TL;DR
- As equipas de segurança analisam com atenção as ferramentas de deduplicação, porque lêem e alteram registos de clientes.
- Uma análise de segurança começa muitas vezes por saber onde os dados dos clientes estão armazenados e quem pode aceder a eles.
- Os avaliadores pedem frequentemente certificados, como a ISO 27001, que comprovem uma auditoria independente a um fornecedor.
- Algumas empresas exigem um NDA ou o seu próprio questionário de fornecedor antes de aprovar uma ferramenta.
- A Dedupely publica as suas certificações e subcontratantes e trabalha com os NDA e questionários dos clientes.
Encontrou uma ferramenta de deduplicação adequada e a equipa está pronta para começar. Depois, alguém pergunta se a segurança já a aprovou. Em muitas empresas, qualquer ferramenta que toque em dados de clientes passa primeiro por uma análise.
Uma ferramenta de deduplicação merece mais atenção do que muitas. Liga-se ao CRM, lê objetos inteiros de registos de clientes e altera-os quando funde. As equipas de segurança querem saber o que isso significa para os dados.
Neste artigo, vai ver o que as equipas de segurança perguntam a qualquer fornecedor, porque o fazem e o que é uma resposta clara. Vai também ver as perguntas específicas da deduplicação e como ajudar a avaliação a avançar mais depressa.
Porque é que uma ferramenta de deduplicação merece uma análise mais atenta
Muitas aplicações ligadas a um CRM leem alguns campos ou registam algumas atividades. Uma ferramenta de deduplicação funciona de forma diferente. Para encontrar duplicados, precisa dos registos dos objetos que escolher, muitas vezes com nomes, emails, números de telefone e moradas.
Para os fundir, também precisa de permissão para atualizar e eliminar registos. Ligar um CRM exige muitas vezes direitos de administrador no CRM.
É esta combinação de dados pessoais e acesso de escrita que as equipas de segurança analisam. O seu trabalho é garantir que o fornecedor protege os dados tão bem como a sua própria empresa protegeria.
As perguntas que as equipas de segurança fazem a qualquer fornecedor
Cada empresa tem o seu processo, e a profundidade da análise varia. Estas perguntas surgem em muitas análises, independentemente da ferramenta.
Onde são armazenados e tratados os dados?
Os revisores perguntam que fornecedores de cloud alojam os dados, em que regiões e se o fornecedor mantém uma cópia. A localização importa para as leis de proteção de dados e para as políticas internas sobre onde os dados dos clientes podem residir.
Também perguntam por quanto tempo os dados são conservados e se pode eliminá-los quando deixar de usar a ferramenta. Uma resposta clara indica os fornecedores e as regiões, e explica a retenção e a eliminação em termos simples.
Quem pode aceder aos dados?
Isto abrange dois lados. Do lado do fornecedor: que colaboradores podem ver dados de clientes, quando, e como esse acesso é controlado.
Do seu lado: que funções a ferramenta oferece e se suporta autenticação de dois fatores, single sign-on e restrições de IP. Os avaliadores também perguntam como a ferramenta se liga ao CRM. Uma ligação baseada em tokens, como o OAuth, evita guardar palavras-passe do CRM.
Como é que o fornecedor utiliza os dados?
As equipas de segurança querem saber que os dados dos clientes são usados apenas para prestar o serviço. Perguntam se são usados para marketing, vendidos ou partilhados, e se são enviados para modelos de IA externos ou usados para os treinar.
Se uma ferramenta usar IA, os revisores querem saber onde é feito o tratamento e que fornecedores veem os dados. Consulte como as ferramentas de IA se comparam na desduplicação de CRM.
Que certificações e auditorias se aplicam?
As certificações mostram que um auditor independente verificou as práticas de segurança do fornecedor. A ISO/IEC 27001 é uma das mais comuns: define requisitos para um sistema de gestão da segurança da informação.
