Gerenciamento de riscos de terceiros: avaliando a postura de segurança do fornecedor

Sua segurança é tão forte quanto o seu fornecedor mais fraco. A violação do MOVEit de 2024 afetou mais de 2.500 organizações, não porque sua segurança fosse inadequada, mas porque o software de transferência de arquivos de um único fornecedor tinha uma vulnerabilidade crítica. O incidente Snowflake expôs dados de 165 organizações por meio de uma falha de autenticação de um provedor de nuvem. Em ambos os casos, as organizações vitimadas investiram pesadamente na sua própria segurança, apenas para serem comprometidas por terceiros de confiança.

As empresas modernas dependem de dezenas a centenas de fornecedores terceirizados: aplicativos SaaS, infraestrutura em nuvem, processadores de pagamento, plataformas de marketing, ferramentas de desenvolvimento e provedores de serviços gerenciados. Cada fornecedor com acesso aos seus dados ou sistemas representa um vetor de ataque potencial que contorna suas defesas cuidadosamente construídas.

Principais conclusões

• 62% das violações de dados têm origem em fornecedores terceirizados, tornando o risco do fornecedor a superfície de ataque menos abordada para a maioria das organizações
• As certificações SOC 2 Tipo II e ISO 27001 são necessárias, mas não suficientes: elas validam os controles que existiam durante o período da auditoria, não que existam hoje
• O monitoramento contínuo por meio de plataformas de classificação de segurança detecta a degradação da segurança do fornecedor em tempo real, e não anualmente
• Cláusulas de segurança em contratos de fornecedores fornecem alavancagem legal, mas somente se incluírem direito de auditoria, SLAs de notificação de violação e termos de responsabilidade

---

Por que o risco de terceiros é importante

A empresa média compartilha dados confidenciais com 583 terceiros, de acordo com um estudo Prevalent de 2025. Para organizações que executam plataformas de negócios como Odoo ERP e Shopify eCommerce, o ecossistema de fornecedores inclui:

• Provedores de infraestrutura (AWS, Azure, GCP, Cloudflare)
• Aplicativos SaaS (provedores de identidade, e-mail, colaboração, CRM)
• Processadores de pagamento (Stripe, PayPal, Adyen)
• Conectores do Marketplace (integrações Amazon, eBay, Shopify, WooCommerce)
• Ferramentas de desenvolvimento (GitHub, CI/CD, monitoramento, rastreamento de erros)
• Provedores de serviços gerenciados (hospedagem, segurança, backup, suporte de TI)
• Serviços profissionais (consultores, empreiteiros, desenvolvimento terceirizado)

Cada relacionamento com fornecedor cria uma ou mais destas categorias de risco:

---

Estrutura de avaliação de fornecedores

Uma estrutura estruturada de avaliação de fornecedores garante uma avaliação consistente e proporcional ao risco de todos os terceiros. A profundidade da avaliação deve ser dimensionada de acordo com o risco que o fornecedor representa.

Classificação de fornecedores

Nem todos os fornecedores apresentam riscos iguais. Classifique seus fornecedores com base no acesso aos dados e na criticidade operacional:

Critérios de avaliação de risco do fornecedor

Para fornecedores de nível 1 e nível 2, avalie estes domínios:

---

Requisitos de certificação e conformidade

SOC 2 Tipo II

SOC 2 Tipo II é o padrão ouro para avaliação de segurança de fornecedores de SaaS. Ele avalia os controles de um fornecedor em relação a cinco critérios de serviço confiável durante um período de 6 a 12 meses:

• Segurança --- Proteção contra acesso não autorizado (obrigatório)
• Disponibilidade --- Tempo de atividade do sistema e compromissos de recuperação
• Integridade de processamento --- Processamento de dados preciso e completo
• Confidencialidade --- Proteção de informações confidenciais
• Privacidade --- Tratamento de informações pessoais de acordo com os princípios de privacidade

O que o SOC 2 informa: Os controles foram projetados adequadamente e operados de forma eficaz durante o período de auditoria. O auditor verificou evidências, testou controles e documentou exceções.

