Um questionário de segurança para fornecedores mostra, antes do contrato, como o parceiro protege dados, acessos, código e operação. O modelo tem 30 perguntas em 6 blocos, com a evidência a pedir em cada uma, e se apoia na LGPD, na ISO/IEC 27001 e nas regras da ANPD sobre incidentes.
Um questionário de segurança para fornecedores é uma lista padronizada de perguntas que a empresa envia a software houses, agências, provedores de nuvem e outros parceiros antes de contratar, para saber como eles protegem dados, acessos, código e operação. O modelo abaixo tem 30 perguntas em 6 blocos, com a evidência que deve acompanhar cada resposta. Ele é gratuito, pode ser copiado e funciona como anexo de RFP ou de contrato.
O questionário não substitui uma auditoria ou um teste de invasão. Ele serve para identificar riscos cedo, comparar fornecedores pela mesma régua e transformar respostas em obrigações contratuais.
Por que avaliar a segurança de um fornecedor?
Quando um fornecedor acessa sistemas ou dados pessoais da sua empresa, os riscos dele passam a ser seus. Pela Lei 13.709/2018 (LGPD), quem decide sobre o tratamento é o controlador, e o fornecedor costuma atuar como operador, tratando os dados segundo as instruções recebidas (art. 39). Todos os agentes de tratamento devem adotar medidas de segurança técnicas e administrativas (art. 46).
Há também prazos. Pela Resolução CD/ANPD nº 15/2024, o controlador deve comunicar à ANPD e aos titulares um incidente que possa acarretar risco ou dano relevante em até três dias úteis, contados do conhecimento de que dados pessoais foram afetados. A ANPD orienta que o operador informe o controlador sem demora injustificada. Se o fornecedor demora para avisar, esse prazo fica comprometido.
Para quais fornecedores aplicar e com que profundidade?
Nem todo fornecedor precisa responder às 30 perguntas. Classifique antes pelo acesso que ele terá.
| Nível de risco | Exemplo de fornecedor | Profundidade sugerida |
|---|---|---|
| Alto | Software house que desenvolve ou mantém sistema com dados de clientes; provedor de nuvem | As 30 perguntas, com evidências e reunião técnica |
| Médio | Agência de marketing com acesso a CRM e base de leads | Blocos A, B, C e F |
| Baixo | Fornecedor sem acesso a sistemas nem a dados pessoais | Blocos A e F, de forma resumida |
Como usar este questionário?
- Classifique o fornecedor pela tabela acima.
- Envie o questionário com prazo e um responsável técnico do seu lado para dúvidas.
- Exija evidência, não apenas "sim". Uma política, um print de configuração ou um certificado valem mais do que uma declaração.
- Pontue as respostas com a escala proposta mais abaixo.
- Transforme lacunas em plano de ação com prazo, ou em cláusula contratual.
- Reavalie periodicamente e sempre que o escopo do fornecedor mudar.
