Quando o risco chega pela porta do parceiro
Um levantamento da Kroll, consultoria global de gestão de riscos, trouxe um dado que merece a atenção de toda liderança: 69% das vítimas de vazamento de dados no período analisado foram atingidas por um incidente ocorrido em um terceiro, segundo reportagem da Infosecurity Magazine. O mesmo estudo aponta que ataques a empresas de tecnologia que prestam serviços a outras organizações foram a causa mais comum desses vazamentos.
Em termos simples, empresas de todos os setores tiveram dados expostos por causa da segurança de um fornecedor, o que mostra que cuidar do próprio ambiente é apenas uma parte da equação. A Infosecurity Magazine destacou o peso crescente da cadeia de fornecedores no risco cibernético das empresas, um assunto que costuma aparecer pouco nas reuniões de diretoria e que merece um lugar fixo na pauta.
Vale então uma pergunta honesta: se o escritório de contabilidade, o sistema de folha de pagamento ou a plataforma de cobrança que atende a sua empresa sofresse um incidente, você saberia dizer quais dados seus estariam em jogo?
O que esse dado significa para a sua empresa
Para sócios e C-levels, o ponto central é que são eles que assinam os contratos e respondem pela reputação quando dados de clientes vazam, mesmo que a falha tenha ocorrido em outra empresa. Regulações de proteção de dados como GDPR e LGPD costumam exigir que a organização responsável pelos dados demonstre cuidado também na escolha e na supervisão de quem trata essas informações em seu nome.
Controles que protegem você independentemente do fornecedor
A boa notícia é que dá para reduzir bastante o impacto de um incidente em terceiro com controles que estão nas suas mãos. O primeiro é exigir MFA (Multi-Factor Authentication, autenticação multifator) em todos os acessos de fornecedores, para que uma senha vazada do lado do parceiro não baste para entrar no seu ambiente. O segundo é aplicar o privilégio mínimo, princípio em que cada conta externa recebe apenas as permissões necessárias para a tarefa contratada, com revisão periódica e desativação ao fim do contrato.
O terceiro pilar é a resiliência, garantida por um backup isolado e testado, junto com um plano de recuperação de desastres, para que a operação volte a funcionar mesmo se um sistema de terceiro for comprometido. Backup isolado é aquele mantido separado da rede principal, fora do alcance de quem eventualmente entrar por uma conta de parceiro.
Por fim, entra a governança de acessos e compliance, que transforma boas intenções em regras documentadas. Vale incluir nos contratos com fornecedores alguns requisitos mínimos de segurança:
- Uso obrigatório de MFA em qualquer acesso ao seu ambiente.
- Prazo definido para comunicar incidentes que envolvam seus dados.
- Direito de solicitar evidências das práticas de segurança do parceiro.
- Regras claras de descarte dos dados ao fim da relação comercial.
Você sabe exatamente quais fornecedores têm acesso aos dados da sua empresa?
Se a resposta exige abrir planilhas antigas ou consultar várias áreas, você está em boa companhia, e esse é justamente o melhor ponto de partida. Um inventário de fornecedores com acesso, classificado pelo tipo de dado que cada um toca, permite priorizar esforços onde o risco é maior. A partir dele, a TI gerenciada atua como retaguarda do seu time, combinando monitoramento proativo contínuo, EDR, gestão de patches e revisão periódica de contas externas para que nenhum acesso fique esquecido.
O quadro se completa com backup isolado e testado, que assegura a retomada da operação, e com treinamento das equipes para reconhecer pedidos suspeitos feitos em nome de parceiros, como trocas de dados bancários ou solicitações urgentes de acesso. Com essas camadas, a sua empresa passa a contar com várias linhas de defesa próprias, somadas aos cuidados de cada fornecedor.
O dado da Kroll funciona como um mapa, porque mostra com clareza onde concentrar energia. Empresas que conhecem seus parceiros, controlam acessos e testam sua capacidade de recuperação transformam a cadeia de fornecedores em uma rede de confiança, e esse caminho está totalmente ao seu alcance, um passo de cada vez.
Referências
Perguntas frequentes
O que é risco de terceiros em segurança da informação?
Risco de terceiros é a possibilidade de uma empresa ter dados expostos ou a operação afetada por causa de uma falha de segurança em um fornecedor ou parceiro. Ele envolve qualquer prestador com acesso a sistemas ou informações da empresa, como contabilidade, ERP, folha de pagamento e suporte remoto. Um levantamento da Kroll indicou que 69% das vítimas de vazamento foram atingidas por meio de um terceiro.
Como proteger a empresa quando um fornecedor sofre um vazamento?
A proteção vem de controles que não dependem da segurança do fornecedor, como MFA em todos os acessos externos, privilégio mínimo e revisão periódica das contas de parceiros. EDR e monitoramento proativo contínuo ajudam a detectar comportamento anormal vindo de contas legítimas. Backup isolado e testado, junto com um plano de recuperação de desastres, garante a retomada da operação.
Quais cláusulas de segurança incluir no contrato com fornecedores?
Os contratos com fornecedores devem prever uso obrigatório de autenticação multifator, prazo definido para comunicar incidentes e direito de solicitar evidências das práticas de segurança. Também é recomendável definir regras de descarte dos dados ao fim da relação comercial. Essas cláusulas ajudam a demonstrar diligência perante regulações de proteção de dados como GDPR e LGPD.
Quer entender como estão os acessos de terceiros no seu ambiente? Agende um Diagnóstico Estratégico de TI, Sem Compromisso, com a Zamak.