A cadeia é o alvo
Um acesso de prestador comprometido, uma atualização armadilhada, um alojador indisponível: o ataque ou a avaria chega através de um terceiro de confiança. A superfície de risco é agora tanto a dos seus fornecedores como a sua.
Tema · Pilotar o risco de terceiros
Cartografar e acompanhar os prestadores críticos
O risco de terceiros depende do que um prestador pode atingir, da criticidade do serviço prestado, dos dados tratados e da possibilidade de o substituir. A Galyct Pro reúne estas informações, os requisitos contratuais e as provas recebidas para acompanhar os terceiros prioritários e os planos de reversibilidade.
Compreender o risco. Retomar o controlo. Manter no tempo.
Alojado em França na Scaleway · IA Mistral (UE) · requisitos NIS 2 & DORA sobre a cadeia de abastecimento.
Só se protege bem o que se cartografou.
Externalizar uma operação nunca transfere a responsabilidade pela continuidade, pela confiança e pela conformidade. Enquanto não souber que prestador acede a que dados, com que criticidade e com que garantias, o risco de terceiros permanece invisível, até ao dia em que se torna o seu incidente. A Galyct Pro liga cada terceiro a um nível de criticidade, a requisitos contratuais e a provas, para que a cadeia se torne pilotável.
01 · PORQUE SE TORNOU CENTRAL
O elo mais fraco já não está necessariamente do seu lado
A dependência de prestadores e de software explodiu, e os reguladores reconheceram-no. Três razões para pilotar o risco de terceiros desde já.
A NIS 2 & o DORA exigem-no
A NIS 2 impõe a segurança da cadeia de abastecimento; o DORA impõe um registo de prestadores de TIC, cláusulas contratuais e uma gestão do risco de concentração. Já não é uma boa prática: é uma obrigação.
Pedem-lho
Grandes clientes, seguradoras, entidades adjudicantes públicas: todos exigem a prova de que controla os seus subcontratantes. Um registo atualizado e cláusulas defensáveis desbloqueiam um contrato ou uma cobertura.
02 · O QUE A GALYCT PRO TRAZ
Um registo de terceiros ligado a decisões e a provas
Não uma folha de cálculo esquecida: uma pilotagem viva, ligada ao seu risco, à sua conformidade e à sua continuidade.
Cartografia
Ver e hierarquizar
Quem acede a quê, e o que é crítico.
- Registo de prestadores, editores de software e subcontratantes
- Criticidade por acesso aos dados, dependência e substituibilidade
- Cartografia dos acessos, fluxos e localizações de alojamento
- Deteção das concentrações e dos pontos únicos de falha
Exigir & provar
Enquadrar e demonstrar
Cláusulas cumpridas, provas apresentáveis.
- Requisitos de segurança, RGPD (art. 28.º) e reversibilidade por terceiro
- Acompanhamento das cláusulas, auditorias, certificações e atestados recebidos
- Plano de saída: reversibilidade, continuidade e transição
- Elementos prontos para uma auditoria, uma seguradora ou uma autoridade
03 · O MÉTODO
Do levantamento ao plano de saída
Uma pilotagem proporcionada: começa-se pelos terceiros críticos, documenta-se o que conta, guarda-se o registo.
1LevantarPrestadores, editores de software, subcontratantes ulteriores, alojadores e acessos associados.
2ClassificarCriticidade por dados tratados, dependência operacional, substituibilidade e localização.
3ExigirCláusulas de segurança, RGPD, notificação, auditoria e reversibilidade proporcionadas ao risco.
4VerificarAtestados, certificações, resultados de auditoria e provas recebidas, com os respetivos prazos.
5VigiarAlertas, incidentes e alterações substanciais de um terceiro, encaminhados para o sítio certo.
6Prever a saídaPlano de reversibilidade e de continuidade em caso de falha ou de fim de contrato.
04 · O QUE NÃO PROMETEMOS
Avaliar um terceiro reduz o risco, não o anula
Pilotar o risco de terceiros reduz o ângulo morto e torna os seus requisitos defensáveis. Não elimina o risco de um prestador nem garante a segurança dele no seu lugar.
Não é uma auditoria dos seus prestadores
A Galyct Pro estrutura os seus requisitos e as suas provas; não realiza por si a auditoria técnica de um fornecedor. Quando é necessário, a consultora assume o trabalho.
Não é a segurança do terceiro
Tornamos a dependência legível e exigimos garantias; a segurança interna de um prestador cabe a ele. O controlo do risco, esse, continua pilotável do seu lado.
Uma conformidade ligada às práticas reais
Um registo nunca atualizado não protege ninguém. Documentamos os terceiros realmente críticos e as decisões associadas, não uma lista decorativa.
Não é uma decisão no seu lugar
Aceitar um risco de terceiro, mudar de prestador ou exigir uma cláusula cabe à direção. A Galyct Pro esclarece a arbitragem; a responsabilidade e o registo pertencem-lhe.
05 · PARA IR MAIS LONGE
O risco de terceiros insere-se numa pilotagem de conjunto
Liga-se naturalmente ao risco, à conformidade e à continuidade.
Pilotar o risco
Cartografia, EBIOS RM e arbitragens: torne todo o risco cibernético legível e priorizável, terceiros incluídos.
Ver o módulo →Documentar a conformidade
NIS 2, DORA, ISO 27001, RGPD: a cadeia de abastecimento é um requisito explícito destes referenciais.
Ver o módulo →Assegurar a continuidade
A falha de um terceiro crítico é um cenário de continuidade: BIA, PCN, PRD e planos de transição.
Ver o módulo →Veja a sua cadeia de abastecimento no seu contexto.
Uma demonstração ao vivo de 30 minutos sobre os seus prestadores críticos e as suas obrigações NIS 2 / DORA. Ou comece sozinho pelo diagnóstico de direção gratuito. Sem compromisso.