Modelo com 30 perguntas (copie a partir daqui)
Bloco A — Governança e conformidade
| # | Pergunta | Evidência a pedir |
|---|---|---|
| 1 | Quem é o responsável formal por segurança da informação na empresa? | Nome, cargo e contato |
| 2 | Existe política de segurança da informação aprovada pela direção e revisada periodicamente? | Cópia ou sumário da política, com data da última revisão |
| 3 | A empresa possui certificação ISO/IEC 27001? Qual o escopo e a validade? | Certificado e declaração de escopo |
| 4 | Quem é o encarregado pelo tratamento de dados pessoais (LGPD)? | Nome e canal de contato publicado |
| 5 | Quais subcontratados terão acesso aos nossos dados ou sistemas? | Lista com nome, serviço e país |
Bloco B — Dados pessoais e LGPD
| # | Pergunta | Evidência a pedir |
|---|---|---|
| 6 | Quais dados pessoais vocês vão tratar neste contrato e para qual finalidade? | Mapeamento dos dados por finalidade |
| 7 | Em que países os dados serão armazenados ou processados? | Regiões de hospedagem e provedores |
| 8 | Como os dados serão devolvidos e eliminados ao fim do contrato? | Procedimento e prazo de descarte |
| 9 | Como vocês apoiam o atendimento a pedidos de titulares (acesso, correção, eliminação)? | Fluxo e prazo interno |
| 10 | Dados reais de produção são usados em testes ou desenvolvimento? | Política de dados de teste ou anonimização |
Bloco C — Acesso e identidade
| # | Pergunta | Evidência a pedir |
|---|---|---|
| 11 | Autenticação multifator é obrigatória para acesso a sistemas, nuvem e repositórios? | Configuração do provedor de identidade |
| 12 | Os acessos seguem o princípio do menor privilégio e são revisados periodicamente? | Registro da última revisão de acessos |
| 13 | Em quanto tempo o acesso de alguém que sai da equipe é removido? | Procedimento de desligamento |
| 14 | Existem contas compartilhadas ou genéricas? Como são controladas? | Inventário de contas privilegiadas |
| 15 | Ações de administradores ficam registradas em log? | Exemplo de trilha de auditoria |
Bloco D — Desenvolvimento e aplicações
| # | Pergunta | Evidência a pedir |
|---|---|---|
| 16 | Existe processo de desenvolvimento seguro, com revisão de código antes de publicar? | Descrição do fluxo e exemplo de revisão |
| 17 | Dependências e bibliotecas de terceiros são verificadas contra vulnerabilidades conhecidas? | Ferramenta usada e relatório recente |
| 18 | Senhas, chaves e tokens ficam fora do código-fonte? | Como os segredos são guardados |
| 19 | Com que frequência são feitos testes de invasão? Por quem? | Sumário executivo do último pentest |
| 20 | Ambientes de desenvolvimento, homologação e produção são separados? | Diagrama ou descrição dos ambientes |
Bloco E — Infraestrutura e operação
| # | Pergunta | Evidência a pedir |
|---|---|---|
| 21 | Os dados são criptografados em trânsito e em repouso? | Configuração e algoritmos usados |
| 22 | Existe backup com teste de restauração documentado? | Data e resultado do último teste |
| 23 | Por quanto tempo os logs de segurança são guardados e quem os analisa? | Política de retenção e monitoramento |
| 24 | Qual o prazo para aplicar correções de vulnerabilidades críticas? | Política de gestão de vulnerabilidades |
| 25 | Existe plano de continuidade, com tempo e ponto de recuperação definidos? | Plano e resultado do último exercício |
Bloco F — Incidentes e contrato
| # | Pergunta | Evidência a pedir |
|---|---|---|
| 26 | Existe plano de resposta a incidentes, testado? | Plano e data do último exercício |
| 27 | Em quanto tempo vocês nos avisam de um incidente que envolva nossos dados? | Compromisso por escrito, com prazo em horas |
| 28 | Houve incidente relevante nos últimos anos? O que mudou depois? | Relato resumido e ações corretivas |
| 29 | Vocês aceitam cláusula de direito de auditoria ou de envio periódico de evidências? | Minuta ou concordância formal |
| 30 | Há seguro de responsabilidade cibernética? Qual a cobertura? | Apólice ou declaração da seguradora |
Na pergunta 27, o prazo pedido ao fornecedor precisa caber dentro dos três dias úteis que o controlador tem para comunicar a ANPD e os titulares. Lembre também que a mesma resolução exige que o controlador mantenha registro dos incidentes por no mínimo cinco anos, o que pressupõe receber do fornecedor informações completas.
Como pontuar as respostas?
Uma escala simples permite comparar fornecedores e acompanhar a evolução de cada um.
| Situação | Pontos | Exemplo |
|---|---|---|
| Controle inexistente ou resposta evasiva | 0 | "Estamos avaliando" sem prazo |
| Controle parcial ou sem evidência | 1 | Diz que usa MFA, mas não mostra configuração |
| Controle implantado e comprovado | 2 | Envia a configuração e o registro de revisão |
Some os pontos por bloco. Um bloco zerado em fornecedor de risco alto pede plano de ação antes da assinatura. Algumas respostas são sinal de alerta independentemente da nota:
- Recusa em informar subcontratados.
