# Questionário de segurança para fornecedores: modelo com 30 perguntas — Citeo > Um questionário de segurança para fornecedores mostra, antes do contrato, como o parceiro protege dados, acessos, código e operação. O modelo tem 30 pergun... Fonte: https://mail.citeo.com.br/artigo/questionario-de-seguranca-para-fornecedores · Atualizado em 21/10/2026 [Início](https://mail.citeo.com.br) [Insights](https://mail.citeo.com.br/blog) [Segurança](https://mail.citeo.com.br/blog/seguranca) Segurança# Questionário de segurança para fornecedores: modelo com 30 perguntas **Redação Citeo** Publicado em 18/10/2026 Revisado em 18/10/2026 7 min de leitura Resposta rápidaUm questionário de segurança para fornecedores mostra, antes do contrato, como o parceiro protege dados, acessos, código e operação. O modelo tem 30 perguntas em 6 blocos, com a evidência a pedir em cada uma, e se apoia na LGPD, na ISO/IEC 27001 e nas regras da ANPD sobre incidentes. Um questionário de segurança para fornecedores é uma lista padronizada de perguntas que a empresa envia a software houses, agências, provedores de nuvem e outros parceiros antes de contratar, para saber como eles protegem dados, acessos, código e operação. O modelo abaixo tem 30 perguntas em 6 blocos, com a evidência que deve acompanhar cada resposta. Ele é gratuito, pode ser copiado e funciona como anexo de RFP ou de contrato. O questionário não substitui uma auditoria ou um teste de invasão. Ele serve para identificar riscos cedo, comparar fornecedores pela mesma régua e transformar respostas em obrigações contratuais. ## Por que avaliar a segurança de um fornecedor? Quando um fornecedor acessa sistemas ou dados pessoais da sua empresa, os riscos dele passam a ser seus. Pela Lei 13.709/2018 (LGPD), quem decide sobre o tratamento é o controlador, e o fornecedor costuma atuar como operador, tratando os dados segundo as instruções recebidas (art. 39). Todos os agentes de tratamento devem adotar medidas de segurança técnicas e administrativas (art. 46). Há também prazos. Pela Resolução CD/ANPD nº 15/2024, o controlador deve comunicar à ANPD e aos titulares um incidente que possa acarretar risco ou dano relevante em até três dias úteis, contados do conhecimento de que dados pessoais foram afetados. A ANPD orienta que o operador informe o controlador sem demora injustificada. Se o fornecedor demora para avisar, esse prazo fica comprometido. ## Para quais fornecedores aplicar e com que profundidade? Nem todo fornecedor precisa responder às 30 perguntas. Classifique antes pelo acesso que ele terá. Nível de riscoExemplo de fornecedorProfundidade sugeridaAltoSoftware house que desenvolve ou mantém sistema com dados de clientes; provedor de nuvemAs 30 perguntas, com evidências e reunião técnicaMédioAgência de marketing com acesso a CRM e base de leadsBlocos A, B, C e FBaixoFornecedor sem acesso a sistemas nem a dados pessoaisBlocos A e F, de forma resumida ## Como usar este questionário? 1. **Classifique o fornecedor** pela tabela acima. 2. **Envie o questionário com prazo** e um responsável técnico do seu lado para dúvidas. 3. **Exija evidência**, não apenas "sim". Uma política, um print de configuração ou um certificado valem mais do que uma declaração. 4. **Pontue as respostas** com a escala proposta mais abaixo. 5. **Transforme lacunas em plano de ação** com prazo, ou em cláusula contratual. 6. **Reavalie periodicamente** e sempre que o escopo do fornecedor mudar. ## Modelo com 30 perguntas (copie a partir daqui) ### Bloco A — Governança e conformidade \#PerguntaEvidência a pedir1Quem é o responsável formal por segurança da informação na empresa?Nome, cargo e contato2Existe política de segurança da informação aprovada pela direção e revisada periodicamente?Cópia ou sumário da política, com data da última revisão3A empresa possui certificação ISO/IEC 27001? Qual o escopo e a validade?Certificado e declaração de escopo4Quem é o encarregado pelo tratamento de dados pessoais (LGPD)?Nome e canal de contato publicado5Quais subcontratados terão acesso aos nossos dados ou sistemas?Lista com nome, serviço e país ### Bloco B — Dados pessoais e LGPD \#PerguntaEvidência a pedir6Quais dados pessoais vocês vão tratar neste contrato e para qual finalidade?Mapeamento dos dados por finalidade7Em que países os dados serão armazenados ou processados?Regiões de hospedagem e provedores8Como os dados serão devolvidos e eliminados ao fim do contrato?Procedimento e prazo de descarte9Como vocês apoiam o atendimento a pedidos de titulares (acesso, correção, eliminação)?Fluxo e prazo interno10Dados reais de produção são usados em testes ou desenvolvimento?Política de dados de teste ou anonimização ### Bloco C — Acesso e identidade \#PerguntaEvidência a pedir11Autenticação multifator é obrigatória para acesso a sistemas, nuvem e repositórios?Configuração do provedor de identidade12Os acessos seguem o princípio do menor privilégio e são revisados periodicamente?Registro da última revisão de acessos13Em quanto tempo o acesso de alguém que sai da equipe é removido?Procedimento de desligamento14Existem contas compartilhadas ou genéricas? Como são controladas?Inventário de contas privilegiadas15Ações de administradores ficam registradas em log?Exemplo de trilha de auditoria ### Bloco D — Desenvolvimento e aplicações \#PerguntaEvidência a pedir16Existe processo de desenvolvimento seguro, com revisão de código antes de publicar?Descrição do fluxo e exemplo de revisão17Dependências e bibliotecas de terceiros são verificadas contra vulnerabilidades conhecidas?Ferramenta usada e relatório recente18Senhas, chaves e tokens ficam fora do código-fonte?Como os segredos são guardados19Com que frequência são feitos testes de invasão? Por quem?Sumário executivo do último pentest20Ambientes de desenvolvimento, homologação e produção são separados?Diagrama ou descrição dos ambientes ### Bloco E — Infraestrutura e operação \#PerguntaEvidência a pedir21Os dados são criptografados em trânsito e em repouso?Configuração e algoritmos usados22Existe backup com teste de restauração documentado?Data e resultado do último teste23Por quanto tempo os logs de segurança são guardados e quem os analisa?Política de retenção e monitoramento24Qual o prazo para aplicar correções de vulnerabilidades críticas?Política de gestão de vulnerabilidades25Existe plano de continuidade, com tempo e ponto de recuperação definidos?Plano e resultado do último exercício ### Bloco F — Incidentes e contrato \#PerguntaEvidência a pedir26Existe plano de resposta a incidentes, testado?Plano e data do último exercício27Em quanto tempo vocês nos avisam de um incidente que envolva nossos dados?Compromisso por escrito, com prazo em horas28Houve incidente relevante nos últimos anos? O que mudou depois?Relato resumido e ações corretivas29Vocês aceitam cláusula de direito de auditoria ou de envio periódico de evidências?Minuta ou concordância formal30Há seguro de responsabilidade cibernética? Qual a cobertura?Apólice ou declaração da seguradora Na pergunta 27, o prazo pedido ao fornecedor precisa caber dentro dos três dias úteis que o controlador tem para comunicar a ANPD e os titulares. Lembre também que a mesma resolução exige que o controlador mantenha registro dos incidentes por no mínimo cinco anos, o que pressupõe receber do fornecedor informações completas. ## Como pontuar as respostas? Uma escala simples permite comparar fornecedores e acompanhar a evolução de cada um. SituaçãoPontosExemploControle inexistente ou resposta evasiva0"Estamos avaliando" sem prazoControle parcial ou sem evidência1Diz que usa MFA, mas não mostra configuraçãoControle implantado e comprovado2Envia a configuração e o registro de revisão Some os pontos por bloco. Um bloco zerado em fornecedor de risco alto pede plano de ação antes da assinatura. Algumas respostas são sinal de alerta independentemente da nota: - Recusa em informar subcontratados. - Nenhum prazo para avisar incidentes. - Contas compartilhadas com acesso administrativo. - Dados reais de clientes em ambiente de teste sem anonimização. - Ausência de teste de restauração de backup. ## Como o questionário se relaciona com normas conhecidas? As perguntas foram agrupadas por temas cobertos por referências amplamente usadas. A ISO/IEC 27001:2022 define requisitos para um sistema de gestão de segurança da informação, e a ISO/IEC 27002:2022 reúne orientações sobre controles como acesso, criptografia e resposta a incidentes. Para continuidade, a ISO 22301:2019 trata de sistemas de gestão de continuidade de negócios. Na área de privacidade, a ISO/IEC 27701 ganhou edição nova em 2025. Certificação não dispensa o questionário. Peça sempre o escopo do certificado: ele pode cobrir apenas uma unidade ou um produto, e não o serviço que você está contratando. Para entender o papel do teste de invasão nesse conjunto, veja [pentest: o que é, quais os tipos e como contratar](/artigo/pentest-o-que-e-tipos-como-contratar). ## Próximo passo Se você está escolhendo um parceiro de cibersegurança ou uma software house, compare