Os cibercriminosos encontraram outra maneira de entrar: seus fornecedores

Os fornecedores terceirizados tornaram-se uma parte essencial dos negócios, mas também apresentam riscos cibernéticos significativos. E, de acordo com Spencer Timmel, chefe de seguros cibernéticos da Segurança Nacionalo risco do fornecedor está se tornando rapidamente uma preocupação principal para muitas organizações atualmente, com repercussões potencialmente de longo alcance.

“Os invasores estão cada vez mais vendo os fornecedores como uma rota mais eficiente para atingir seus alvos finais”, disse ele ao IB. “Em vez de atacar diretamente uma organização bem defendida, um agente de ameaça pode comprometer um fornecedor de software, uma plataforma de nuvem, um fornecedor de serviços gerenciados, uma empresa de folha de pagamento, um administrador de sinistros ou outro parceiro que tenha acesso confiável a vários clientes. Isso cria um efeito multiplicador: um fornecedor comprometido pode expor centenas ou até milhares de organizações.”

Risco do fornecedor; uma questão de segurança cibernética e uma questão de resiliência empresarial

O Relatório de investigações de violação de dados de 2026 da Verizon descobriu o envolvimento de terceiros em 48% das violações em seu conjunto de dados, supostamente representando um aumento de 60% em relação ao ano anterior. Além disso, o relatório também identificou a exploração de vulnerabilidades como um dos principais pontos de entrada para violações, sublinhando o risco criado por software amplamente implantado e sistemas voltados para a Internet.

De acordo com Timmel, existem várias tendências que contribuem para o problema global, incluindo;

• Maior dependência de serviços em nuvem, software como serviço e operações terceirizadas de tecnologia.
• Aumento do uso de fornecedores com acesso privilegiado à rede ou acesso a informações confidenciais.
• Risco de concentração, onde muitas organizações dependem dos mesmos fornecedores de tecnologia.
• Visibilidade limitada de terceiros e outros subcontratados.
• Correção atrasada de vulnerabilidades em sistemas gerenciados por fornecedores.
• Roubo de credenciais envolvendo contas de fornecedores, ferramentas de acesso remoto e contas de serviço.
• Ataques de ransomware que perturbam os clientes de um fornecedor mesmo quando os dados do cliente não são roubados diretamente.

“O risco do fornecedor tornou-se, portanto, tanto uma questão de segurança cibernética como uma questão de resiliência empresarial”, acrescentou Timmel. “Um incidente com um fornecedor pode interromper operações críticas, comprometer informações confidenciais, criar obrigações regulatórias e prejudicar a confiança do cliente. A orientação do NIST trata o gerenciamento de riscos da cadeia de suprimentos de segurança cibernética como uma disciplina que abrange toda a empresa, cobrindo o ciclo de vida de produtos e serviços, em vez de simplesmente uma lista de verificação de aquisição concluída antes da assinatura de um contrato.”

‘A supervisão do fornecedor deve ser baseada no risco’

Ao trabalhar com fornecedores terceirizados, as obrigações de privacidade e os requisitos contratuais de proteção de dados devem ser uma consideração importante. Segundo Timmel, um dos maiores desafios é manter a visibilidade e o controle das informações pessoais depois que elas saem do ambiente direto da organização.

“As empresas podem saber que um fornecedor primário recebe dados, mas nem sempre sabem onde esses dados estão armazenados, quais os funcionários que podem aceder aos mesmos, se são utilizados para fins secundários ou quais os subcontratantes que os recebem”, alertou.

Os desafios comuns que envolvem a privacidade incluem questões relacionadas com o mapeamento de dados e a transparência, com as organizações muitas vezes sem um inventário completo das informações pessoais partilhadas com os fornecedores.

“Há também questões relacionadas com requisitos legais e contratuais sobrepostos e por vezes conflituantes”, acrescentou Timmel. “Uma relação com um único fornecedor pode estar sujeita a leis estaduais de privacidade, regras específicas do setor, requisitos contratuais e leis internacionais de proteção de dados. Os requisitos relativos ao consentimento, aos direitos do consumidor, à comunicação de violações, à localização de dados e às transferências transfronteiriças podem variar substancialmente.”

