Avalia um fornecedor, prestador ou parceiro a partir do que sabe e das evidências que tem: criticidade e dependência, exposição de dados, segurança, conformidade, privacidade, continuidade, incidentes, finanças e contrato. As pontuações de risco são calculadas, e os controlos só contam quando comprovados. Baseia-se na informação fornecida: não é uma auditoria independente e não verifica certificações.
Conteúdo
1. Dados da avaliação
2. Síntese executiva
3. Âmbito e metodologia da avaliação
4. Perfil do terceiro
5. Relação comercial e descrição do serviço
6. Análise da criticidade para o negócio e das dependências
7. Acesso à informação e exposição de dados
8. Avaliação da segurança da informação
9. Avaliação regulamentar e de conformidade
10. Avaliação da proteção de dados e da privacidade
11. Avaliação da continuidade do negócio e da recuperação de desastres
12. Avaliação da gestão de incidentes
13. Avaliação de riscos financeiros e operacionais
14. Avaliação contratual e dos SLA
15. Controlos existentes e evidências associadas
16. Identificação e análise de riscos
17. Avaliação do risco inerente
18. Avaliação da eficácia dos controlos
19. Avaliação do risco residual
20. Constatações de risco e lacunas identificadas
21. Recomendações de tratamento de riscos
22. Plano de tratamento do risco de terceiros
23. Síntese global dos riscos
24. Conclusão e aprovação da avaliação
25. Calendário de revisão e reavaliação
26. Histórico de versões do documento
O que indica
Deliverable — You set its title, author and structure.
Terceiro — Quem é avaliado.
Serviço e dependência — Quanto o negócio depende dele.
Acesso a sistemas e dados — O que consegue alcançar.
Segurança da informação — O que declarou ou mostrou.
Conformidade e proteção de dados — As certificações são indicadas tal como fornecidas.
Continuidade e incidentes — O que acontece quando algo corre mal.