O que o SOC 2 não informa: Os controles ainda estão em vigor hoje (o relatório tem de 6 a 12 meses). A auditoria abrangeu todos os sistemas que afetam seus dados (o escopo pode ser limitado). Não há novas vulnerabilidades desde a auditoria.

ISO 27001

A ISO 27001 certifica que uma organização implementou um Sistema de Gestão de Segurança da Informação (SGSI) em conformidade com a norma. É reconhecido internacionalmente e cobre um escopo mais amplo que o SOC 2.

Principais diferenças em relação ao SOC 2:

• ISO 27001 é uma certificação (aprovado/reprovado), não um relatório com resultados detalhados
• A certificação é válida por 3 anos com auditorias de acompanhamento anuais
• Abrange o sistema de gestão, não controles técnicos específicos
• O reconhecimento internacional o torna valioso para relacionamentos globais com fornecedores

PCI-DSS

Para fornecedores que processam, armazenam ou transmitem dados de cartões de pagamento, a conformidade com o PCI DSS é obrigatória. Solicite o Atestado de Conformidade (AoC) do fornecedor e esclareça seu nível de SAQ. Certifique-se de que o escopo PCI do fornecedor cubra os serviços específicos que ele fornece a você.

Comparação de certificação

---

Monitoramento Contínuo

As avaliações anuais fornecem instantâneos pontuais, mas o risco do fornecedor é contínuo. As plataformas de classificação de segurança e a monitorização contínua colmatam a lacuna entre as avaliações.

Plataformas de classificação de segurança

As plataformas de classificação de segurança examinam continuamente a infraestrutura externa do fornecedor e fornecem uma pontuação de segurança quantificada:

• BitSight --- Líder de mercado, mais de 2.100 pontos de dados, integração de seguros
• SecurityScorecard --- Alternativa competitiva, forte visualização
• UpGuard --- Risco do fornecedor mais detecção de vazamento de dados
• RiskRecon (Mastercard) --- Foco profundo em serviços financeiros
• Panorays --- Questionário automatizado e amigável para pequenas e médias empresas + classificações

Essas plataformas avaliam:

• Segurança de rede --- Portas abertas, configurações incorretas, serviços desatualizados
• Segurança de aplicativos --- Vulnerabilidades de aplicativos da Web, configuração SSL/TLS
• Saúde do DNS --- Configuração DNSSEC, SPF, DKIM, DMARC
• Cadência de patches --- A rapidez com que o fornecedor aplica atualizações de segurança
• Reputação de IP --- Associação com atividades maliciosas, participação em botnets
• Detecção de vazamento de dados --- Credenciais, documentos ou códigos expostos na dark web ou em repositórios públicos
• Segurança de e-mail --- Controles anti-spoofing, autenticação de e-mail

Programa de Monitoramento Contínuo

Além das classificações de segurança, implemente estas atividades de monitoramento contínuo:

1. Alertas de notícias de segurança de fornecedores --- Alertas do Google, feeds RSS específicos de fornecedores e agregação de notícias de segurança para todos os fornecedores de nível 1
2. Monitoramento da Dark Web --- Monitore credenciais de fornecedores, dados ou referências de infraestrutura em fóruns clandestinos
3. Monitoramento de certificados --- Rastreie a expiração do certificado SSL/TLS do fornecedor e as alterações de configuração
4. Notificações de alterações de subprocessadores --- Muitos fornecedores de SaaS mantêm listas de subprocessadores com notificação de alterações (o GDPR exige isso). Assine todas as notificações de fornecedores de nível 1
5. Monitoramento de ações regulatórias --- Rastreie ações de fiscalização, ações judiciais e investigações regulatórias envolvendo seus fornecedores

---

Cláusulas de Segurança Contratual

Os contratos de fornecedores são o seu mecanismo de aplicação legal dos requisitos de segurança. Sem obrigações contratuais, os fornecedores não têm obrigação legal de manter os padrões de segurança após a assinatura do acordo.

