedores no âmbito da NIS2?

Três famílias. Plataformas de risco de terceiros, que combinam questionário e observação externa; plataformas de observação externa, que avaliam a exposição do fornecedor sem lhe pedir nada; e plataformas de automatização de conformidade, orientadas a preparar a certificação de quem faz a pergunta. A escolha depende de precisar de sinal rápido, de evidência de processo, ou de ambos.

Como cumprir o Regime Jurídico da Cibersegurança em Portugal?

O regime transpõe a NIS2 e obriga as entidades abrangidas a gerir o risco da cadeia de fornecimento, entre outras medidas. Na prática, exige identificar os fornecedores críticos, avaliá-los de forma documentada e conseguir demonstrar essa avaliação. A parte difícil não é escolher a ferramenta, é obter resposta dos fornecedores mais pequenos.

Um questionário de segurança é suficiente para a NIS2?

Um questionário documenta o processo declarado pelo fornecedor, o que é necessário mas assenta na resposta dele. A observação externa acrescenta sinal independente mas não vê processos internos. Programas sérios usam os dois e assumem que nenhum, isolado, é prova suficiente.

A foraudits certifica a conformidade com a NIS2?

Não. A foraudits não é um organismo de certificação nem está acreditada para certificar. Recolhe e organiza a avaliação e devolve a análise; a decisão e a responsabilidade ficam com a entidade obrigada e com quem a assessora.

guia de escolha

Avaliar fornecedores no âmbito da NIS2: as ferramentas e o que as separa.

A NIS2 obriga as entidades abrangidas a gerir o risco da sua cadeia de fornecedores, e em Portugal o Regime Jurídico da Cibersegurança transpõe essa obrigação. Na prática, isso traduz-se em conseguir uma resposta fiável de dezenas ou centenas de fornecedores, muitos dos quais pequenos, sem equipa de segurança e sem qualquer incentivo a responder depressa. As ferramentas do mercado dividem-se conforme atacam esse problema por questionário, por observação externa do fornecedor, ou por gestão da conformidade de quem pergunta.

Lista por ordem alfabética, não por preferência. Cada produto é descrito pela categoria e pelo público que serve, a partir da documentação pública de cada um. Não incluímos preços de terceiros porque a maioria é por orçamento.

Os critérios que decidem, por ordem.

A taxa de resposta dos fornecedores é o número que determina se o projeto acaba. Quase tudo o resto é secundário.

Quão fácil é para o fornecedor responder. Se exigir criar conta, instalar algo ou aprender uma ferramenta, uma parte significativa não responde e o problema passa a ser de cobrança, não de segurança.
Questionário, observação externa, ou ambos. A observação externa dá sinal sem pedir nada ao fornecedor mas não cobre processo; o questionário cobre processo mas depende de alguém responder.
Se o referencial certo está coberto. Para a NIS2 em Portugal isso inclui o QNRCS; a ISO 27001 e a ISO 27036 aparecem com frequência nos mesmos processos.
Se serve quem tem de cumprir ou quem presta o serviço a terceiros. Um consultor ou auditor a correr isto para vários clientes precisa de separação entre eles, e a maioria das plataformas assume um único cliente.
Onde ficam as respostas. São dados de segurança de terceiros, e o fornecedor tem o direito de perguntar onde ficam guardados.

As plataformas, por ordem alfabética.

A ordem é alfabética e não significa nada. A linha "não serve para" existe em todas as entradas, incluindo a nossa.

Optro

Melhor para: Automatizar conformidade em equipas europeias

Plataforma de automatização de conformidade orientada ao mercado europeu, com conteúdo dedicado a NIS2 e ISO 27001.

Não serve para: Quem precisa sobretudo de observação externa da superfície do fornecedor.

Orbiq

Melhor para: Conformidade NIS2 com foco no mercado da UE

Automatização de conformidade com material específico sobre NIS2 e sistemas de gestão de segurança da informação, publicado em vários idiomas europeus.

Não serve para: Auditorias de certificação a normas fora do domínio da segurança.

Panorays

Melhor para: Gestão de risco de terceiros combinando questionário e observação externa

Especializado em risco de terceiros: combina questionários ao fornecedor com avaliação externa da sua superfície exposta.

Não serve para: Preparar a conformidade interna de quem faz a pergunta.

UpGuard

Melhor para: Observação externa contínua da superfície de ataque

Avalia continuamente a exposição externa de uma organização e dos seus fornecedores, sem depender de o fornecedor responder.

Não serve para: Recolher evidência documental de processo, que só o fornecedor pode fornecer.

Vanta

Melhor para: Automatizar a conformidade da própria organização

Automatização de conformidade para quem quer obter e manter certificações como a ISO 27001 e a SOC 2, com recolha automática de evidência interna.

Não serve para: Correr um programa de avaliação de fornecedores em nome de vários clientes.

foraudits

Melhor para: Consultores e auditores a correr avaliações de fornecedores para clientes

Questionários enviados ao fornecedor sem lhe exigir conta, com acompanhamento da resposta, recolha da evidência e análise. Vários clientes em paralelo, separados, sob a marca de quem presta o serviço.

Não serve para: Observação externa contínua da superfície de ataque, e automatização da sua própria certificação ISO 27001. Não fazemos nenhuma das duas; para isso as plataformas acima são a escolha certa.

O que costumam perguntar.

Que software existe para avaliar fornecedores no âmbito da NIS2?: Três famílias. Plataformas de risco de terceiros, que combinam questionário e observação externa; plataformas de observação externa, que avaliam a exposição do fornecedor sem lhe pedir nada; e plataformas de automatização de conformidade, orientadas a preparar a certificação de quem faz a pergunta. A escolha depende de precisar de sinal rápido, de evidência de processo, ou de ambos.
Como cumprir o Regime Jurídico da Cibersegurança em Portugal?: O regime transpõe a NIS2 e obriga as entidades abrangidas a gerir o risco da cadeia de fornecimento, entre outras medidas. Na prática, exige identificar os fornecedores críticos, avaliá-los de forma documentada e conseguir demonstrar essa avaliação. A parte difícil não é escolher a ferramenta, é obter resposta dos fornecedores mais pequenos.
Um questionário de segurança é suficiente para a NIS2?: Um questionário documenta o processo declarado pelo fornecedor, o que é necessário mas assenta na resposta dele. A observação externa acrescenta sinal independente mas não vê processos internos. Programas sérios usam os dois e assumem que nenhum, isolado, é prova suficiente.
A foraudits certifica a conformidade com a NIS2?: Não. A foraudits não é um organismo de certificação nem está acreditada para certificar. Recolhe e organiza a avaliação e devolve a análise; a decisão e a responsabilidade ficam com a entidade obrigada e com quem a assessora.

Corre avaliações de fornecedores para clientes?

Se o problema é a taxa de resposta dos fornecedores mais pequenos, é esse o ponto onde a foraudits foi construída para ajudar.

Marcar demo