Fornecedores TIC: a due diligence mínima deixou de caber num questionário

O que o guia resolve — e o que não resolve

O NIST descreve due diligence como a investigação mínima razoável que a organização executa sobre a maioria dos fornecedores TIC. O objetivo é detetar risco antes de gastar tempo e dinheiro numa avaliação completa, e priorizar esse trabalho segundo a criticidade do fornecedor.

O SP 1326 complementa a prática mais ampla de gestão de risco da cadeia de fornecimento; não a substitui. Uma pesquisa inicial pode revelar opacidade societária, dependências desconhecidas ou práticas fracas, mas não confirma sozinha a eficácia de controlos, a segurança de um produto ou o cumprimento de uma lei.

Para uma organização portuguesa, o documento é uma referência operacional voluntária. A decisão de compra continua a ter de incorporar o direito aplicável, os requisitos do setor, proteção de dados, continuidade, contrato e apetite de risco.

Cinco lentes, perguntas verificáveis

As categorias do NIST evitam que a análise se reduza à solvência ou a um questionário de segurança. Elas cobrem quem controla o fornecedor, de onde vêm produtos e componentes, como a operação resiste a interrupções, que práticas fundamentais existem e que dependências se escondem nos níveis inferiores da cadeia.

Cada pergunta deve terminar numa prova e numa consequência. Uma resposta comercial sem documento, data, âmbito ou proprietário não fecha a questão; apenas cria uma alegação a verificar.

A criticidade é o portão de proporcionalidade

Investigar todos os fornecedores com a mesma profundidade cria duas falhas: recursos desperdiçados em compras triviais e análise insuficiente onde uma interrupção ou compromisso é material. Antes do questionário, a equipa precisa de uma classificação coerente.

Um fornecedor merece análise reforçada quando suporta uma função crítica, recebe acesso privilegiado, processa dados sensíveis, cria concentração difícil de substituir, condiciona recuperação ou introduz componentes em muitos produtos. Esses fatores devem ser registados mesmo quando o preço do contrato é baixo.

O SP 1326 também distingue pesquisa básica, baseada sobretudo em informação pública, de pesquisa reforçada que pode usar informação comercial, proprietária ou ferramentas especializadas. A passagem entre níveis precisa de um gatilho e de aprovação, não de intuição silenciosa.

O dossier que deve sobreviver à decisão

O produto final da due diligence não é um PDF de respostas. É um registo que permite repetir o raciocínio: serviço e âmbito, criticidade, fontes consultadas, factos confirmados, alegações, incertezas, red flags, mitigações, risco residual e autoridade que decidiu.

O SBOM pode ajudar a análise da proveniência e permitir tratamento automatizado quando usa formatos legíveis por máquina. O próprio guia avisa, contudo, que um SBOM não torna software seguro por existir; ele é uma fonte para análise, não uma conclusão.

Ligue o dossier ao plano do sistema e ao plano de risco da cadeia de fornecimento. O SP 800-18 Rev. 2 reforça precisamente a necessidade de integrar segurança, privacidade e C-SCRM numa visão de sistema que possa ser mantida e, quando possível, processada por máquina.

• Identificador único do fornecedor, do serviço e do contrato.
• Data, âmbito e responsáveis pela pesquisa e pela validação.
• Fonte e excerto factual para cada sinal material, sem copiar páginas inteiras.
• Decisão, condições antes da contratação, risco residual e proprietário.
• Gatilhos de revisão: incidente, aquisição, mudança de controlo, subfornecedor, produto, jurisdição ou criticidade.