Os avaliadores costumam pedir o próprio certificado, o seu âmbito e o auditor. Alguns pedem também os resultados de testes de penetração.
Que subcontratantes tratam os dados?
Os subprocessadores são as outras empresas de que um fornecedor depende, como os prestadores de alojamento em nuvem. As equipas de segurança pedem a lista, a localização de cada um e os dados a que cada um tem acesso.
Ao abrigo do GDPR, um subcontratante precisa da autorização escrita do responsável pelo tratamento antes de recorrer a outro subcontratante. É uma das razões pelas quais os avaliadores querem a lista por escrito.
O que acontece num incidente?
Os avaliadores perguntam se o fornecedor tem um plano de resposta a incidentes, como os incidentes são classificados e como e quando os clientes afetados são informados. Podem também perguntar como o fornecedor cifra os dados em trânsito e em repouso.
NDA, contratos e questionários de fornecedores
Algumas avaliações exigem documentação antes de começarem as perguntas. Uma empresa pode pedir um acordo de confidencialidade mútuo antes de o fornecedor partilhar documentos detalhados, como políticas ou relatórios de testes.
As empresas sujeitas ao GDPR também precisam de um contrato com cada subcontratante que regule o tratamento de dados pessoais. Muitos fornecedores oferecem um acordo de tratamento de dados para isso.
As empresas maiores costumam enviar o seu próprio questionário a fornecedores. Pode ter dezenas de perguntas e é normalmente preenchido pela equipa de segurança ou de suporte do fornecedor. Pergunte cedo, pois os questionários podem demorar a concluir.
Perguntas específicas sobre ferramentas de deduplicação
Uma análise geral avalia como o fornecedor protege os dados. Uma ferramenta de deduplicação também altera os dados, por isso alguns avaliadores vão mais longe. Estas perguntas convém responder antes de serem colocadas.
A ligação da ferramenta altera alguma coisa no CRM?
Os avaliadores querem saber se a sincronização, por si só, edita, funde ou elimina registos. Uma resposta clara separa a leitura dos dados da sua alteração e indica o que dispara uma alteração.
As fusões podem ser anuladas, e existe um registo delas?
As fusões na maioria dos CRM são permanentes. Os revisores perguntam o que é mantido de cada registo fundido, se existe um histórico de fusões e se este pode ser exportado. Por isso, muitas equipas faça uma cópia de segurança do CRM antes de uma fusão grande.
Quem pode fundir, e o que fica registado?
As equipas de segurança perguntam se o acesso pode ser limitado por função e se um audit log regista fusões, inícios de sessão e alterações às definições. Perguntam também se a ferramenta tem salvaguardas que retêm correspondências arriscadas antes de uma fusão em massa.
Como ajudar uma análise de segurança a avançar mais depressa
As análises demoram mais quando a segurança só ouve falar da ferramenta no fim. Envolva-a assim que a ferramenta parecer adequada e explique porque é que a equipa precisa dela.
Partilhe a página de segurança e o centro de confiança do fornecedor, a lista de objetos que vai ligar e quem da sua equipa vai usar a ferramenta. Se a direção também precisar de aprovar o projeto, o caso de negócio para uma limpeza do CRM pode ir para eles ao lado da revisão.
Se a sua empresa usa um questionário próprio, envie-o cedo ao fornecedor. Pergunte quem é o contacto para questões de segurança, para que as respostas não se percam numa caixa de email genérica.
