Respondendo a um questionário de segurança de fornecedores WiFi: um checklist com as evidências a anexar

Use isto para dimensionar um questionário de segurança de WiFi de fornecedores. Com 60 perguntas e 70% de evidências reutilizáveis, ele retorna 14,5 horas de trabalho. Dessas perguntas, 18 precisam de evidências recentes. O checklist mapeia cada pergunta ao artefato a ser anexado, desde configurações de autenticação e logs de acesso até certificados ISO 27001 e registros de segmentação PCI DSS.

O que esta ferramenta de questionário de segurança de WiFi retorna?

Um questionário de segurança de WiFi de fornecedores chega à equipe de rede com um prazo e pouco contexto. Ele pode vir de um cliente corporativo, de um parceiro de pagamentos, de uma seguradora, de um franqueador ou de sua própria equipe de compras. As perguntas se repetem de uma revisão para a outra. As evidências, no entanto, ficam em vários consoles e em várias caixas de entrada.

Esta ferramenta transforma isso em um plano. Ela possui duas partes, e cada uma retorna algo em que você pode agir:

• A calculadora de esforço retorna três coisas: as horas para concluir a seção de WiFi, o número de perguntas que precisam de evidências recentes e as horas que seu pacote de evidências permanente economiza.
• O checklist de evidências retorna os artefatos a serem mantidos em arquivo, agrupados por rede. A maioria das respostas torna-se uma consulta simples em vez de um projeto.

Cada pergunta se mapeia para uma de três redes, ou para a governança:

• A rede aberta trafega convidados e integração de traga seu próprio dispositivo (BYOD). Eles se conectam por meio de um portal cativo, a página da web que controla o acesso antes que um dispositivo se conecte.
• A rede segura trafega funcionários no IEEE 802.1X, o padrão que faz com que cada dispositivo se autentique antes de receber um endereço.
• A rede xPSK fornece a cada dispositivo ou residente sua própria chave pré-compartilhada. Uma chave vazada nunca expõe todos os outros.

Em todas as três redes, a identidade define a VLAN, o segmento lógico de rede no qual um dispositivo entra.

{"kind":"flow","direction":"lr","caption":"Como um questionário de segurança de WiFi passa do recebimento até um pacote de evidências mais completo","alt":"Um fluxo desde o recebimento do questionário, passando pela etiquetagem, correspondência de evidências, nova captura e aprovação, retornando para atualizar o pacote permanente.","nodes":[{"id":"a","label":"Questionário recebido","sub":"De um cliente, seguradora, parceiro ou auditor","tone":"neutral"},{"id":"b","label":"Etiquetar cada pergunta","sub":"Open, segura, xPSK ou governança","tone":"brand"},{"id":"c","label":"Mapear para o pacote permanente","sub":"Exportações datadas, capturas de tela, certificados","tone":"brand"},{"id":"d","label":"Capturar novas evidências","sub":"Locais amostrados, teste de desligamento, prova de segmentação","tone":"neutral"},{"id":"e","label":"Responsável revisa e assina","sub":"Cada resposta cita a evidência anexada","tone":"neutral"},{"id":"f","label":"Retornar e atualizar o pacote","sub":"Novos artefatos entram no pacote para a próxima vez","tone":"success"}],"edges":[{"from":"a","to":"b"},{"from":"b","to":"c"},{"from":"c","to":"d","label":"lacunas"},{"from":"c","to":"e","label":"coberto"},{"from":"d","to":"e"},{"from":"e","to":"f"},{"from":"f","to":"c","label":"próxima revisão","style":"dashed"}]}

Esse ciclo é o objetivo. Cada questionário respondido deve deixar o pacote mais completo, reduzindo o esforço para o próximo.

As evidências vêm de consoles que você já utiliza:

• Cisco Meraki Dashboard
• HPE Aruba Central
• Ruckus SmartZone
• Juniper Mist
• O aplicativo Ubiquiti UniFi Network

Ao lado deles, o Purple Access oferece visibilidade e relatórios em redes abertas, seguras e xPSK.

Como utilizar a calculadora e o checklist de evidências?