- Nenhum prazo para avisar incidentes.
- Contas compartilhadas com acesso administrativo.
- Dados reais de clientes em ambiente de teste sem anonimização.
- Ausência de teste de restauração de backup.
Como o questionário se relaciona com normas conhecidas?
As perguntas foram agrupadas por temas cobertos por referências amplamente usadas. A ISO/IEC 27001:2022 define requisitos para um sistema de gestão de segurança da informação, e a ISO/IEC 27002:2022 reúne orientações sobre controles como acesso, criptografia e resposta a incidentes. Para continuidade, a ISO 22301:2019 trata de sistemas de gestão de continuidade de negócios. Na área de privacidade, a ISO/IEC 27701 ganhou edição nova em 2025.
Certificação não dispensa o questionário. Peça sempre o escopo do certificado: ele pode cobrir apenas uma unidade ou um produto, e não o serviço que você está contratando. Para entender o papel do teste de invasão nesse conjunto, veja pentest: o que é, quais os tipos e como contratar.
Próximo passo
Se você está escolhendo um parceiro de cibersegurança ou uma software house, compare candidatos nos rankings e leia como contratar uma empresa de cibersegurança em 2026. Para preparar a sua própria operação, veja o que ter pronto para responder a incidentes. Se a sua empresa presta serviços de segurança, crie ou reivindique o perfil gratuito e mostre suas credenciais com evidências.
Fontes
- Planalto — Lei nº 13.709/2018 (LGPD) — papéis de controlador e operador (arts. 5º e 39), medidas de segurança (art. 46) e comunicação de incidente (art. 48)
- ANPD — Comunicação de incidente de segurança — prazo de três dias úteis, dever do controlador e papel do operador
- Mattos Filho — ANPD publica regulamento de comunicação de incidente de segurança — publicação da Resolução CD/ANPD nº 15/2024 e guarda do registro de incidentes por cinco anos
- ISO — ISO/IEC 27001:2022 — requisitos de sistema de gestão de segurança da informação
- ISO — ISO/IEC 27002:2022 — orientações sobre controles de segurança da informação
- ISO — ISO 22301:2019 — sistemas de gestão de continuidade de negócios
- ISO — ISO/IEC 27701:2019 (substituída pela edição de 2025) — extensão de privacidade da família 27000 e sua nova edição
Compare nota, avaliações verificadas e score, e fale direto com a empresa pela Citeo.
Perguntas frequentes
Quem deve responder ao questionário de segurança no fornecedor?
O ideal é o responsável por segurança da informação, com apoio de quem opera a infraestrutura e de quem cuida da LGPD. Respostas preenchidas só pelo comercial costumam ser genéricas. Peça o nome de quem respondeu e de quem aprovou.
O questionário substitui uma auditoria ou um pentest?
Não. Ele levanta o que o fornecedor declara e comprova por documentos, de forma rápida e comparável. Auditorias e testes de invasão verificam o funcionamento real dos controles e são indicados para fornecedores de risco alto.
Com que frequência reaplicar o questionário?
Reaplique quando o escopo do fornecedor mudar, quando houver incidente e em ciclos regulares definidos pela sua política, com frequência maior para fornecedores de risco alto. Peça só as respostas que mudaram, para não transformar a revisão em burocracia.
Qual o prazo para comunicar um incidente com dados pessoais à ANPD?
Pela Resolução CD/ANPD nº 15/2024, o controlador deve comunicar a ANPD e os titulares em até três dias úteis, contados do conhecimento de que o incidente afetou dados pessoais, salvo prazo diferente previsto em lei específica. Por isso o contrato deve exigir que o fornecedor avise o quanto antes.
Fornecedor com ISO/IEC 27001 precisa responder ao questionário?
Sim, mas a resposta tende a ser mais rápida, porque boa parte das evidências já existe. Confira se o escopo do certificado cobre o serviço contratado e se ele está válido. Perguntas sobre LGPD e sobre o seu contrato específico continuam necessárias.