Avalie o risco dos seus fornecedores pela postura externa observável.

A avaliação observa a superfície de exposição pública do fornecedor — serviços expostos, configurações, certificados, credenciais vazadas associadas e sinais de comprometimento — sem qualquer acesso interno ao ambiente dele. É a mesma perspectiva que um atacante teria a partir da internet.

O monitoramento é contínuo. A superfície de cada fornecedor é reavaliada de forma permanente e mudanças relevantes na exposição geram alertas, sem depender do reenvio de questionários ou de janelas periódicas de auditoria.

A priorização considera a criticidade do fornecedor para a operação, o tipo de dado ou de acesso que ele detém e a exposição observada em sua superfície externa. Fornecedores com maior potencial de impacto recebem acompanhamento mais próximo.

A análise externa pode ser executada já na fase de seleção, oferecendo uma leitura objetiva da postura de segurança antes da contratação, e permanece ativa durante toda a relação para acompanhar a evolução do risco.

Sim. O inventário contínuo e as evidências por fornecedor sustentam requisitos de gestão de risco de terceiros presentes em marcos do setor financeiro e na LGPD, oferecendo trilha auditável da exposição e do seu tratamento ao longo do tempo.

Cada risco é associado ao fornecedor, ao ativo e ao dado envolvido, com evidência técnica. A quantificação de risco (CRQ) permite expressar a exposição de terceiros em valor financeiro, o que facilita a priorização conjunta entre segurança, jurídico e as áreas contratantes.

A CSURFACE complementa os questionários. Eles continuam úteis para estabelecer uma linha de base e capturar aspectos que não são observáveis externamente. A plataforma acrescenta a verificação técnica contínua da exposição externa e permite confrontar o que foi declarado com a postura efetivamente observada.

Não. A avaliação é feita a partir da superfície de ataque externa do fornecedor, observável pela internet. Não há necessidade de acesso à infraestrutura do terceiro nem de instalação de qualquer componente.

O escopo é definido pela organização conforme os fornecedores que considera relevantes. A avaliação contínua acompanha todos os terceiros incluídos no escopo, sem que isso dependa da colaboração de cada um.

Sim. Além dos fornecedores diretos, a plataforma identifica a cadeia digital de terceiros embutida nos ativos avaliados, ampliando a visibilidade sobre dependências que normalmente não constam de um inventário formal de fornecedores.