Por Robson Schmidt* 

A transformação digital trouxe ganhos significativos de produtividade, integração e escalabilidade para as organizações. No entanto, à medida que as empresas passam a depender cada vez mais de fornecedores de tecnologia, plataformas em nuvem, prestadores de serviços e parceiros de negócios, surge um novo desafio: controlar os riscos que esses terceiros podem introduzir no ambiente corporativo.

É nesse contexto que a Third-Party Risk Management (TPRM), ou Gestão de Riscos de Terceiros, assume papel estratégico dentro dos programas de cibersegurança e privacidade de dados. O objetivo do TPRM é identificar, avaliar, monitorar e mitigar riscos associados a fornecedores e parceiros que tenham acesso a dados, sistemas ou processos críticos da organização.

Leia também: SG3 evoluiu: saiba como transformar dados inteligentes em decisões estratégicas

O elo mais fraco pode estar fora da sua empresa

Muitas organizações investem fortemente em segurança interna, mas negligenciam a maturidade de segurança de seus fornecedores. O problema é que um único parceiro com controles inadequados pode se tornar a porta de entrada para incidentes graves.

Segundo especialistas em TPRM, fornecedores de software, prestadores de serviços gerenciados, provedores de nuvem e integradores possuem frequentemente acesso privilegiado a sistemas corporativos e dados sensíveis, ampliando significativamente a superfície de ataque das empresas.

Ataques à cadeia de suprimentos digital tornaram-se uma das principais estratégias utilizadas por criminosos cibernéticos justamente porque permitem atingir múltiplas organizações por meio de um único fornecedor comprometido.

Os riscos de não realizar a gestão de terceiros

A ausência de um programa estruturado de TPRM pode gerar impactos significativos, entre eles, o vazamento de dados pessoais e corporativos. Fornecedores frequentemente armazenam ou processam informações sensíveis, tais como:

• Dados pessoais de colaboradores;
• Informações de clientes;
• Documentos financeiros;
• Dados estratégicos;
• Propriedade intelectual.

Caso esses terceiros não adotem controles adequados de segurança, as consequências podem incluir vazamentos massivos de informações e exposição pública da organização.

Impactos regulatórios e multas

No Brasil, a Lei Geral de Proteção de Dados (LGPD) determina que empresas devem adotar medidas de segurança para proteger os dados pessoais sob sua responsabilidade, incluindo aqueles tratados por operadores e fornecedores.

Em muitos casos, mesmo quando o incidente ocorre em um terceiro, a organização controladora dos dados pode sofrer consequências jurídicas, regulatórias e reputacionais.

Interrupção das operações

Um incidente de segurança em um fornecedor crítico pode interromper processos essenciais da empresa, causando indisponibilidade de sistemas, perda de produtividade e prejuízos financeiros.

A dependência crescente de terceiros faz com que eventos externos tenham impacto direto na continuidade dos negócios.

Danos à reputação

Clientes e investidores raramente diferenciam se o vazamento ocorreu dentro da empresa ou em um fornecedor. A percepção de falha de segurança recai sobre a marca contratante, gerando perda de confiança e possíveis impactos comerciais de longo prazo.

Quando um fornecedor se torna um problema para milhares de empresas

Nos últimos anos, alguns dos maiores incidentes de cibersegurança ocorreram justamente por meio da cadeia de fornecedores.

Em um caso amplamente divulgado em 2024, um provedor de serviços em nuvem utilizado por diversas organizações foi utilizado como ponto de acesso para obtenção indevida de bases de dados, resultando na exposição de centenas de milhões de registros. O incidente mostrou como uma vulnerabilidade em um único fornecedor pode afetar múltiplas empresas simultaneamente.

Outro caso envolveu um prestador de serviços críticos para o setor de saúde norte-americano. O ataque provocou interrupções operacionais em larga escala e impactou milhões de registros de pacientes, demonstrando como a dependência excessiva de um terceiro pode gerar consequências para todo um ecossistema de negócios.

Situações como essas reforçam uma conclusão importante: a segurança da informação não termina nos limites da empresa.

O que uma estratégia de TPRM deve contemplar

Uma gestão eficiente de riscos de terceiros deve incluir:

• Classificação dos fornecedores por criticidade;
• Avaliação de maturidade em segurança da informação;
• Verificação de requisitos de LGPD e privacidade;
• Due diligence antes da contratação;
• Revisões periódicas de riscos;
• Gestão de acessos concedidos a terceiros;
• Planos de resposta a incidentes;
• Monitoramento contínuo da postura de segurança dos fornecedores.

Mais do que cumprir requisitos de auditoria ou conformidade, o objetivo é reduzir a probabilidade de que um incidente externo se transforme em um problema interno.

Um dos maiores desafios atuais da cibersegurança é, justamente, enxergar que os riscos não estão apenas dentro da organização.

Vivemos em um cenário altamente conectado, onde fornecedores, parceiros e prestadores de serviço fazem parte dos processos críticos do negócio. Isso significa que proteger dados, garantir conformidade e preservar a continuidade operacional depende também da capacidade de avaliar e monitorar quem faz parte dessa cadeia.

Investir em TPRM não é apenas uma iniciativa de segurança. É uma medida de proteção do negócio, da reputação da empresa e da confiança dos clientes.

Porque, no fim das contas, a maturidade de segurança de uma organização será sempre limitada pela maturidade de segurança dos seus parceiros mais críticos.

*Robson Schmidt é Diretor de TI da Executiva Inteligência em Terceiros.