Por que ele aparece
Empresas maiores avaliam o risco de cada fornecedor que vai acessar ou guardar dados delas. O questionário de segurança é como fazem isso: dezenas ou centenas de perguntas, às vezes num modelo próprio, às vezes em padrões de mercado como o SIG ou o CAIQ. Para um SaaS pequeno, ele costuma ser o ponto em que a venda trava.
O que costuma ser perguntado
- Controle de acesso: MFA, quem acessa produção, como acessos são revogados.
- Proteção de dados: criptografia em trânsito e em repouso, onde os dados ficam, backups.
- Desenvolvimento seguro: revisão de código, gestão de dependências, ambientes separados.
- Testes de segurança: data e escopo do último pentest e se as falhas foram corrigidas.
- Resposta a incidentes: existe plano, quem decide, em quanto tempo o cliente é avisado.
- LGPD e privacidade: encarregado de dados, contratos com subprocessadores, retenção.
- Continuidade: o que acontece se o serviço cair, metas de recuperação.
Como responder bem
- 01Seja honesto: "ainda não temos, previsto para o trimestre X" é melhor do que um "sim" que não se sustenta numa auditoria.
- 02Responda com evidência sempre que puder: política, print de configuração, relatório.
- 03Monte uma base de respostas reaproveitável: os questionários se repetem muito.
- 04Tenha um resumo executivo de segurança de uma ou duas páginas para mandar antes do questionário.
- 05Indique um responsável técnico para tirar dúvidas, em vez de deixar o comercial adivinhar.
A pergunta "quando foi o seu último pentest?" é quase universal. Um relatório recente, com reteste mostrando as correções, responde de uma vez várias seções do questionário.
Onde o pentest entra
O pentest gera a evidência que o cliente quer ver: o que foi testado, o que foi encontrado e o que foi corrigido. A Sovereign Tech entrega relatório executivo e técnico com reteste. O resumo executivo pode ser compartilhado com clientes sem expor os detalhes técnicos das falhas.