NR.SI.003 — Acesso de Terceiros
← Segurança da Informação e Proteção de Dados
Escopo
Regula a criação, uso e encerramento de credenciais de acesso para terceiros (fornecedores, parceiros, prestadores de serviço) que necessitem acessar sistemas internos da Casa do Software.
Princípios Gerais (da PSI — Art. 48–51)
- Due diligence obrigatória antes de qualquer contratação — verificar nível de SI do terceiro
- NDA (Non Disclosure Agreement) requerido para informações relevantes antes de iniciar negociação
- Terceiros devem ter ciência da PSI antes da contratação
- Fornecedores como operadores de dados pessoais (LGPD) passam por análise prévia documentada
- Não será admitido fornecedor que recuse demonstrar conformidade com LGPD
Pontos a Detalhar
Convêm detalhar o seguintes pontos e temas durante os ciclos de Revisão:
- Período mínimo e máximo de ativação de usuário para terceiros
- Requisitos de complexidade de senha para contas de terceiros
- Processo de solicitação e aprovação de acesso
- Escopo de acesso (sistemas específicos, não acesso geral)
- Processo de encerramento e auditoria pós-contrato