Cláusulas Contratuais Essenciais

Direito de auditar. O direito de realizar avaliações de segurança do fornecedor, diretamente ou por meio de um auditor terceirizado, com aviso prévio razoável. Este é o seu mecanismo de aplicação para todo o resto.

SLA de notificação de violação. Prazo específico para notificá-lo sobre um incidente de segurança que afeta seus dados. Prática recomendada: 24 a 48 horas para notificação inicial, com atualizações regulares até resolução. O GDPR exige notificação dentro de 72 horas.

Manuseio e devolução de dados. Defina como o fornecedor processa, armazena e, por fim, devolve ou destrói seus dados na rescisão do contrato. Inclua formato de dados, períodos de retenção e evidências certificadas de destruição.

Conformidade com os padrões de segurança. Exija certificações específicas (SOC 2 Tipo II, ISO 27001) e defina as consequências da perda da certificação.

Controles de subprocessadores. Exigem notificação e aprovação antes que o fornecedor contrate novos subprocessadores. Defina o seu direito de se opor a subprocessadores que não atendam aos seus requisitos de segurança.

Responsabilidade e indenização. Defina responsabilidade financeira por violações causadas por negligência do fornecedor. Certifique-se de que os requisitos de seguro cibernético sejam especificados (valores mínimos de cobertura, você como segurado adicional).

SLA e disponibilidade. Defina compromissos de tempo de atividade, RPO/RTO e penalidades financeiras para violações de SLA.

Exemplo de cláusula de notificação de violação

Uma forte cláusula de notificação de violação inclui:

• Notificação dentro de 24 horas após a descoberta de qualquer violação confirmada ou suspeita que afete seus dados
• Notificação por escrito para um contato de segurança específico (não um e-mail genérico)
• A notificação inicial deve incluir: natureza do incidente, categorias de dados afetadas, número estimado de registros, ações de remediação tomadas
• Atualizações regulares (pelo menos a cada 24 horas) até que o incidente seja resolvido
• Relatório completo de análise de causa raiz em até 30 dias após a resolução do incidente
• Cooperação com seu processo de resposta a incidentes e investigação forense

---

Pontuação de risco SaaS

Para organizações que gerenciam dezenas de fornecedores de SaaS, um sistema quantificado de pontuação de risco permite priorização consistente e alocação de recursos.

Estrutura de pontuação de risco

Pontue cada fornecedor em uma escala de 1 a 5 nestas dimensões:

Pontuação de risco composta = média ponderada de todas as dimensões (1,0 a 5,0)

---

Construindo um Programa TPRM

Começando do Zero

Para organizações sem um programa formal de gerenciamento de risco de terceiros (TPRM):

1. Faça um inventário de todos os fornecedores que acessam seus dados ou se conectam aos seus sistemas. A maioria das organizações subestima significativamente seus relacionamentos com fornecedores.
2. Classifique o estoque usando os critérios acima. Concentre-se primeiro nos níveis Crítico e Alto.
3. Avalie os fornecedores de Nível 1 usando a estrutura de avaliação completa. Solicite relatórios SOC 2, realize avaliações de questionários e estabeleça monitoramento contínuo.
4. Implementar padrões contratuais adicionando cláusulas de segurança a novos contratos e alterando contratos existentes na renovação.
5. Estabeleça governança com um comitê de risco de fornecedor que analisa avaliações, aprova fornecedores de alto risco e acompanha soluções.

