Microsoft SSPA: o que a plataforma cobre
O SSPA é o programa que a Microsoft aplica aos seus próprios fornecedores. Ele não é uma norma de mercado nem uma certificação que você busca por iniciativa própria: é uma exigência contratual de um cliente específico.
Isso o torna o framework mais direto do catálogo em um aspecto, e o mais particular em outro.
Para quem serve#
Exclusivamente para empresas que são fornecedoras da Microsoft e, nessa relação, tratam dados pessoais ou informação confidencial dela.
Se a sua empresa não presta serviço à Microsoft, este framework não tem uso. Se presta, provavelmente você já ouviu falar dele pelo canal de compras dela, e não por interesse próprio.
O sinal é inequívoco: a Microsoft comunica a exigência ao fornecedor, com prazo e com o escopo aplicável ao serviço contratado.
Por que ele é diferente dos outros#
Três diferenças mudam a forma de trabalhar:
Quem define é o cliente. O escopo, os requisitos aplicáveis e o prazo vêm da Microsoft, não de um organismo normativo. A referência oficial é a documentação que ela fornece ao fornecedor.
O resultado é uma atestação, não um certificado de mercado. Ela serve para a relação com aquele cliente. Não é algo que você apresenta a outros compradores.
O rigor varia com o que você trata. Fornecedores que lidam com dados mais sensíveis, ou em maior volume, passam por verificação mais exigente, podendo incluir avaliação independente.
Captura de tela
Microsoft SSPA na plataforma, com os domínios do programa.
O que ele cobra, em linhas gerais#
O programa se apoia em um conjunto de requisitos de proteção de dados que cobrem, entre outros temas:
- Governança e responsabilidade pelo tratamento dos dados recebidos.
- Uso limitado à finalidade contratada, sem uso secundário.
- Controle de acesso restrito a quem precisa.
- Proteção do dado em armazenamento e em trânsito.
- Retenção e descarte conforme o contrato.
- Gestão dos subfornecedores que participem do serviço.
- Notificação ao cliente em caso de incidente.
- Treinamento de quem tem contato com esses dados.
A ênfase, mais do que em qualquer outro framework do catálogo, está em não fazer com o dado nada além do que foi contratado.
O que é comprovado automaticamente e o que não é#
Área | Como é comprovada |
|---|---|
Controle de acesso e autenticação | Integrações |
Criptografia, backup, registro de logs | Integrações |
Segregação e restrição de ambiente | Integrações e documentos |
Políticas de tratamento e de retenção | Documentos publicados |
Gestão de subfornecedores | Módulo de Fornecedores |
Notificação de incidente ao cliente | Módulo de Incidentes |
Treinamento do time | Evidência enviada |
Descarte de dados ao fim do contrato | Evidência |
A parte técnica se resolve em boa medida por integração e é compartilhada com outras normas. A parte específica do programa é contratual e documental.
Por onde começar#
- Leia a comunicação da Microsoft. Ela define o escopo aplicável ao seu serviço, o prazo e o nível de verificação. Nenhum tutorial substitui esse documento.
- Identifique exatamente quais dados você recebe naquela relação, e onde eles ficam.
- Confirme se algum subfornecedor participa do tratamento. Essa cadeia é ponto de atenção do programa.
- Conecte as integrações que cobrem acesso e proteção do ambiente.
- Publique as políticas de tratamento, retenção e descarte.
- Registre o treinamento de quem lida com os dados.
- Prepare a evidência de descarte, que costuma ser cobrada ao fim do contrato.
O que costuma dar problema#
- Tratar como norma genérica. O programa é do cliente. A documentação dele é a referência, e ela muda com o tempo.
- Subfornecedor não declarado. Usar um serviço de terceiro no tratamento sem informar é o achado mais sério.
- Uso secundário do dado. Aproveitar o dado recebido para outra finalidade, mesmo interna, contraria o princípio central do programa.
- Prazo perdido. A exigência vem com data, e o descumprimento afeta a relação comercial diretamente.