Comece pela calculadora. Conte as perguntas na seção de WiFi. Em seguida, estime a proporção de respostas que podem ser comprovadas por evidências que você já possui, datadas do último trimestre. Seja honesto nessa segunda entrada. Uma captura de tela sem data do ano passado não é uma evidência reutilizável.

{"title":"Calculadora de esforço para questionário de segurança WiFi","intro":"Insira o tamanho da seção de WiFi e o quanto seu pacote de evidências atual cobre. Ela retorna as horas necessárias para responder, as perguntas que precisam de evidências recentes e as horas economizadas pelo pacote.","inputs":[{"id":"questions","label":"Perguntas de WiFi no questionário","unit":"perguntas","default":60,"min":5,"max":400,"step":1},{"id":"reuse","label":"Parcela respondível a partir do seu pacote de evidências atual","unit":"%","default":70,"min":0,"max":100,"step":5},{"id":"reusetime","label":"Minutos por pergunta respondida a partir do pacote","unit":"min","default":6,"min":1,"max":60,"step":1},{"id":"freshtime","label":"Minutos por pergunta que exige evidência recente","unit":"min","default":30,"min":5,"max":240,"step":5},{"id":"sites","label":"Locais amostrados pelo revisor","unit":"locais","default":4,"min":0,"max":50,"step":1},{"id":"sitetime","label":"Minutos de coleta de evidências por local amostrado","unit":"min","default":20,"min":5,"max":120,"step":5}],"outputs":[{"id":"hours","label":"Horas para concluir a seção de WiFi","expr":"(questions*reuse/100*reusetime+questions*(100-reuse)/100*freshtime+sites*sitetime)/60","format":"decimal1","unit":"horas"},{"id":"fresh","label":"Perguntas que exigem evidências recentes","expr":"ceil(questions*(100-reuse)/100)","format":"int","unit":"perguntas"},{"id":"saved","label":"Horas economizadas pelo pacote de evidências","expr":"questions*reuse/100*(freshtime-reusetime)/60","format":"decimal1","unit":"horas"}],"example":"Com 60 perguntas, 70% reutilizáveis, seis e 30 minutos por resposta e quatro locais amostrados a 20 minutos cada, o resultado é 14,5 horas, 18 perguntas precisando de evidências recentes e 16,8 horas economizadas.","assumptions":["Os valores de tempo são estimativas de planejamento ilustrativas, não benchmarks da Purple: substitua-os pelos seus próprios.","Reutilizável significa atualizado no último trimestre e sob a responsabilidade de uma pessoa identificada.","O tempo de local cobre capturas de tela do console e uma exportação de log de amostra.","Rodadas de acompanhamento do revisor não estão incluídas."]}

Em seguida, trabalhe no checklist. Ele é o seu pacote de evidências permanente, agrupado por rede. Faça o download como CSV e atribua um responsável para cada linha. Em seguida, registre a data em que cada artefato foi capturado pela última vez.

