O que uma empresa de software precisa ter pronto antes do questionário de segurança de um cliente grande.

Um cliente grande pede prova antes de assinar: um questionário de segurança, às vezes uma reunião com o time de segurança dele, às vezes uma auditoria. A empresa de software que já tem a base documentada responde numa tarde. A que não tem descobre o problema com o contrato parado, e responde correndo, com o que dá.

O que precisa existir antes cabe em oito famílias, as mesmas que os questionários repetem: governança, pessoas, acesso, dados, fornecedores, desenvolvimento, continuidade e incidente. Para cada uma, uma coisa em operação e um documento que prove.

O que o comprador está decidindo

Se a sua empresa pode parar a operação dele ou vazar os dados dele. Para responder isso, o time de segurança do cliente quer saber três coisas: se alguém responde pela segurança do seu lado, se o básico está configurado e documentado, e se você avisaria caso algo acontecesse. Um questionário bem respondido diz as três; um certificado diz as três com a assinatura de um terceiro.

As oito famílias, e o que ter pronto em cada uma

Governança. Uma política de segurança da informação aprovada pela diretoria, com data, e uma pessoa nomeada como responsável, mesmo que acumule. O questionário pergunta "quem" antes de perguntar "como".

Pessoas. Onboarding e offboarding com lista do que é dado e do que é retirado, e um registro de que a equipe passou por alguma orientação de segurança neste ano.

Acesso. Conta individual e segundo fator em tudo que é administrativo: console da nuvem, repositório de código, e-mail, acesso à produção. Uma lista de quem tem acesso a produção, revisada com data.

Dados. Um mapa do que a empresa guarda de dado pessoal e do cliente, onde fica, quem acessa e por quanto tempo. Criptografia em trânsito e em repouso configurada, com a evidência de que está ligada. O encarregado nomeado ou o canal de atendimento ao titular, o que a LGPD exigir do seu porte.

Fornecedores. A lista dos serviços que tocam dado do cliente (nuvem, e-mail, analytics, suporte, pagamento), com o que cada um acessa. O cliente grande vai perguntar pelos seus subprocessadores e não aceita "não sei".

Desenvolvimento. O que dá para descrever sem inventar: revisão de código antes de entrar, segredos fora do repositório, dependências verificadas, ambientes de teste separados da produção sem dado real. Se há teste de intrusão, o relatório com data e o que foi corrigido.

Continuidade. Backup com teste de restauração registrado, e um número honesto para quanto tempo a empresa leva para voltar. Um plano de uma página vale mais que um plano de trinta que ninguém leu.

Incidente. Um procedimento escrito com quem decide, quem comunica, e os prazos: o da ANPD, de três dias úteis quando há dado pessoal com risco relevante, e o compromisso contratual de avisar o cliente. O cliente vai perguntar em quantas horas ele fica sabendo.

O que costuma reprovar

Credencial compartilhada de administrador. Console da nuvem sem segundo fator. Dado real de produção no ambiente de testes. Backup que nunca foi restaurado. Política que existe num arquivo e que ninguém assinou. Lista de fornecedores que não existe. E a resposta "N/A" sem explicação, que o comprador lê como "não sei".

Nenhum desses reprova sozinho. O que reprova é o conjunto: um fornecedor que não sabe dizer o que tem passa a impressão de que também não saberia dizer o que perdeu.

Quanto tempo leva

Com uma pessoa responsável e algumas horas por semana, a base sai em alguns meses: as políticas aprovadas e operando, o teste de segurança no pipeline, os logs e o monitoramento de incidentes montados para sustentá-las. O certificado, ISO 27001 ou SOC 2, é um passo depois desse, quando um comprador exige o selo e não aceita o questionário no lugar dele.

Por onde começar

Pela lista de acesso e pelo backup, porque são os dois itens que mais reprovam e os dois mais rápidos de fechar. Depois a política e o responsável, porque o resto se pendura neles. O questionário que já chegou se responde com o que existe, e o que não existe vira uma pendência com dono e data; como responder está em outra página desta série.

Nesta série

• Como responder ao questionário de segurança de um cliente

A implantação de segurança da informação monta essa base do zero e entrega as evidências que o questionário pede.