A maioria das empresas não depende apenas de sistemas internos. Elas funcionam com plataformas em nuvem, provedores de folha de pagamento, ferramentas de marketing, parceiros de TI e dezenas de contas SaaS que mantêm o trabalho diário em andamento. Cada fornecedor resolve um problema e cada um também cria uma nova relação de confiança.
O gerenciamento de riscos de fornecedores (VRM) é o processo de avaliar, aprovar, monitorar e revisar os riscos de segurança que surgem do trabalho com terceiros. Ele ajuda as empresas a entender quais fornecedores podem acessar sistemas ou dados sensíveis, quais controles esses fornecedores têm em vigor, se suas práticas de segurança são sólidas o suficiente para justificar esse acesso e com que rapidez o acesso pode ser alterado se um contrato terminar ou um incidente ocorrer.
Vamos explicar como abordar o gerenciamento de riscos de fornecedores dentro da sua própria empresa: como avaliar os fornecedores com quem você já trabalha, como classificar o risco de fornecedores terceiros, o que incluir em uma lista de verificação de segurança de fornecedores e como controlar as credenciais de fornecedores antes que se tornem uma exposição de longo prazo.
O que o gerenciamento de riscos de fornecedores abrange
Seu guia para o gerenciamento de riscos de fornecedores
Lista de verificação de segurança de fornecedores
Como o Proton Pass for Business dá suporte ao controle de acesso de fornecedores
O que o gerenciamento de riscos de fornecedores abrange
O gerenciamento de riscos de fornecedores se baseia em um princípio simples: toda parte externa que toca seus dados, sistemas ou processos de negócios altera seu perfil de risco.
A maior parte do risco de fornecedores é criada pelo trabalho cotidiano. Por exemplo, uma agência terceira pode ser integrada à rede de uma empresa porque uma equipe precisa de agilidade, conhecimento especializado ou software que a empresa não tem internamente. O acesso é concedido, os dados são compartilhados e a relação se estabelece como parte do trabalho cotidiano.
O risco é criado quando não está claro o que esse fornecedor pode acessar, quais controles se interpõem entre esse acesso e uma violação — autenticação multifator (MFA), contas nomeadas, criptografia — ou com que rapidez esse acesso pode ser encontrado e cortado. A revogação geralmente acontece dentro do próprio sistema ou por meio do provisionamento SCIM; a parte difícil para a maioria das empresas é saber onde procurar de fato.
O fornecedor pode ser um grande provedor de nuvem, uma plataforma SaaS de nicho, um desenvolvedor freelancer ou um escritório de contabilidade. O tamanho e o setor do fornecedor não são o problema principal. O acesso dele é.
O risco de fornecedores se manifesta de várias maneiras diferentes:
- Risco de dados: o fornecedor pode visualizar, armazenar, processar, transferir ou excluir dados comerciais ou pessoais.
- Risco de acesso: o fornecedor pode iniciar sessão em sistemas, gerenciar configurações, usar integrações ou acessar painéis de administrador.
- Risco operacional: a empresa depende do fornecedor para um fluxo de trabalho crítico, um serviço ou um processo voltado ao cliente.
- Risco de conformidade: a função do fornecedor afeta suas obrigações segundo leis de proteção de dados (como os requisitos de conformidade com o GDPR), contratuais ou específicos do setor.
- Risco de credenciais: o acesso do fornecedor é compartilhado, reutilizado, não documentado ou difícil de revogar.
O risco de fornecedores é difícil de identificar porque muitas vezes se acumula por meio de pequenas escolhas de acesso que fazem sentido no momento: um membro da equipe compartilha um início de sessão que não deveria, ou uma conta de fornecedor mantém permissões por conveniência, ou uma permissão de prestador de serviços que ninguém revisa depois que o projeto termina. Com o tempo, essas exceções se tornam parte do ambiente da empresa, mesmo quando ninguém as está gerenciando ativamente.
Como criar um processo de gerenciamento de riscos de fornecedores (VRM)
Feito de forma eficaz, o gerenciamento de riscos de fornecedores não torna cada decisão mais complicada. Ele cria uma estrutura confiável para como sua empresa concede acesso com limites mais claros. Vamos explorar as principais etapas que sua empresa pode seguir para avaliar seu próprio risco de fornecedores e criar uma estratégia de gerenciamento de riscos.
1. Monte um inventário dos seus fornecedores
Em vez de deixar o gerenciamento de riscos de fornecedores se tornar uma tarefa reativa quando pedem evidências de segurança ou na renovação de um contrato, torne-o uma tarefa proativa. Comece entendendo os fornecedores que já fazem parte das suas operações.
