À medida que as empresas ampliam os investimentos em cibersegurança para proteger suas redes internas, fornecedores e prestadores de serviços passam a representar pontos adicionais de exposição. A integração entre sistemas e o compartilhamento de acessos podem criar caminhos para ataques baseados no comprometimento de credenciais e ambientes externos.
Um estudo da SecurityScorecard aponta que 98% das organizações globais mantêm conexão direta com pelo menos um parceiro comercial que já sofreu incidentes de dados. Já o relatório Cost of a Data Breach, desenvolvido pela IBM em parceria com o Instituto Ponemon, indica que invasões originadas na rede de fornecedores custam 11% a mais para serem corrigidas e levam, em média, 284 dias para serem totalmente identificadas e contidas.
Para Roberto Toscani, CISO e Diretor de Consultoria e Serviços de SI e privacidade da Tripla, a exposição está relacionada ao nível de integração entre empresas. Softwares de gestão, consultorias de RH, escritórios de contabilidade e prestadores de suporte técnico podem manter acessos diretos e privilegiados aos ambientes dos contratantes.
“O conceito tradicional de perímetro de segurança cibernética caiu por terra”, afirma. “Hoje, um atacante raramente perde tempo tentando quebrar a criptografia de uma multinacional, sendo muito mais vantajoso identificar qual pequeno prestador de serviço tem acesso àquela rede, e então capturar suas credenciais de login em vazamentos prévios. Quando o invasor usa uma senha válida de um parceiro homologado, ele entra no sistema da empresa sem disparar nenhum alarme tradicional.”
Compliance não substitui gestão de riscos
Outro ponto de atenção está na gestão de riscos relacionados a terceiros. Algumas empresas concentram esse processo na assinatura de contratos com cláusulas sobre a Lei Geral de Proteção de Dados (LGPD) ou no preenchimento de questionários de segurança durante a contratação.
Para Toscani, esse tipo de procedimento não elimina os riscos associados ao tratamento de dados por fornecedores.
“Contratos e questionários em PDF trazem uma ilusão de proteção jurídica, mas não impedem o vazamento de um banco de dados”, ressalta Toscani. “É possível terceirizar o processamento de uma operação ou o suporte de TI, mas a responsabilidade sobre os dados e o prejuízo reputacional gerado por uma crise de imagem não são terceirizáveis”.
Tripla defende monitoramento contínuo
Para reduzir a exposição na cadeia de fornecedores, o especialista indica a adoção de um modelo contínuo de gestão de riscos de terceiros, conhecido como Third-Party Risk Management.
“Isso exige catalogar todos os acessos externos ativos, monitorar a presença de dados de parceiros na dark web e condicionar a integração de sistemas a verificações constantes de segurança e governança de dados”, explica.
A abordagem considera os acessos concedidos a fornecedores, a exposição de credenciais e informações e as condições de segurança das integrações mantidas entre as organizações.
Com empresas cada vez mais conectadas a fornecedores e prestadores de serviços, a gestão desses relacionamentos passa a fazer parte da estratégia de proteção de dados e dos ambientes corporativos.
