O contrato está quase fechado e chega a planilha: mais de cem perguntas sobre criptografia, backup, controle de acesso e, quase sempre, a data do último pentest. Para um SaaS B2B, o questionário de segurança virou etapa de venda. Quem responde rápido e com evidência encurta a negociação; quem improvisa trava o contrato no jurídico ou no time de segurança do cliente.

Este guia mostra por que o cliente manda o questionário, o que ele costuma perguntar, como responder e o que nunca enviar.

Por que o cliente manda o questionário

Porque o seu software passa a fazer parte do risco dele. Se o fornecedor é invadido, os dados e muitas vezes o acesso aos sistemas do cliente vão junto; é o cenário de ataque à cadeia de fornecedores. Há também dois motivos legais:

• LGPD. Na maior parte dos contratos de SaaS, o cliente é o controlador dos dados e o fornecedor é o operador. O art. 39 manda o operador tratar os dados conforme as instruções do controlador, que deve verificar se elas são seguidas, e o art. 46 exige de ambos medidas de segurança aptas a proteger os dados. O questionário é a forma de o cliente registrar que verificou.
• Regulação setorial. Clientes regulados têm a verificação imposta por norma. No sistema financeiro, a Resolução CMN 4.893/2021 e a Resolução BCB 85/2021 obrigam a instituição a avaliar o fornecedor antes de contratar serviço relevante de processamento, armazenamento de dados ou computação em nuvem, e o software executado pela internet pelo próprio fornecedor entra nessa definição.

Os formatos mais comuns

• Planilha própria do cliente. É o formato mais frequente no Brasil: perguntas tiradas da política interna, da ISO 27001 e da LGPD.
• CAIQ. Questionário da Cloud Security Alliance, com perguntas de sim ou não ligadas à matriz de controles de nuvem da entidade. Pode ser publicado no registro público STAR como autoavaliação.
• SIG. Questionário padronizado da Shared Assessments, com uma versão resumida e outra completa, comum em clientes de fora do país.
• Certificado ou relatório no lugar das respostas. Certificação ISO 27001 e relatório SOC 2 encurtam o questionário, mas raramente o eliminam: o cliente ainda quer saber do que o escopo certificado não cobre.

O que quase todo questionário pergunta

Como responder: seis regras

• Responda a verdade, inclusive o "não". O questionário costuma virar anexo ou declaração do contrato. Um "sim" que não se sustenta é passivo jurídico; um "não, com implantação prevista para tal data" é uma resposta aceitável.
• Mantenha uma base única de respostas. As perguntas se repetem de cliente para cliente. Guarde respostas e evidências num só lugar e revise a cada trimestre.
• Troque adjetivo por evidência. "Levamos segurança a sério" não responde nada. "MFA obrigatório para todos os colaboradores desde março" responde.
• Use "não se aplica" com justificativa. Se não há data center próprio, diga quem hospeda e aponte a certificação do provedor de nuvem.
• Publique o básico. Uma página de segurança com política resumida, certificações, suboperadores e contato reduz o vai e vem antes mesmo de o questionário chegar.
• Divida o trabalho. Engenharia responde o técnico, o jurídico revisa o que vira compromisso, como prazo de aviso de incidente e direito de auditoria.

O que não enviar

• Relatório técnico completo de pentest. Ele descreve como explorar o sistema. Envie a carta de atestado e o sumário executivo; se o cliente exigir o detalhe, mostre em reunião, com acordo de confidencialidade.
• Diagramas com endereços, configurações ou segredos. A arquitetura pode ser explicada sem o mapa para chegar a ela.
• Lista de vulnerabilidades em aberto. Informe a existência de um processo de correção e os prazos por severidade, não os itens.
• Evidência com dados de outros clientes ou de pessoas. Captura de tela com nome, e-mail ou registro real cria um incidente dentro da resposta.

A pergunta do pentest

É a que mais derruba prazo, porque não dá para resolver na véspera. O que o cliente espera encontrar:

• teste recente, em geral dos últimos 12 meses;
• feito por terceiro independente, e não só por ferramenta automática;
• com escopo que cobre o que ele vai usar: a aplicação, a API e o isolamento entre clientes;
• com correções confirmadas por reteste.

Tenha prontos três documentos: a carta de atestado, com quem testou, quando, o escopo e a metodologia; o sumário executivo; e a situação das correções. Um certificado de pentest que o cliente consegue validar poupa uma rodada de perguntas. Se a empresa nunca testou, diga isso e informe a data contratada; entre agendar, executar, corrigir e retestar passam semanas. O pentest para SaaS é desenhado para esse uso.

Quando o cliente é banco ou fintech

O questionário segue a lista do regulador. O art. 12 da Resolução CMN 4.893/2021, repetido na Resolução BCB 85/2021 para instituições de pagamento, manda verificar se o fornecedor consegue assegurar:

• o cumprimento da legislação e da regulamentação;
• o acesso da instituição aos dados processados ou armazenados;
• a confidencialidade, a integridade, a disponibilidade e a recuperação dos dados;
• a aderência às certificações que a instituição exigir;
• o acesso aos relatórios de auditoria especializada independente contratada pelo fornecedor;
• informações e recursos para monitorar o serviço;
• a identificação e a segregação dos dados dos clientes da instituição, por controles físicos ou lógicos;
• a qualidade dos controles de acesso que protegem esses dados.

O contrato, por sua vez, precisa prever onde os dados ficam, a devolução e a exclusão no encerramento, o aviso sobre subcontratação e o acesso do Banco Central às informações. Chegar à negociação com esses pontos respondidos é o que diferencia o fornecedor que o banco aprova do que fica meses em análise. Para quem vende ao setor, vale ler também o que mudou com a Resolução BCB 538/2025.

Antes de o próximo questionário chegar

• Política de segurança aprovada e responsável definido.
• MFA em tudo o que é administrativo e em todo acesso a dados de cliente.
• Lista de suboperadores e regiões de hospedagem atualizada.
• Teste de restauração de backup feito e registrado.
• Plano de resposta a incidentes com prazo de aviso ao cliente.
• Pentest dos últimos 12 meses, com carta de atestado e reteste.
• Base de respostas e pasta de evidências revisadas.

Se o próximo passo for uma certificação, veja como o teste entra em SOC 2 e em ISO 27001.

Perguntas Frequentes

O que é um questionário de segurança?

É a lista de perguntas que uma empresa envia ao fornecedor para avaliar como ele protege dados e sistemas antes de fechar ou renovar um contrato. As respostas costumam virar parte do contrato.

Posso enviar o relatório de pentest completo ao cliente?

Não é recomendado, porque o relatório técnico descreve como explorar o sistema. O usual é enviar uma carta de atestado e um sumário executivo e, se necessário, apresentar o detalhe em reunião, sob acordo de confidencialidade.

ISO 27001 ou SOC 2 dispensam o questionário?

Encurtam, mas raramente dispensam. O cliente ainda pergunta sobre o que está fora do escopo certificado, sobre suboperadores e sobre a data do último pentest.

O que fazer quando a resposta honesta é "não temos"?

Responder "não" e informar o plano, com data. Uma lacuna declarada, com prazo, costuma ser aceita; uma resposta falsa vira descumprimento de contrato quando for descoberta.

De quanto em quanto tempo o cliente espera um pentest?

A prática mais comum em questionários e contratos é pedir um teste dos últimos 12 meses, além de novo teste quando o produto muda de forma relevante, como uma nova API pública ou um novo modelo de permissões.