Conformidade
Avalie o risco de cibersegurança de um fornecedor de tecnologia
Uma decisão de compra ou renovação inclui riscos da cadeia de suprimentos baseados em evidências, salvaguardas contratuais e compromissos de correção monitorados.
O processo
Faça nesta ordem.
- Classifique o engajamento por sensibilidade dos dados, acesso, conectividade, criticidade do serviço, substituibilidade, concentração e dependências a jusante.
- Defina a profundidade da due diligence e peça evidências proporcionais, como arquitetura, avaliações independentes, histórico de incidentes, práticas de vulnerabilidade, controles de acesso, testes de resiliência, capacidade de SBOM e informações de subprocessadores.
- Valide afirmações de alto impacto contra evidências atuais, esclareça escopo e exceções e evite tratar questionário ou certificação como garantia completa.
- Avalie risco inerente, eficácia dos controles, risco residual e cenários credíveis de falha, inclusive comprometimento, interrupção, uso indevido de dados e dependência de fornecedor.
- Documente lacunas com compromissos de correção, responsáveis, datas, evidência de verificação e controles compensatórios.
- Defina requisitos contratuais de segurança, notificação de incidente, direitos de auditoria, tratamento de dados, divulgação de vulnerabilidades, subcontratados, continuidade e encerramento seguro, com revisão jurídica.
- Obtenha aceitação de risco atribuível antes da integração e agende monitoramento contínuo e reavaliação conforme o nível e mudanças materiais.
Traga isto
Entradas que o gato vai pedir.
- Descrição do fornecedor e do serviço
- Fluxos de dados e modelo de acesso
- Criticidade do negócio e critérios de risco
- Evidências do fornecedor e contrato proposto
Roteador + um playbook
Roteie primeiro. Escolha um.
O Cat Paw carrega um playbook por tarefa, sem misturar vários. Comece por este roteador; os outros caminhos são candidatos específicos do workflow.
- Roteador:
cybersecurity-pack skills/cybersecurity-skills/managing-third-party-vendor-risk/SKILL.mdskills/cybersecurity-skills/conducting-cyber-risk-assessment-with-nist-800-30/SKILL.md
Limites
As fronteiras viajam com o prompt.
- Colete informações do fornecedor por canais autorizados e respeite restrições de confidencialidade.
- Não apresente a avaliação como aconselhamento jurídico nem garanta que o fornecedor é seguro.
- Exija aceitação explícita e atribuível de risco material não resolvido antes do acesso à produção.
Pronto significa
Um fim que dá para checar.
O fornecedor tem nível de risco e decisão de risco residual documentados, lacunas materiais têm tratamento contratual ou de correção, e responsáveis pelo monitoramento e reavaliação estão definidos.
Fontes
De onde veio este processo.
As fontes estabelecem o padrão do workflow. Posts de Reddit e da comunidade, quando aparecem, valem como anedota de quem pratica — não como fato universal.