{"title":"Pacote de evidências para auditoria de WiFi","groups":[{"heading":"Governança e evidências do fornecedor","items":[{"text":"Certificado ISO 27001 e declaração de escopo da Purple"},{"text":"Certificado Cyber Essentials da Purple"},{"text":"Acordo de processamento de dados cobrindo dados do Captive Portal sob o GDPR"},{"text":"Diagrama de rede de SSIDs, VLANs e saída para a internet, datado deste trimestre"}]},{"heading":"Rede segura: funcionários","items":[{"text":"Captura de tela do console do SSID corporativo configurado como WPA2- ou WPA3-Enterprise com 802.1X"},{"text":"Exportação da política RADIUS mostrando EAP-TLS e a VLAN retornada por grupo"},{"text":"Conexão com provedor de identidade: Microsoft Entra ID, Okta ou Google Workspace"},{"text":"Teste de desligamento datado: conta desativada, acesso revogado, ambos os registros de data e hora capturados"},{"text":"Data de expiração do certificado do servidor RADIUS e responsável pela renovação"},{"text":"Perfil de MDM que distribui os certificados nos dispositivos"}]},{"heading":"Rede xPSK: dispositivos e moradores","items":[{"text":"Exportação do inventário de chaves: uma chave por dispositivo ou morador, com sua respectiva VLAN"},{"text":"Registro de revogação para uma chave removida"},{"text":"Regra de rotação para chaves em dispositivos headless, como scanners e sinalização digital"}]},{"heading":"Rede aberta: convidados e BYOD","items":[{"text":"Regras de VLAN e firewall mostrando que convidados não conseguem acessar as redes corporativas ou de pagamento"},{"text":"Configuração de isolamento de clientes a partir do console do ponto de acesso"},{"text":"Texto de consentimento do Captive Portal e um registro de consentimento de amostra"},{"text":"Resultado mais recente do teste de segmentação PCI-DSS, caso os estabelecimentos aceitem cartões"}]},{"heading":"Registros e monitoramento","items":[{"text":"Exportação do log de autenticação de amostra do Purple Access, com registros de data e hora"},{"text":"Período estipulado de retenção de logs e o SIEM que recebe esses logs"},{"text":"Relatório de pontos de acesso não autorizados (rogue) do seu controlador"},{"text":"Contato nomeado para incidentes e rota de escalonamento"}]}],"download":{"filename":"wifi-questionnaire-evidence-pack.csv"}}

O checklist usa alguns termos que valem a pena definir:

• RADIUS (RFC 2865) é o protocolo que transporta as solicitações de autenticação do ponto de acesso para o servidor.
• EAP-TLS (RFC 5216) autentica cada dispositivo com um certificado em vez de uma senha.
• MDM é o gerenciamento de dispositivos móveis, o sistema que envia esses certificados para os dispositivos.
• SIEM é a sua plataforma de gerenciamento de eventos e informações de segurança.

Exclua os grupos das redes que você não opera. Sem uma rede xPSK, essas três linhas são removidas. Quaisquer perguntas sobre xPSK tornam-se "não aplicáveis" com uma justificativa de uma linha.

{"tone":"warning","title":"Omita informações sensíveis antes de anexar","text":"Remova segredos compartilhados de RADIUS, chaves pré-compartilhadas e chaves privadas de certificados de todas as exportações e capturas de tela. A resposta de um questionário geralmente circula muito além do auditor que a solicitou."}

Exemplo prático: uma avaliação de 60 perguntas para um varejista com 140 lojas

A propriedade abaixo é ilustrativa e não representa um cliente nomeado da Purple. Trata-se de um grupo de varejo com 140 lojas no Cisco Meraki e uma matriz no HPE Aruba. Um parceiro de pagamentos envia uma avaliação de segurança de fornecedores com uma seção do WiFi contendo 60 perguntas.

O grupo opera todas as três redes:

• Aberta: os clientes conectam-se por meio de um portal cativo, em seus próprios VLAN.
• Segura: os funcionários conectam-se com o EAP-TLS via Microsoft Entra ID.
• xPSK: scanners portáteis e sinalização digital possuem, cada um, sua própria chave.

Entrada	Valor	Base
Perguntas do WiFi	60	Contadas a partir do questionário
Parcela que pode ser respondida a partir do pacote	70%	42 perguntas correspondentes a artefatos datados
Minutos por resposta reutilizada	6	Colar, verificar a data, nomear o responsável
Minutos por resposta nova	30	Capturar, ocultar dados sensíveis, escrever, revisar
Locais amostrados	4	Três lojas e a matriz
Minutos por local amostrado	20	Capturas de tela do console mais exportação de log

Com essas entradas, a calculadora retorna 14,5 horas:

• As 42 respostas reutilizadas levam 4,2 horas.
• As 18 respostas novas levam nove horas.
• Os quatro locais amostrados adicionam cerca de 1,3 hora.

Sem o pacote, a mesma seção levaria 31,3 horas. O pacote economiza 16,8 horas nesta única revisão.

Quais 18 perguntas precisavam de novas evidências? Neste exemplo, a maioria era específica do local ou tinha um novo texto. O revisor solicitou três itens que o pacote não continha:

• Um teste de desligamento de funcionário datado.
• Comprovante de segmentação entre convidados e pagamentos para as lojas amostradas.
• Um período por escrito de retenção de logs.

