Third-party risk: sua empresa pode estar protegida e ainda ser comprometida por um fornecedor
Uma organização pode investir em tecnologia, processos e equipes de segurança e, mesmo assim, sofrer um incidente originado fora de sua estrutura. Basta que um fornecedor tenha acesso excessivo, armazene mais informações do que deveria ou dependa de um prestador indireto que nunca foi identificado.
Esse é o desafio do *third-party risk*, ou risco de terceiros: parte das ameaças ao negócio está fora do perímetro corporativo e do controle direto da empresa. Contratar um serviço transfere a execução de uma atividade, mas não elimina as consequências de uma interrupção, fraude ou exposição de dados. Se um parceiro falha, a organização que depende dele ainda precisa responder a clientes, funcionários e demais partes afetadas.
A avaliação deve acompanhar a criticidade
Um erro frequente é submeter todos os fornecedores ao mesmo questionário extenso. Além de consumir tempo, esse modelo pode gerar muitas respostas e pouca clareza sobre o que realmente ameaça a operação.
O nível de avaliação deve considerar o papel de cada terceiro. Um fornecedor de materiais de escritório, por exemplo, não apresenta o mesmo perfil de risco que uma plataforma SaaS com dados pessoais, um provedor de serviços gerenciados com privilégios administrativos ou um parceiro integrado ao processo de pagamentos.
Por isso, a classificação de criticidade precisa acontecer antes da due diligence. Quanto mais sensíveis os dados, amplo o acesso técnico ou indispensável o serviço, maior deve ser a profundidade da análise. Fornecedores de baixo impacto podem passar por verificações simples; relações críticas exigem evidências e acompanhamento mais rigorosos.
Descubra quais acessos existem de verdade
A descrição contratual de um serviço nem sempre mostra como ele funciona na prática. Um acordo pode mencionar apenas “suporte técnico”, sem esclarecer se o fornecedor usa uma VPN permanente, uma conta administrativa compartilhada, uma chave de API, uma integração OAuth ou um agente instalado nos sistemas da empresa.
Mapear esses acessos é essencial para entender o alcance de um eventual comprometimento – o chamado *blast radius*. Também ajuda a evitar problemas no encerramento do contrato: contas, tokens e credenciais podem continuar ativos simplesmente porque ninguém sabia que haviam sido criados.
Um inventário útil deve registrar quem acessa cada ambiente, com quais privilégios, por qual método e para executar qual tarefa. Sempre que possível, o acesso deve ser individual, limitado ao necessário e revisto periodicamente. Contas compartilhadas e permissões permanentes dificultam a investigação e ampliam o impacto de uma credencial roubada.
Peça provas proporcionais ao risco
Questionários são uma forma prática de iniciar a conversa e conhecer os controles de um fornecedor. O problema surge quando respostas declaradas são tratadas como comprovação suficiente, sobretudo em relações que envolvem dados sensíveis ou acesso privilegiado.
Para parceiros críticos, pode ser necessário analisar certificações, relatórios independentes, resultados de testes, diagramas de arquitetura, cláusulas contratuais, histórico de incidentes e demonstrações dos processos de segurança. A exigência deve ser compatível com o risco e com o tipo de serviço contratado.
Até perguntas aparentemente simples precisam de contexto. Saber se o fornecedor usa autenticação multifator é menos informativo do que entender em quais sistemas ela é obrigatória, quem está dispensado e como as exceções são aprovadas e monitoradas.
Enxergue os fornecedores indiretos
A cadeia de dependências não termina no fornecedor contratado. Uma plataforma SaaS pode utilizar serviços de nuvem, e-mail, análise de dados, subprocessadores e componentes de software mantidos por outras empresas.
Não é realista auditar profundamente cada elo da cadeia. Ainda assim, a empresa precisa identificar concentrações importantes, entender quais terceiros indiretos são relevantes e exigir transparência sobre mudanças nos subprocessadores que possam afetar dados, segurança ou disponibilidade.