Resumo: o que perguntam as equipas de segurança e porquê
| Pergunta | Porque perguntam | O que inclui uma resposta clara |
|---|---|---|
| Onde são guardados os dados? | Leis de proteção de dados e políticas internas | Fornecedores, regiões, retenção e eliminação |
| Quem pode aceder? | Limitar a exposição dos dados dos clientes | Acesso do pessoal do fornecedor, funções, 2FA, forma como o CRM se liga |
| Como são utilizados os dados? | Impedir a utilização fora do serviço | Sem utilização para marketing, sem partilha, tratamento por IA explicado |
| Que certificações se aplicam? | Prova independente das práticas de segurança | Certificados, âmbito, auditor, resultados de testes |
| Que subcontratantes são utilizados? | Conheça todas as empresas que tratam os dados | Nomes, localizações e a função de cada um |
| O que acontece num incidente? | Saiba como e quando será informado | Plano de resposta a incidentes e passos de notificação |
| As fusões podem ser anuladas ou rastreadas? | As fusões alteram os registos de clientes | Histórico de fusões, exportação, registo de auditoria, salvaguardas |
Como a Dedupely responde a uma avaliação de segurança
Use o página de segurança e Centro de Confiança para iniciar a revisão. Peça o âmbito e a validade atuais dos certificados, os locais de tratamento, os subcontratantes, os prazos de conservação e a política sobre tratamento com IA. Reveja essas provas para os objetos e campos reais do CRM que pretende ligar, e acorde quaisquer documentos exigidos ao fornecedor antes do acesso.
Uma boa revisão protege os dados e o projeto
As equipas de segurança perguntam a qualquer fornecedor onde os dados estão alojados, quem os pode ver e como são utilizados. Perguntam também quem os audita e quem mais os trata. Uma ferramenta de deduplicação acrescenta mais alguns pontos, porque altera registos de clientes e não se limita a lê-los.
Uma análise corre bem quando essas respostas são publicadas, específicas e fáceis de partilhar. Envolva a segurança desde o início, limite a análise aos objetos necessários e conte com a burocracia. O resultado é uma ferramenta em que a equipa de segurança confia para os dados de que toda a empresa depende.
Referências: Segurança do Dedupely; Centro de Confiança da Dedupely.
Perguntas frequentes
O que perguntam as equipas de segurança antes de aprovar uma ferramenta SaaS?
Costumam perguntar onde os dados são armazenados e tratados, quem pode aceder a eles e como o fornecedor os utiliza. Perguntam também que certificações e auditorias se aplicam, que subcontratantes tratam os dados e o que acontece em caso de incidente. Muitas empresas exigem ainda um acordo de confidencialidade, um acordo de tratamento de dados ou o seu próprio questionário.
É seguro ligar uma ferramenta de desduplicação ao meu CRM?
Pode ser, depois de a sua equipa de segurança ter verificado o fornecedor. Procure certificações publicadas, regiões de alojamento claras, uma ligação ao CRM baseada em tokens, como o OAuth, e uma lista de subcontratantes. Pergunte se a sincronização, por si só, altera registos e se as fusões ficam registadas num histórico que possa exportar.
O que é um questionário de segurança de fornecedores?
Um questionário de segurança de fornecedor é uma lista de perguntas que uma empresa envia a um fornecedor durante uma avaliação de segurança. Abrange temas como armazenamento de dados, controlo de acessos, encriptação, certificações, subcontratantes e resposta a incidentes. As grandes empresas usam frequentemente o seu próprio modelo, e a equipa de segurança ou de suporte do fornecedor preenche-o.
O que é um subcontratante?
Um subcontratante é uma empresa de que um fornecedor depende para tratar dados de clientes, como um fornecedor de alojamento na nuvem. As equipas de segurança pedem a lista, onde cada um está sediado e que dados cada um vê. Ao abrigo do GDPR, a inclusão de um novo exige autorização escrita do cliente, dada de forma específica ou geral.
Porque é que a ISO 27001 importa numa avaliação de segurança?
A ISO/IEC 27001 define requisitos para um sistema de gestão de segurança da informação, e a certificação significa que um auditor independente verificou o fornecedor face a esses requisitos. Os avaliadores costumam pedir o certificado, o seu âmbito e o auditor. Não responde a todas as perguntas, por isso as avaliações continuam a abranger alojamento, acesso e subcontratantes.
Ou registe-se com o Google
Salesforce AppExchange 