A tabela abaixo mapeia as perguntas típicas com as evidências anexadas. Faça o download e adicione o texto utilizado pelos seus próprios revisores.

{"caption":"Perguntas frequentes em questionários de WiFi e as evidências a serem anexadas","asOf":"2026-06-10","columns":[{"key":"q","label":"Pergunta como formulada pelos avaliadores"},{"key":"net","label":"Rede"},{"key":"ev","label":"Evidência a anexar"}],"rows":[["O acesso sem fio é autenticado por indivíduo?","Segura","Captura de tela do SSID mostrando 802.1X; exportação de política RADIUS mostrando EAP-TLS"],["Senhas de WiFi compartilhadas estão em uso?","xPSK, segura","Inventário de chaves mostrando uma chave por dispositivo; equipe no 802.1X"],["Como os ex-funcionários são removidos do WiFi?","Segura","Teste datado de desligamento e registro do provedor de identidade"],["O tráfego de convidados é separado dos sistemas internos?","Aberta","Mapa de VLAN, regras de firewall e configuração de isolamento de clientes"],["O WiFi pode alcançar o ambiente de dados de portadores de cartão?","Todas as três","Resultado do teste de segmentação PCI-DSS mais recente"],["Qual criptografia protege o WiFi corporativo?","Segura","Configuração de segurança do SSID: WPA2- ou WPA3-Enterprise"],["Por quanto tempo os logs de acesso ao WiFi são retidos?","Todas as três","Período de retenção por escrito mais amostra de exportação de log"],["Você detecta pontos de acesso não autorizados (rogue APs)?","Todas as três","Relatório de pontos de acesso não autorizados do controlador"],["Como os dados pessoais do WiFi de convidados são tratados?","Aberta","Texto de consentimento do Captive Portal e contrato de processamento"],["Quais certificações seu provedor de WiFi possui?","Governança","Certificados Purple ISO 27001 e Cyber Essentials"]],"footnote":"Cada resposta descreve um controle e anexa evidências para ele. O julgamento sobre se um padrão foi atendido pertence ao avaliador.","download":{"filename":"wifi-questionnaire-question-map.csv"}}

Observe a redação na coluna de evidências. Cada resposta descreve um controle e anexa evidências para ele. Nenhuma afirma categoricamente que o ambiente atende a um padrão. Isso mantém suas respostas defensáveis se o avaliador fizer perguntas de acompanhamento.

Como o valor de 14,5 horas é calculado?

A calculadora soma três blocos de trabalho e depois divide por 60 para converter minutos em horas:

1. Respostas reutilizadas: perguntas × proporção de reutilização × minutos por resposta reutilizada. Com os padrões, 42 × 6 = 252 minutos.
2. Novas respostas: perguntas × (100% - proporção de reutilização) × minutos por nova resposta. Com os padrões, 18 × 30 = 540 minutos.
3. Locais amostrados: locais × minutos por local. Com os padrões, 4 × 20 = 80 minutos.

O total é de 872 minutos, ou 14,5 horas. A contagem de novas perguntas é arredondada para cima, porque uma pergunta parcialmente coberta ainda precisa de sua própria evidência.

O resultado de horas economizadas precifica as respostas reutilizadas como se fossem novas: 42 × (30 - 6) ÷ 60 = 16,8 horas. Adicione 16,8 a 14,5 e você terá o custo de 31,3 horas para responder do zero.

A proporção de reutilização é a grande alavanca:

• Com 60 perguntas, cada 10 pontos percentuais de reutilização economizam 2,4 horas.
• Aumentar a reutilização de 70% para 90% reduz o tempo da seção de 14,5 horas para 9,7.
• Os locais amostrados quase não alteram o total, a menos que o avaliador exija evidências de muitos locais.

Todos os valores de tempo são estimativas de planejamento para este exemplo, não benchmarks da Purple. Substitua-os assim que você tiver cronometrado um questionário real. Compartilhe as suposições se um revisor perguntar como você definiu a data de resposta.