Dimensionamento com automação

À medida que o seu portfólio de fornecedores cresce, as avaliações manuais tornam-se insustentáveis. Automatize usando:

• Plataformas de gerenciamento de risco de fornecedores (Prevalent, OneTrust, ProcessUnity) para gerenciamento centralizado de questionários, pontuação automatizada e fluxo de trabalho
• Integração de classificações de segurança para monitoramento externo contínuo sem esforço manual
• Coleta automatizada de evidências extraindo relatórios, certificados e documentação de conformidade SOC 2 diretamente de portais de fornecedores
• Fluxos de trabalho acionados por risco que aumentam automaticamente quando a classificação de segurança de um fornecedor cai ou uma violação é relatada

---

Perguntas frequentes

Como avaliamos os fornecedores que se recusam a compartilhar relatórios SOC 2 ou a responder questionários de segurança?

Se um fornecedor se recusar a fornecer evidências de segurança, considere isso um sinal de alerta proporcional ao seu nível de risco. Para fornecedores de nível 4 (baixo risco), uma recusa pode ser aceitável se a sua classificação de segurança for adequada. Para fornecedores de nível 1-2, a recusa em fornecer evidências básicas de segurança é desqualificante. As alternativas incluem a solicitação de relatórios SOC 3 (resumos públicos), a verificação da página de segurança publicada, o uso de plataformas de classificação de segurança para avaliação externa e a realização de sua própria avaliação externa de segurança dos sistemas voltados ao público.

Com que frequência devemos reavaliar os fornecedores?

Os fornecedores críticos (Nível 1) devem ser reavaliados anualmente com monitoramento contínuo da classificação de segurança entre as avaliações. Fornecedores altos (Nível 2) anualmente sem monitoramento contínuo. Fornecedores médios (Nível 3) a cada dois anos. Fornecedores baixos (Nível 4) a cada três anos. Além disso, reavalie qualquer fornecedor imediatamente após uma violação relatada, alteração significativa na infraestrutura, aquisição ou degradação da classificação de segurança.

O que devemos fazer quando um fornecedor é violado?

Execute o procedimento de resposta a incidentes do fornecedor: entre em contato com a equipe de segurança do fornecedor para obter detalhes, avalie se seus dados foram afetados, ative seu próprio plano de resposta a incidentes se a exposição dos dados for confirmada, notifique os indivíduos e reguladores afetados conforme necessário, documente tudo para fins legais e de seguro e conduza uma revisão pós-incidente para determinar se o relacionamento com o fornecedor deve continuar.

Como gerenciamos o risco de terceiros (fornecedores de nossos fornecedores)?

Exija que os fornecedores de Nível 1 divulguem seus subprocessadores críticos e descrevam seu processo de avaliação de subprocessadores. Incluir notificação do subprocessador e direitos de aprovação nos contratos. Monitore as listas de subprocessadores em busca de alterações. Para relacionamentos de maior risco, realize avaliações independentes de subprocessadores críticos. Isso é particularmente importante para segurança na nuvem, onde seu fornecedor pode operar em infraestrutura compartilhada.

---

O que vem a seguir

A gestão de riscos de terceiros não é uma caixa de verificação de conformidade – é uma necessidade operacional em um ecossistema de negócios interconectado. Comece inventariando e hierarquizando seus fornecedores, avalie seus fornecedores críticos em relação a uma estrutura estruturada, incorpore requisitos de segurança em contratos e implemente monitoramento contínuo. Cada etapa reduz significativamente a probabilidade de sua próxima violação ocorrer por meio de um terceiro confiável.

A ECOSIRE aplica avaliações rigorosas de segurança do fornecedor em todas as integrações que implantamos. Nossos conectores de mercado Odoo ERP são avaliados quanto à segurança antes da implantação, nossas integrações de IA do OpenClaw implementam a verificação de webhook assinada por HMAC e nossas implementações do Shopify auditam o escopo de permissão de cada aplicativo instalado. Entre em contato com nossa equipe para criar um programa de gerenciamento de riscos de fornecedores que proteja seus negócios.

---

Publicado por ECOSIRE --- ajudando empresas a escalar com soluções baseadas em IA em Odoo ERP, Shopify eCommerce e OpenClaw AI.