candidatos nos [rankings](/rankings) e leia [como contratar uma empresa de cibersegurança em 2026](/artigo/como-contratar-empresa-de-ciberseguranca-2026). Para preparar a sua própria operação, veja [o que ter pronto para responder a incidentes](/artigo/resposta-a-incidentes-o-que-ter-pronto). Se a sua empresa presta serviços de segurança, [crie ou reivindique o perfil gratuito](/cadastro) e mostre suas credenciais com evidências. ## Fontes - [Planalto — Lei nº 13.709/2018 (LGPD)](https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm) — papéis de controlador e operador (arts. 5º e 39), medidas de segurança (art. 46) e comunicação de incidente (art. 48) - [ANPD — Comunicação de incidente de segurança](https://www.gov.br/anpd/pt-br/assuntos/comunicacao-de-incidentes-de-seguranca-cis) — prazo de três dias úteis, dever do controlador e papel do operador - [Mattos Filho — ANPD publica regulamento de comunicação de incidente de segurança](https://www.mattosfilho.com.br/unico/regulamento-incidente-seguranca/) — publicação da Resolução CD/ANPD nº 15/2024 e guarda do registro de incidentes por cinco anos - [ISO — ISO/IEC 27001:2022](https://www.iso.org/standard/27001) — requisitos de sistema de gestão de segurança da informação - [ISO — ISO/IEC 27002:2022](https://www.iso.org/standard/75652.html) — orientações sobre controles de segurança da informação - [ISO — ISO 22301:2019](https://www.iso.org/standard/75106.html) — sistemas de gestão de continuidade de negócios - [ISO — ISO/IEC 27701:2019 (substituída pela edição de 2025)](https://www.iso.org/standard/71670.html) — extensão de privacidade da família 27000 e sua nova edição **Encontre cybersegurança verificadas**Compare nota, avaliações verificadas e score, e fale direto com a empresa pela Citeo. [Ver empresas ](https://mail.citeo.com.br/empresas/cyber) [Comparar empresas lado a lado](https://mail.citeo.com.br/comparar) ## Perguntas frequentes ### Quem deve responder ao questionário de segurança no fornecedor? O ideal é o responsável por segurança da informação, com apoio de quem opera a infraestrutura e de quem cuida da LGPD. Respostas preenchidas só pelo comercial costumam ser genéricas. Peça o nome de quem respondeu e de quem aprovou. ### O questionário substitui uma auditoria ou um pentest? Não. Ele levanta o que o fornecedor declara e comprova por documentos, de forma rápida e comparável. Auditorias e testes de invasão verificam o funcionamento real dos controles e são indicados para fornecedores de risco alto. ### Com que frequência reaplicar o questionário? Reaplique quando o escopo do fornecedor mudar, quando houver incidente e em ciclos regulares definidos pela sua política, com frequência maior para fornecedores de risco alto. Peça só as respostas que mudaram, para não transformar a revisão em burocracia. ### Qual o prazo para comunicar um incidente com dados pessoais à ANPD? Pela Resolução CD/ANPD nº 15/2024, o controlador deve comunicar a ANPD e os titulares em até três dias úteis, contados do conhecimento de que o incidente afetou dados pessoais, salvo prazo diferente previsto em lei específica. Por isso o contrato deve exigir que o fornecedor avise o quanto antes. ### Fornecedor com ISO/IEC 27001 precisa responder ao questionário? Sim, mas a resposta tende a ser mais rápida, porque boa parte das evidências já existe. Confira se o escopo do certificado cobre o serviço contratado e se ele está válido. Perguntas sobre LGPD e sobre o seu contrato específico continuam necessárias. ## Leia também [](https://mail.citeo.com.br/artigo/backup-3-2-1-e-recuperacao-de-desastres) Segurança### [Backup 3-2-1 e recuperação de desastres: o mínimo que toda empresa precisa](https://mail.citeo.com.br/artigo/backup-3-2-1-e-recuperacao-de-desastres) 18 de out · 5 min de leitura [](https://mail.citeo.com.br/artigo/bug-bounty-vale-a-pena) Segurança### [Programa de bug bounty vale a pena? Quando faz sentido e como começar](https://mail.citeo.com.br/artigo/bug-bounty-vale-a-pena) 18 de out · 5 min de leitura [](https://mail.citeo.com.br/artigo/comunicacao-de-incidente-a-anpd) Segurança### [Comunicação de incidente de segurança à ANPD: prazos e o que informar](https://mail.citeo.com.br/artigo/comunicacao-de-incidente-a-anpd) 18 de out · 6 min de leitura [](https://mail.citeo.com.br/artigo/incidentes-de-seguranca-no-brasil-dados) Segurança### [Incidentes de segurança no Brasil: o que mostram os dados públicos](https://mail.citeo.com.br/artigo/incidentes-de-seguranca-no-brasil-dados) 18 de out · 6 min de leitura