As perguntas que todo questionário de segurança faz

Costuma ser a primeira pergunta e a que mais encurta o questionário inteiro quando a resposta é sim.

Uma boa resposta contém: Certificado com escopo e validade, ou a data alvo e o estágio atual, sem promessa vaga.

Pergunta binária que abre espaço para pedir o documento em seguida.

Uma boa resposta contém: Política vigente com data de aprovação, responsável e periodicidade de revisão.

O cliente quer um nome e um cargo, não uma área.

Uma boa resposta contém: Nome, cargo, a quem reporta e como é acionado por um cliente.

Separa programa vivo de documento parado.

Uma boa resposta contém: Periodicidade, o que é analisado e a data da última análise crítica.

Auditoria externa é o que dá credibilidade às demais respostas.

Uma boa resposta contém: Tipo de auditoria, periodicidade, último ciclo e disposição de compartilhar o relatório sob NDA.

Resposta negativa costuma travar o processo sozinha.

Uma boa resposta contém: Escopo da obrigatoriedade, exceções aprovadas e como elas são revisadas.

O cliente quer saber se existe processo ou se depende de alguém lembrar.

Uma boa resposta contém: Fluxo com solicitante, aprovador, prazo de revogação no desligamento e onde fica o registro.

Quase todo mundo diz que revisa. Poucos conseguem mostrar o registro.

Uma boa resposta contém: Periodicidade, quem revisa, e evidência da última revisão com as ações tomadas.

É a pergunta que mais gera follow-up, e a que mais se responde mal.

Uma boa resposta contém: Regra de acesso a dado de cliente, se exige aprovação, e se o acesso é registrado.

Administrador é o alvo, e o cliente sabe disso.

Uma boa resposta contém: Separação de conta administrativa, MFA obrigatório e revisão específica desse grupo.

Resposta genérica levanta suspeita. O cliente quer saber onde e com o quê.

Uma boa resposta contém: Camadas cobertas, e o que eventualmente não é criptografado, com a justificativa.

Define transferência internacional e às vezes é requisito contratual rígido.

Uma boa resposta contém: Provedor, região e se existe opção de manter os dados no Brasil.

Pergunta central para qualquer SaaS multi-inquilino.

Uma boa resposta contém: Modelo de isolamento e como ele é testado, não apenas afirmado.

O cliente precisa disso para o próprio inventário e para a LGPD.

Uma boa resposta contém: Prazo, formato de devolução e comprovação de eliminação.

Descarte informal deixa dado recuperável em backup e em ambiente de teste.

Uma boa resposta contém: Método, escopo, inclusive backups, e o registro da execução.

Resposta afirmativa sem mascaramento é achado sério.

Uma boa resposta contém: Regra explícita e, se houver uso, o método de anonimização aplicado.

O cliente quer a frequência e, principalmente, o prazo de correção.

Uma boa resposta contém: Periodicidade da varredura e SLA de correção por severidade.

Pentest anual por terceiro é praticamente padrão de mercado hoje.

Uma boa resposta contém: Escopo, periodicidade, se é feito por terceiro e disposição de compartilhar o sumário.

Mudança sem trilha é risco operacional que afeta o cliente diretamente.

Uma boa resposta contém: Fluxo de aprovação, teste, janela e plano de retorno.

Define se um incidente futuro poderá ou não ser investigado.

Uma boa resposta contém: O que é registrado, retenção e proteção contra alteração.

Distingue detecção de descoberta acidental.

Uma boa resposta contém: O que é monitorado, quem responde e em que horário.

A pergunta sobre teste de restauração é a que mais pega gente.

Uma boa resposta contém: Frequência, retenção, isolamento da cópia e data do último teste de restauração.

Comum em questionário de cliente corporativo e regulado.

Uma boa resposta contém: O que é verificado, para quais cargos e dentro de quais limites legais.

Pergunta binária, com pedido de amostra logo em seguida.

Uma boa resposta contém: Momento da assinatura, abrangência e o que acontece no desligamento.

O cliente quer periodicidade e cobertura, não a existência de um curso.

Uma boa resposta contém: Frequência, público, taxa de conclusão e se inclui terceiros com acesso.

Virou expectativa de mercado, e a taxa de clique costuma ser pedida.

Uma boa resposta contém: Periodicidade, resultado da última campanha e o que se faz com quem clica.

Frequentemente é requisito contratual manter a lista pública e avisar mudanças.

Uma boa resposta contém: Lista com nome, finalidade, região e processo de aviso prévio de mudança.

Avaliar na contratação e nunca mais é o padrão que o cliente tenta detectar.

Uma boa resposta contém: Critério de criticidade, o que se avalia e a cadência de reavaliação.

Sem cláusula, nada do que você promete ao seu cliente é exigível do seu fornecedor.

Uma boa resposta contém: Cláusulas padrão de segurança, notificação de incidente e auditoria.

A pergunta sobre teste separa plano real de documento.

Uma boa resposta contém: Plano com responsáveis, e a data e o resultado do último exercício.

Vira cláusula contratual, e costuma ser mais curto que o prazo regulatório.

Uma boa resposta contém: Prazo comprometido, gatilho de notificação e canal usado.

Responder não a essa pergunta gera mais desconfiança do que responder sim com processo.

Uma boa resposta contém: Resposta honesta, com o que foi feito e o que mudou depois.

RTO e RPO viram compromisso contratual e precisam ser sustentáveis.

Uma boa resposta contém: RTO e RPO por serviço, com a evidência do último teste que os sustenta.

Define quase todas as obrigações seguintes, e muita empresa responde errado.

Uma boa resposta contém: Papel por serviço, não uma resposta única para a empresa toda.

A LGPD exige a figura e a divulgação do contato.

Uma boa resposta contém: Nome ou canal formal, publicado e efetivamente monitorado.

O cliente precisa cumprir prazos legais e depende de você para isso.

Uma boa resposta contém: Mecanismo de exportação, correção e exclusão, com prazo comprometido.

É o ROPA, e o cliente pode pedir a parte que diz respeito a ele.

Uma boa resposta contém: Registro por operação com finalidade, base legal e compartilhamentos.