A diversidade de contratos também pode ser ilusória. Vários fornecedores diferentes podem depender da mesma plataforma de nuvem, rede de distribuição de conteúdo ou serviço de identidade. Nesse caso, uma falha comum pode atingir diversas áreas ao mesmo tempo, embora a organização acredite ter distribuído suas dependências.
Reavalie quando o contexto mudar
Uma análise feita antes da assinatura não permanece válida indefinidamente. O fornecedor pode ser adquirido, mudar sua infraestrutura, adotar inteligência artificial, sofrer um incidente, trocar subprocessadores ou passar a receber novos dados e acessos.
Por isso, o programa deve prever situações que desencadeiem uma nova avaliação. A renovação contratual é uma oportunidade importante, mas não deve ser o único momento de revisão. Alterações relevantes no serviço, na estrutura da empresa fornecedora ou no tipo de informação compartilhada também podem justificar uma análise antecipada.
O acompanhamento contínuo não precisa repetir toda a due diligence a cada mudança. Alertas, revisões de acesso, reuniões de acompanhamento e atualizações sobre incidentes podem oferecer uma visão mais atualizada sem transformar o processo em uma tarefa burocrática.
Segurança também é continuidade
Um fornecedor pode ter controles de segurança robustos e ainda representar uma fragilidade operacional. Se a empresa depende dele para funções essenciais, uma indisponibilidade pode interromper atividades, mesmo sem vazamento ou ataque.
Vale perguntar quanto tempo a operação consegue funcionar sem o serviço, se existe uma alternativa e quanto tempo levaria para migrar dados e processos. Essas respostas aproximam o gerenciamento de terceiros do planejamento de continuidade e ajudam a dimensionar a dependência.
O risco de concentração merece atenção especial. Quando identidade, comunicação, colaboração e armazenamento estão reunidos no mesmo ecossistema, uma falha significativa pode afetar várias funções ao mesmo tempo. Avaliar apenas certificações não revela esse problema: é preciso analisar a arquitetura, a tolerância a interrupções e as opções disponíveis para manter o negócio funcionando.
Prepare a saída antes que ela seja necessária
O encerramento de um contrato deve fazer parte do planejamento desde o início da relação. A empresa precisa saber como recuperar seus dados, revogar acessos, eliminar cópias mantidas pelo fornecedor e substituir o serviço sem comprometer a operação.
É recomendável definir responsabilidades e prazos para a desativação de contas, chaves, integrações e dispositivos instalados. Também é importante confirmar como os dados serão devolvidos ou eliminados e quais registros poderão demonstrar que o processo foi concluído.
Um plano de saída não significa que a migração será simples ou imediata. Ele serve para tornar visíveis os obstáculos, estimar o esforço necessário e evitar que uma dependência crítica seja descoberta apenas durante uma crise ou disputa contratual.
Transforme a gestão em decisões claras
Um programa eficaz não tenta eliminar todo risco nem exige controles impossíveis de cada parceiro. Seu propósito é compreender a exposição, aplicar medidas compatíveis com a criticidade e decidir conscientemente se o risco residual é aceitável.
Para isso, as áreas de segurança, tecnologia, compras, jurídico e negócio precisam compartilhar informações. Compras conhece a relação comercial; tecnologia identifica integrações; segurança avalia controles; jurídico ajuda a definir obrigações; e a área responsável pelo serviço entende o impacto de uma interrupção. Sem essa colaboração, lacunas importantes podem passar despercebidas.
No fim, gerenciar riscos de terceiros significa saber de quem a empresa depende, o que cada fornecedor pode acessar, quais evidências sustentam a confiança e como reagir se algo mudar. Um parceiro pode ser seguro, mas ainda assim se tornar um ponto de falha por excesso de privilégios, dependência operacional ou concentração. Tornar essas condições visíveis é o primeiro passo para reduzir o impacto antes que um problema externo se transforme em uma crise interna.