Quando proteger a empresa já não é suficiente

Por León Weinstok

Introdução: A cibersegurança empresarial já não depende apenas de controles internos. León Weinstok analisa os riscos dos fornecedores externos e as medidas para proteger as empresas.

Durante anos, as empresas concentraram seus esforços de cibersegurança principalmente na proteção da própria infraestrutura: sistemas de defesa, controle de acesso, treinamento de funcionários e protocolos de resposta a incidentes. Tudo isso continua sendo indispensável, mas já não é suficiente.

As operações empresariais dependem cada vez mais de fornecedores de tecnologia, plataformas em nuvem, processadores de pagamentos e outras empresas que armazenam ou processam informações em nome de seus clientes. Segundo uma compilação de estatísticas publicada pela Exploding Topics, 92% das empresas que integram o Global 2000 utilizam serviços de terceirização de tecnologia.

O risco não desaparece quando se contrata um terceiro

Terceirizar uma função não significa terceirizar a responsabilidade.

Quando um fornecedor administra informações, hospeda uma plataforma ou se conecta aos sistemas de uma empresa, suas vulnerabilidades podem se tornar as do cliente. O risco aumenta se o fornecedor subcontrata parte do serviço, pois a empresa pode depender de uma cadeia de terceiros que não conhece nem supervisiona.

O Instituto Nacional de Padrões e Tecnologia dos Estados Unidos, conhecido como NIST, afirma que a gestão de riscos nas cadeias de suprimentos deve começar com um processo de due diligence: investigar o fornecedor antes de contratá-lo e durante a relação comercial, avaliando sua resiliência, suas práticas fundamentais de cibersegurança e os diferentes níveis de sua cadeia de suprimentos.

Portanto, uma cláusula geral de confidencialidade não basta, nem se deve confiar apenas no prestígio do fornecedor. A cibersegurança deve ser um critério efetivo de seleção, contratação e acompanhamento.

Das declarações às evidências

Um programa eficaz de gestão de terceiros deve ser proporcional ao risco. Uma empresa de entregas não representa o mesmo risco que um fornecedor que armazena dados pessoais, gerencia credenciais, processa pagamentos ou administra infraestrutura crítica.

O primeiro passo é classificar os terceiros de acordo com as informações a que têm acesso, sua conexão com os sistemas, sua capacidade de interromper operações essenciais e as consequências econômicas ou regulatórias de uma violação. A partir daí, as empresas devem considerar, entre outras, as seguintes medidas:

1. Avaliar antes de contratar.

A análise deve examinar a estrutura de segurança do fornecedor, seu histórico de incidentes, seus planos de continuidade e a forma como controla seus subcontratados. Um questionário é útil, mas não deve se tornar mera formalidade.

2. Solicitar evidências verificáveis.

Conforme o serviço, podem ser solicitadas auditorias independentes, testes de invasão, certificações como ISO/IEC 27001, relatórios de controles como SOC 2 ou evidências de conformidade. A certificação não elimina o risco, mas vai além da mera declaração de que o fornecedor “segue boas práticas”.

3. Incluir obrigações claras nos contratos.

O contrato deve estabelecer os controles mínimos de segurança, as regras de acesso e uso das informações, a criptografia, as condições para subcontratação, os prazos para notificação de incidentes e a devolução ou destruição segura das informações ao término da relação.

Também é importante definir as consequências do descumprimento, os direitos de auditoria e as responsabilidades financeiras. Uma obrigação sem mecanismos de verificação nem consequências concretas oferece uma proteção mais aparente do que real.

4. Exigir a notificação tempestiva de incidentes.

O contrato pode exigir também a comunicação de incidentes suspeitos e deve especificar o conteúdo do relatório, a forma de atualização e os pontos de contato.

5. Manter monitoramento contínuo.

A análise inicial é apenas um retrato do fornecedor em determinado momento. Os fornecedores críticos devem ser avaliados periodicamente e também quando houver mudanças no serviço, ocorrer um incidente ou for ampliado o acesso a informações.

6. Revisar a cadeia de subcontratação.

A empresa deve saber se o fornecedor utiliza serviços em nuvem, centros de dados ou outros terceiros e, quando o risco justificar, estender a eles as mesmas obrigações de segurança.

7. Preparar-se para o término da relação.

A saída de um fornecedor gera riscos se suas credenciais, cópias de informações ou integrações permanecerem ativas. É preciso prever a revogação dos acessos, a devolução ou destruição certificada dos dados e a continuidade do serviço.

E quando tudo falha

Mesmo o programa mais rigoroso não pode eliminar completamente o risco. As certificações podem perder a validade, os controles podem falhar e uma vulnerabilidade desconhecida pode afetar vários clientes de um fornecedor ao mesmo tempo. Por isso, a prevenção deve ser complementada por planos de continuidade, protocolos de gestão de incidentes e exercícios que incluam cenários originados por terceiros.

Também é importante avaliar a contratação de uma apólice de risco cibernético, que pode cobrir, conforme seus termos, custos de investigação, recuperação de informações, interrupção dos negócios, resposta jurídica, notificação e responsabilidade perante terceiros.

No entanto, o seguro não substitui os controles. Antes de contratá-lo, convém revisar suas exclusões, limites, franquias, requisitos de notificação e condições relacionadas a fornecedores, além de analisar se a cobertura é acionada quando o incidente ocorre na infraestrutura de um terceiro ou em decorrência do uso de inteligência artificial.