Timmel também listou a supervisão do subprocessador, minimização e retenção de dados, notificação de incidentes e uso de IA como principais desafios. Para ajudar a reduzir potenciais riscos cibernéticos ou relacionados com a privacidade, as organizações devem tomar medidas preventivas para melhorar a devida diligência, em vez de resolver os problemas apenas após a ocorrência de um incidente.

“A supervisão do fornecedor deve ser baseada no risco”, aconselhou Timmel. “Uma empresa não deve aplicar a mesma revisão a um fornecedor de material de escritório e a um fornecedor de nuvem que armazena informações confidenciais de clientes ou oferece suporte a um processo operacional crítico.”

A importância da devida diligência contínua

Antes da integração, Timmel sugere que as organizações devem primeiro classificar o fornecedor de acordo com;

• A sensibilidade e o volume de informações envolvidas.
• O nível de acesso à rede ou ao sistema do fornecedor.
• A importância operacional do serviço.
• O efeito potencial de uma interrupção.
• As localizações geográficas nas quais as informações serão processadas.
• O uso de subcontratados pelo fornecedor.
• Se o relacionamento está sujeito a requisitos regulatórios específicos.

E, para fornecedores que apresentam riscos significativos, a devida diligência essencial deve incluir:

• Documentação de segurança e privacidade. Revise relatórios e certificações de auditoria independentes quando apropriado, como relatórios SOC ou certificações ISO relevantes. Estas devem complementar – e não substituir – uma avaliação baseada no risco.
• Validação de controle. Avalie controles como autenticação multifatorial, criptografia, gerenciamento de vulnerabilidades, detecção de endpoint, registro em log, desenvolvimento seguro de software, revisões de acesso, segmentação de rede e proteção de backup.
• Revisão da governança de dados. Documente exatamente quais informações o fornecedor receberá, por que são necessárias, onde serão armazenadas, por quanto tempo serão retidas e se serão compartilhadas com subprocessadores.
• Análise de continuidade de negócios. Avalie os recursos de recuperação, a arquitetura de backup, os objetivos de recuperação, as comunicações de crise e as alternativas da organização caso o fornecedor fique indisponível.

“As disposições sobre incidentes são especialmente importantes”, acrescentou Timmel. “Os contratos devem estabelecer um período claro e adequadamente curto para relatar suspeitas de eventos de segurança – e não apenas violações legais confirmadas – e exigir que o fornecedor, quando apropriado, preserve as evidências, forneça atualizações regulares e coopere com atividades forenses, legais, regulatórias e de notificação.”

Não eliminando o risco, mas entendendo onde ele reside

Olhando para os próximos meses, as organizações deverão continuar a evoluir juntamente com o cenário de risco. Como o cibercrime não pára, as práticas de gestão de riscos cibernéticos e de seguros cibernéticos devem continuar a adaptar-se.

“As organizações devem se preparar agora, desenvolvendo um inventário confiável de fornecedores, identificando relacionamentos críticos e de alto risco, documentando dependências de terceiros e atribuindo propriedade clara”, acrescentou Timmel. “Eles também devem padronizar os requisitos contratuais, estabelecer procedimentos mensuráveis ​​de aceitação de riscos e construir processos para reavaliar continuamente os fornecedores.”

“O objetivo não deveria ser eliminar todos os riscos de terceiros, o que não é realista. Deveria ser compreender onde a organização é dependente, reduzir a exposição evitável, preparar-se para falhas do fornecedor e tomar decisões informadas sobre o risco que permanece.”

O seguro contra riscos cibernéticos da Safety National foi projetado para proteger grandes empresas contra riscos globais de segurança e privacidade da rede. O programa reembolsa danos e perdas financeiras decorrentes de incidentes acidentais ou maliciosos envolvendo redes de computadores, software e dados. As opções de cobertura abordam uma ampla gama de exposições, incluindo responsabilidade, interrupção de negócios, danos à reputação, penalidades regulatórias e muito mais. Este programa também promove a preparação e a resposta eficaz a incidentes através de uma rede estabelecida de fornecedores de segurança cibernética e violação de privacidade. A estrutura organizacional da Safety National permite que decisões de subscrição e sinistros sejam tomadas de forma rápida e ponderada. A Safety National é membro do Marinha de Tóquio Grupo e é classificado como A++ (Superior), XV pela A.M. Melhor.

Este artigo foi criado em parceria com a Safety National