{"tone":"tip","title":"Cronometre o próximo","text":"Anote os minutos que você gasta em cada resposta no seu próximo questionário. Insira esses números na calculadora para que suas estimativas deixem de ser palpites."}

Como adapto o checklist ao meu ambiente?

Defina as entradas a partir do documento à sua frente

Conte as perguntas de WiFi no questionário real em vez de adivinhar pelo título. Formulários padronizados e revisões de clientes sob medida variam muito em extensão. Defina a parcela de reutilização somente após corresponder cada pergunta a uma linha datada no checklist.

Ambientes multivendor

Planeje um site amostrado por console, pois os revisores geralmente querem uma captura de tela de cada plataforma. Um ambiente no Cisco Meraki e HPE Aruba precisa de pelo menos dois. Adicione sites com Juniper Mist ou Ubiquiti UniFi e a entrada aumenta junto com eles.

As configurações a serem capturadas são as mesmas em todos os consoles:

• O modo de segurança do SSID.
• O servidor RADIUS para o qual o SSID aponta.
• Atribuição dinâmica de VLAN, que usa os atributos de túnel RADIUS no RFC 3580.

Franquias e ambientes gerenciados

Onde os franqueados possuem os pontos de acesso, as evidências centrais cobrem apenas a política. Diminua a parcela de reutilização para perguntas do site e aumente os minutos por site amostrado. Capturas de tela de franqueados levam mais tempo para serem coletadas.

Setores alteram as redes no escopo

As redes que importam dependem de quem se conecta:

• Hospitalidade: convidados ficam na rede aberta e a equipe na rede segura. A Whitbread executa WiFi de equipe segmentado no Purple.
• Ambientes multilocatários como Build to Rent (BTR) e acomodações estudantis: os residentes geralmente ficam no xPSK. Espere perguntas sobre isolamento entre residentes.
• Varejo: os revisores se concentram na segmentação PCI-DSS entre a rede de compradores e os sistemas de pagamento.
• Saúde: pacientes e visitantes ficam na rede aberta. Dispositivos clínicos geralmente ficam no xPSK.

Mantenha uma coluna de redação por revisor

Adicione uma coluna ao CSV baixado para a formulação de cada revisor. Revisores diferentes fazem a mesma pergunta com palavras diferentes. Mapear a formulação deles para um único artefato é o que aumenta sua parcela de reutilização da próxima vez.

O que devo fazer com o resultado antes da próxima revisão?

Leia a saída de horas em relação a três faixas:

• Menos de 10 horas: o pacote está saudável. Atualize as linhas datadas a cada trimestre.
• Entre 10 e 20 horas: observe onde as novas perguntas se concentram, por rede.
• Mais de 20 horas: o pacote é escasso, ou uma rede tem uma lacuna estrutural que nenhuma captura de tela pode cobrir.

Se as novas perguntas se concentrarem na rede da equipe, verifique se ela é executada em uma senha compartilhada. Uma chave compartilhada não pode comprovar o acesso individual ou a remoção limpa de um ex-colaborador.

A solução não precisa de novos hardwares:

1. Mova os funcionários para o WiFi para funcionários na rede segura.
2. Configure o SSID como WPA2- ou WPA3-Enterprise.
3. Aponte-o para o RADIUS em nuvem da Purple.
4. Deixe que o provedor de identidade decida a VLAN.

Nosso guia sobre 802.1X para redes de restaurantes com várias unidades orienta essa implantação em centenas de locais. A configuração do MDM para certificados de dispositivos leva de cinco a dez minutos, uma única vez, para toda a organização.

{"tone":"proof","text":"O McDonald's viu 80% a menos de solicitações no helpdesk de TI com a Purple. O JPMorgan executa o WiFi para funcionários na Purple em 5.000 agências, e a Whitbread executa o WiFi para funcionários segmentado na Purple."}

Mais duas verificações pertencem à lista:

• Datas de expiração de certificados. Um certificado de servidor RADIUS expirado bloqueia os funcionários e transforma uma revisão aprovada em um incidente. Nosso guia sobre certificado de servidor RADIUS expirado cobre a recuperação. Adicione a data de renovação ao pacote.
• O panorama geral. Para a sua postura de segurança além do questionário, leia o guia de segurança de WiFi corporativo.

