O que é Due Diligence do Fornecedor em SaaS? 

No SaaS, a diligência devida do fornecedor é o processo de examinar cuidadosamente potenciais fornecedores de SaaS antes de colaborar com eles. Isso inclui analisar várias áreas, como:

• situação jurídica da empresa
• estabilidade financeira
• desempenho do produto
• tratamento de informações sensíveis do cliente

Estas verificações visam proteger as empresas contra eventos prejudiciais, como roubo de dados, interrupções de serviço e problemas de conformidade. 

Aqui estão as etapas do processo de diligência devida do fornecedor: 

1. Considere a situação financeira do fornecedor, se é sólida o suficiente para prestar serviços por um período prolongado. 
2. Concentre-se na sua eficiência operacional e eficácia técnica, incluindo controlo de tempo, políticas de segurança e planos de recuperação de desastres. 
3. Analise as questões legais e a conformidade com os regulamentos para evitar quaisquer potenciais problemas legais.

No caso de software tradicional, on-premise, a empresa possui a infraestrutura.

No caso de SaaS, o cliente cede o controle da segurança de dados, aplicativos e infraestrutura ao fornecedor. No entanto, o monitoramento de desvio de variação (VDD) é útil para garantir a responsabilidade do fornecedor em relação à gestão dos ativos.

O processo de due diligence tipicamente se concentra em quatro áreas críticas:

• Segurança & Técnica: Avaliando a proteção de dados do fornecedor, criptografia, segurança de rede, controles de acesso e o plano de resposta a incidentes.
• Conformidade & Jurídico: Avaliar a adesão a regulamentações como GDPR, HIPAA, SOC 2, certificações ISO, e garantir que os contratos incluam cláusulas apropriadas de responsabilidade e propriedade de dados.
• Financeiro & Operacional: Avaliar a estabilidade financeira do fornecedor (para evitar interrupção ou término do serviço), tempo de atividade da infraestrutura, planos de recuperação de desastres e acordos de nível de serviço (SLAs).
• Gerenciamento de dados: Analisar onde e como os dados são armazenados, processados e potencialmente transferidos entre fronteiras, e a política de eliminação de dados após a rescisão do contrato.

Um processo robusto de VDD depende muito de evidências verificáveis. A documentação principal procurada inclui:

É aconselhável avaliar cuidadosamente os fornecedores que:

• decidam não partilhar documentação de segurança (por exemplo, relatório SOC 2, resultados de testes de penetração) podem ser relevantes.
• tenham um insuficiente ou ausente Recuperação de Desastres (DR) plano que possa estar associado a métricas de RTO/RPO menos desejáveis.
• tenham termos ambíguos ou excessivamente restritivos relativamente à propriedade ou portabilidade dos dados (recuperar os seus dados).
• utilizem métodos de criptografia para dados, tanto quando armazenados quanto durante a transferência, que podem ser vulneráveis a comprometimento.
• pode experimentar instabilidade financeira ou demonstrar um histórico de dificuldades em aderir a SLAs.

VDD é um esforço multifuncional que requer contribuições de vários departamentos:

• Segurança da Informação/TI: Monitora controles técnicos, arquitetura e segurança de rede. 
• Jurídico/Conformidade: Revisa contratos, DPAs e aderência às regulamentações.
• Finanças/Aquisições: Avalia custos, estabilidade financeira e termos de contrato.
• Unidade de Negócio/Usuário: Verifica o ajuste operacional e as capacidades funcionais da solução.