Third-party risk: sua empresa pode estar protegida e ainda ser comprometida por um fornecedor
Uma organização pode investir em segurança, controlar seus próprios sistemas e, mesmo assim, sofrer um incidente por causa de uma empresa terceirizada. O motivo pode ser uma conta com privilégios excessivos, dados armazenados sem proteção adequada ou uma falha em um fornecedor do próprio fornecedor.
Esse é o desafio do *third-party risk*: parte dos riscos que afetam o negócio está fora do perímetro corporativo e do controle direto da equipe de segurança. Terceirizar uma atividade não significa terceirizar as consequências. Se um parceiro interromper um serviço, expuser informações ou tiver suas credenciais roubadas, a empresa contratante ainda precisará responder aos clientes e manter a operação.
Avalie cada fornecedor conforme o risco
Aplicar o mesmo questionário extenso a todos os parceiros consome tempo e nem sempre revela o que importa. Um fornecedor de material de escritório não representa a mesma exposição que um SaaS com dados pessoais, um provedor de serviços gerenciados com acesso administrativo ou uma empresa conectada ao fluxo de pagamentos.
A classificação por criticidade deve vir antes da análise detalhada. Para definir o nível de avaliação, considere fatores como o tipo e o volume dos dados acessados, os privilégios concedidos, a importância do serviço para a operação e o impacto de uma interrupção. Assim, os controles exigidos e o esforço de diligência podem ser proporcionais à exposição real.
Descubra quais acessos existem de fato
A descrição contratual de um serviço raramente mostra toda a sua presença técnica no ambiente. Um “suporte especializado”, por exemplo, pode envolver VPN permanente, contas administrativas compartilhadas, chaves de API, integração OAuth ou agentes instalados em sistemas corporativos.
Mapear esses acessos é essencial para entender o possível alcance de uma invasão – o chamado *blast radius* – e evitar surpresas quando a relação comercial terminar. Credenciais esquecidas e contas que permanecem ativas após o encerramento do contrato podem continuar abrindo caminho para sistemas internos.
Por isso, o inventário de terceiros deve registrar não apenas o nome do fornecedor e o serviço contratado, mas também os sistemas conectados, os tipos de acesso, os responsáveis internos e as datas de revisão. Esse registro facilita tanto o monitoramento quanto o desligamento seguro.
Peça evidências, não apenas declarações
Questionários ajudam a iniciar a conversa e a conhecer a maturidade de um parceiro. Porém, respostas afirmativas não comprovam que os controles estão implementados de forma eficaz.
Para fornecedores críticos, a empresa pode exigir evidências compatíveis com o risco: certificações, avaliações independentes, resultados de testes, diagramas de arquitetura, registros de incidentes e demonstrações de processos. Mais importante do que perguntar se há autenticação multifator é entender em quais sistemas ela é aplicada, quem está sujeito a exceções e como essas exceções são aprovadas e revisadas.
As exigências também precisam estar refletidas nos contratos. Regras sobre notificação de incidentes, proteção e devolução de dados, cooperação em investigações, uso de subprocessadores e encerramento de acessos ajudam a transformar expectativas de segurança em responsabilidades claras.
Considere a cadeia além do fornecedor direto
Um serviço SaaS pode depender de provedores de nuvem, plataformas de e-mail e análise, subprocessadores e componentes de terceiros. A contratante provavelmente não conseguirá auditar cada elo com a mesma profundidade, mas precisa saber onde há dependências importantes e solicitar transparência sobre mudanças relevantes na cadeia.
A concentração merece atenção especial. Vários fornecedores aparentemente distintos podem depender do mesmo provedor de identidade, serviço de nuvem ou rede de distribuição de conteúdo. Nesse cenário, a diversidade de contratos não significa necessariamente diversidade de risco: uma falha comum pode afetar diversos processos ao mesmo tempo.
Reavalie ao longo do relacionamento
Uma análise feita antes da assinatura perde validade quando o fornecedor muda sua infraestrutura, é adquirido, amplia os acessos, adota novas tecnologias ou troca subprocessadores. Um incidente relevante também pode alterar a avaliação.
A revisão periódica é importante, mas não deve ser o único gatilho. Mudanças no serviço, no tipo de dado tratado ou no nível de integração precisam levar a uma nova análise. A renovação contratual é uma oportunidade para confirmar se o risco continua aceitável e se as medidas acordadas permanecem em vigor.
Segurança e continuidade precisam caminhar juntas
Um fornecedor pode manter bons controles de segurança e ainda representar um risco operacional elevado. Se uma plataforma externa ficar indisponível, a empresa consegue continuar trabalhando? Por quanto tempo? Há uma alternativa, um procedimento manual ou um plano de migração? Quanto tempo levaria para transferir dados e processos para outro parceiro?
Essas perguntas aproximam a gestão de terceiros da continuidade de negócios. Também ajudam a identificar dependências críticas concentradas em um único serviço. Se identidade, colaboração, e-mail e armazenamento estiverem vinculados ao mesmo ecossistema, uma interrupção poderá atingir várias áreas simultaneamente.
Como tornar o processo operacional
Um programa eficaz não precisa começar com auditorias complexas para todos os parceiros. A empresa pode manter uma lista centralizada de fornecedores, definir critérios objetivos de criticidade e estabelecer avaliações diferentes para cada categoria.
Também é útil atribuir um responsável interno a cada relação, registrar prazos de revisão e acompanhar pendências de segurança. Quando uma lacuna for identificada, o plano pode prever correção, prazo, responsável e uma decisão formal sobre o risco residual. Se o controle não puder ser implementado, a organização deve avaliar se aceita a exposição, limita o acesso ou busca uma alternativa.
No encerramento do contrato, é necessário confirmar a revogação de contas, tokens, chaves e integrações, além de definir o destino dos dados. O *offboarding* deve ser tratado como uma etapa formal do ciclo de vida do fornecedor, não como uma tarefa administrativa secundária.
Nenhum terceiro é totalmente livre de riscos, e exigir o mesmo nível de controle de todos pode tornar o programa impraticável. O objetivo é compreender as dependências, pedir proteções proporcionais e tomar decisões conscientes. A empresa não precisa eliminar todo o risco externo, mas precisa saber onde ele está, como pode afetá-la e o que fará se o fornecedor falhar.