Perguntas frequentes

Isso funciona com os access points que já possuímos?

Sim. O Purple Access é executado como uma sobreposição em nuvem no Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks e Fortinet. Você aponta as configurações de RADIUS do SSID e o Captive Portal para a Purple no console que já utiliza. Não é necessário nenhum hardware novo. As capturas de tela no seu pacote de evidências vêm dos mesmos consoles que sua equipe abre todos os dias. A Purple opera em mais de 80.000 locais em 90 países.

Como devemos redigir as respostas sobre PCI-DSS e GDPR?

Descreva o controle e adicione a evidência dele. Escreva "o tráfego de convidados fica em uma VLAN separada, sem rota para a rede de pagamento; teste de segmentação em anexo". Evite uma declaração genérica de que você atende ao padrão. O avaliador decide se um requisito do GDPR ou PCI-DSS foi atendido. Seu trabalho é tornar esse julgamento rápido, com evidências datadas e um responsável nomeado para cada resposta.

Quanto tempo leva para construir o pacote de evidências permanente?

Aproximadamente o mesmo tempo de um questionário respondido do zero. Com os padrões da calculadora, são 31,3 horas para 60 perguntas sem reutilização, incluindo quatro locais amostrados. Depois disso, cada revisão custa o valor de 14,5 horas ou menos. Uma atualização trimestral das linhas datadas mantém a estimativa nesse patamar. Se os certificados dos funcionários vêm do seu MDM, a configuração leva de cinco a dez minutos, uma única vez, para toda a organização.

Quanto custa o Purple Access?

O preço é cotado para a sua infraestrutura, com base nas redes que você opera e no número de locais no escopo. Traga os resultados desta ferramenta para a conversa: a sua contagem de locais, as redes por trás de suas novas perguntas e as horas que cada revisão leva. Isso lhe dá uma visão clara do tempo de equipe que a Purple devolve em relação à assinatura.

Precisamos substituir nosso servidor RADIUS para responder a essas perguntas?

Não. Você pode responder com evidências de qualquer sistema que autentique a equipe hoje. Se a coluna recente continuar se enchendo de renovações de certificados, atualizações de servidores ou registros ausentes de ex-colaboradores, o RADIUS na nuvem da Purple remove esse trabalho local da sua estrutura. Nosso guia de alternativas ao Cisco ISE apresenta o que comparar ao avaliar a migração.

Como comprovamos a remoção de ex-colaboradores em centenas de locais?

Execute um teste com data de ex-colaborador e anexe o registro do provedor de identidade. A equipe no 802.1X se autentica no Microsoft Entra ID, Okta ou Google Workspace. Desativar a conta nesses sistemas significa que a Purple revoga o acesso ao WiFi em toda a estrutura, e não em um local por vez. Novas contratações, transferências e desligamentos fluem diretamente do diretório. Portanto, um único teste serve como evidência para todos os locais.

O filtragem de DNS pertence à seção de WiFi?

Sim, quando os auditores perguntam o que impede que dispositivos de convidados acessem sites nocivos. A filtragem de DNS na Purple é o Shield, um complemento de segurança, portanto anexe o resumo da política junto com a evidência da rede aberta. Mantenha essa resposta separada das questões de autenticação. A filtragem controla para onde o tráfego vai. O 802.1X e o xPSK controlam quem se conecta e em qual VLAN a pessoa entra.

Podemos reutilizar o mesmo pacote para uma análise de segurança de cliente e para uma seguradora?

Sim. A maioria das evidências é reaproveitada, pois ambos os auditores perguntam quem pode se conectar, o que podem acessar e como você comprova isso. Mantenha uma coluna no CSV para a redação de cada auditor e mapeie-a para o mesmo artefato. Apenas os locais amostrados e as datas de captura mudam entre as revisões. Em seguida, mantenha seus certificados Cyber Essentials e ISO 27001 centralizados para cada solicitação.