Fazer um inventário de fornecedores não precisa ser complexo. Precisa ser claro o suficiente para mostrar:
- Quem é responsável pela relação
- Qual serviço o fornecedor oferece
- A quais sistemas ou dados eles podem acessar
- Se dados pessoais estão envolvidos
- Se subprocessadores são usados
- Quando vence o próximo contrato ou revisão de segurança
O acesso é um componente crucial a registrar, porque os fornecedores têm privilégios e necessidades de acesso diferentes. Alguns fornecedores usam contas nomeadas. Outros dependem de credenciais compartilhadas, acesso de administrador, chaves de API, caixas de entrada compartilhadas ou inícios de sessão temporários que permanecem ativos muito depois de a necessidade original ter passado. Essas diferenças importam porque determinam com que rapidez o acesso pode ser alterado durante o desligamento ou um incidente.
O inventário também deve incluir fornecedores menores que podem estar fora do processo formal de compras. Um plug-in, consultor, desenvolvedor freelancer, agência ou serviço SaaS especializado pode criar exposição significativa se tocar em dados sensíveis ou fluxos de trabalho críticos.
O principal valor de um inventário é criar melhores controles de acesso. Quando uma relação com um fornecedor termina, sua empresa sabe quais contas desativar, quais credenciais rotacionar, quais integrações remover e o que deve acontecer com os dados armazenados.
2. Classifique os fornecedores por risco, não por conveniência
Depois de mapear seus fornecedores, agrupe-os pelo risco que representam. Isso mantém o processo proporcional e evita tratar cada fornecedor como inofensivo ou crítico.
Fornecedores de alto risco geralmente processam dados sensíveis, dão suporte a operações essenciais ou detêm acesso privilegiado. Isso pode incluir infraestrutura em nuvem, plataformas de identidade, folha de pagamento, finanças, sistemas de RH, TI gerenciada, serviços de segurança ou plataformas SaaS essenciais.
Fornecedores de risco moderado dão suporte a trabalhos importantes, mas têm acesso mais restrito. Podem incluir plataformas de colaboração, ferramentas de análise, sistemas de gerenciamento de projetos, software de help desk ou agências com permissões limitadas.
Fornecedores de baixo risco têm pouco ou nenhum acesso a dados sensíveis ou sistemas críticos para os negócios. Ainda devem ser registrados, mas não precisam da mesma profundidade de revisão, a menos que sua função mude.
A classificação deve seguir o acesso real, não a reputação, o tamanho ou o preço do fornecedor. Uma plataforma conhecida pode se tornar de alto risco se armazenar dados sensíveis. Um pequeno prestador de serviços pode ter alto risco se detiver privilégios de administrador.
Use a classificação de risco para decidir com que profundidade avaliar o fornecedor, com que frequência revisar a relação e quais controles mínimos se aplicam.
3. Defina os requisitos de segurança antes de conceder o acesso
As avaliações de fornecedores funcionam melhor quando a empresa conhece seus requisitos mínimos antes de o acesso ser aprovado.
Para fornecedores de alto risco, esses requisitos devem abranger os controles que protegem os dados e mantêm o acesso responsável: MFA, criptografia em trânsito e em repouso, controle de acesso baseado em função, registros de auditoria, procedimentos de resposta a incidentes, gerenciamento de vulnerabilidades, controles de subprocessadores, compromissos de exclusão de dados e planejamento de continuidade de negócios.
As evidências de segurança podem dar suporte a essa revisão. ISO 27001, SOC 2, esquemas nacionais como o Cyber Essentials no Reino Unido, resumos de testes de penetração ou whitepapers de segurança podem todos ajudar, dependendo da função do fornecedor e da sensibilidade da relação.
As certificações e os relatórios de auditoria descrevem como um fornecedor opera. Dizem muito menos sobre quem o fornecedor realmente é. Uma investigação recente sobre a segurança do Passwork prova que essa distinção importa: um registro europeu, um site bem elaborado e uma mensagem de “feito para gerar confiança” foram suficientes para passar no critério de organizações que nunca rastrearam a propriedade, a jurisdição ou a origem do código que estavam instalando.
Para qualquer fornecedor que detenha acesso sensível, duas perguntas devem acompanhar a lista de verificação de controles: quem é dono da empresa e a controla, e sob as leis de qual país ela opera; e especialistas independentes podem inspecionar o código, ou a empresa está confiando em um sistema fechado apenas pela palavra do fornecedor?
Fornecedores de risco moderado podem precisar de uma revisão mais leve, mas ainda devem ser capazes de explicar como protegem contas, restringem o acesso de funcionários, tratam os dados, notificam os clientes sobre incidentes e removem o acesso quando a relação termina.
Para fornecedores de baixo risco, a principal verificação pode ser se realmente não têm acesso a sistemas sensíveis ou dados pessoais. Se isso mudar, o fornecedor deve ser reavaliado.
Um bom processo é rigoroso onde o risco é alto e leve onde o risco é genuinamente baixo. Ele não deve transformar cada revisão de fornecedor em uma auditoria empresarial, mas deve impedir que o acesso sensível seja aprovado apenas com base na confiança.
