Perfis de criticidade (P1 / P2 / P3)
O que o perfil define
O perfil de criticidade (P1/P2/P3) reflete o quanto um incidente nesse fornecedor impactaria a sua organização. Ele determina duas coisas: o tamanho do questionário enviado ao fornecedor (P1=76 controles, P2=170, P3=188) e o peso desse fornecedor nos Risk Scores organizacionais (fator de impacto P1=0,25, P2=0,50, P3=0,75). Definir o perfil incorretamente resulta em subavaliação (P1 para quem deveria ser P3) ou sobrecarga desnecessária do fornecedor (P3 para fornecedor de baixo risco).
Critérios para P1 — Criticidade Baixa
Use P1 quando todos os seguintes critérios forem verdadeiros: o fornecedor não tem acesso a sistemas internos da sua organização, não processa dados pessoais de clientes ou colaboradores, um incidente nesse fornecedor pode ser substituído rapidamente sem impacto operacional significativo, e o contrato é de escopo limitado e valor baixo. Exemplos: fornecedores de materiais de escritório, serviços de facilities, consultores jurídicos sem acesso a sistemas.
Critérios para P2 — Criticidade Média
Use P2 quando o fornecedor satisfaz ao menos um destes critérios: processa dados pessoais de clientes, colaboradores ou parceiros; tem integração de sistema com sua infraestrutura (API, VPN, acesso remoto); presta serviços que sua operação depende por períodos curtos; ou possui contrato de média ou longa duração. Exemplos: provedores de SaaS com dados de clientes, prestadores de serviços de TI, empresas de logística com acesso a dados de pedidos.
Critérios para P3 — Criticidade Alta
Use P3 quando o fornecedor satisfaz ao menos um destes critérios críticos: processa dados sensíveis em escala (dados financeiros, saúde, dados estratégicos); tem acesso privilegiado ou contínuo aos seus sistemas; sua indisponibilidade geraria impacto operacional imediato e significativo; ou o contrato é de alto valor e longa duração com dependência estratégica. Exemplos: provedor de cloud com dados críticos, processador de pagamentos, fornecedor de ERP ou core banking.
Revisando o perfil
O perfil deve ser revisado quando o escopo do contrato muda significativamente — um fornecedor que ganhou acesso a novos sistemas deve ser reclassificado de P1 para P2 ou P3. A alteração no cadastro não modifica avaliações anteriores, mas a próxima avaliação (na renovação do ciclo) usará o novo perfil e questionário correspondente.