4. Monitore fornecedores após a integração
Fornecedores mudam seus sistemas, subprocessadores, políticas, equipes e controles de segurança. Sua empresa também pode conceder mais acesso a eles com o tempo. Sem monitoramento, sua avaliação original fica desatualizada.
Um processo prático de monitoramento pode incluir revisões anuais para fornecedores de alto e médio risco, verificações antes da renovação de contrato, reavaliação quando o acesso aumenta e revisão após qualquer incidente relatado. Fornecedores críticos podem precisar de verificações de acesso mais frequentes.
O monitoramento deve incluir a camada de credenciais. Verifique se as contas de fornecedores ainda pertencem a contatos ativos, se as permissões correspondem ao escopo atual, se ainda existem credenciais compartilhadas e se integrações ou chaves de API ainda são necessárias.
É aqui que muitas empresas encontram exposição evitável: contas antigas de agências, inícios de sessão de prestadores não utilizados, senhas compartilhadas que ninguém assume, integrações criadas para um projeto antigo e permissões de administrador concedidas por conveniência.
O risco de fornecedores também faz parte do planejamento de continuidade. Se um fornecedor crítico ficar indisponível, relatar uma violação ou forçar mudanças de acesso emergenciais, a empresa precisa de uma forma de manter o trabalho essencial em andamento. O guia da Proton sobre estratégias de continuidade de negócios explica por que a resiliência depende de mais do que backups, especialmente quando acesso e credenciais estão envolvidos.
5. Controle credenciais de terceiros
Muitos programas de risco de fornecedores parecem sólidos no papel e depois falham no nível das credenciais. Um fornecedor pode parecer em conformidade no papel e ainda criar exposição pela forma como o acesso é tratado no dia a dia.
O risco existe na lacuna entre o processo formal e o real: credenciais armazenadas fora dos sistemas aprovados, contas compartilhadas sem responsável definido ou chaves de API que permanecem ativas após a mudança na relação com o fornecedor.
Se esses caminhos de acesso não forem revisados e revogados, a empresa pode continuar carregando o risco do fornecedor muito depois de o trabalho original ter terminado.
O acesso de terceiros deve seguir a mesma disciplina e usar as mesmas políticas de senha que o acesso interno:
- Conceda aos fornecedores apenas o acesso necessário
- Use contas nominais sempre que possível
- Evite credenciais compartilhadas, a menos que não haja alternativa
- Armazene credenciais compartilhadas em um sistema controlado de gerenciamento de credenciais
- Compartilhe arquivos com fornecedores por meio de armazenamento em nuvem para empresas criptografado, com links que expiram, e não por anexos de e-mail
- Revise o acesso regularmente
- Revogue o acesso quando o trabalho terminar
- Troque as credenciais após mudanças na equipe do fornecedor ou incidentes
- Exija MFA sempre que o serviço oferecer suporte
Um gerenciador de senhas para empresas facilita a implementação dessas regras. Ele oferece às equipes um lugar seguro para armazenar credenciais de fornecedores, compartilhar acesso sem enviar senhas por chat ou e-mail, trocar senhas e remover o acesso quando a relação com um fornecedor termina.
Sua lista de verificação de segurança de fornecedores
Uma lista de verificação de segurança de fornecedores deve ajudar sua empresa a integrar novos fornecedores com segurança.
Use-a para entender a relação com clareza:
- Que dados o fornecedor acessará, processará ou armazenará?
- O fornecedor processará dados pessoais em nosso nome?
- O fornecedor assinará um acordo de processamento de dados (DPA) e excluirá nossos dados quando o contrato terminar?
- Onde os dados serão armazenados e processados?
- O fornecedor usa subprocessadores?
- O fornecedor exige MFA?
- Como o fornecedor controla o acesso dos funcionários aos dados dos clientes?
- Nossa empresa pode atribuir permissões baseadas em funções?
- O acesso pode ser removido imediatamente?
- O fornecedor fornece registros de auditoria ou relatórios de atividade do administrador?
- Como o fornecedor criptografa os dados?
- Com que rapidez o fornecedor nos notificará sobre um incidente de segurança?
- O fornecedor tem procedimentos de continuidade de negócios ou recuperação de desastres?
- O fornecedor pode fornecer documentação de segurança, certificações ou resumos de auditoria?
- O fornecedor já passou por um incidente de segurança divulgado publicamente e como lidou com ele?
- Quem possui e controla a empresa e sob qual jurisdição ela opera?
- O produto é de código aberto ou auditado de forma independente, para que suas alegações de segurança possam ser verificadas?
A lista de verificação deve mostrar qualquer risco que sua empresa esteja assumindo. Um fornecedor sem certificação formal ainda pode ser adequado para trabalhos de baixo risco. Um fornecedor com acesso de administrador, autenticação fraca, prazos de incidentes vagos ou nenhum processo claro de exclusão é uma decisão completamente diferente.
Para fornecedores já em uso, retome a lista de verificação durante renovações e revisões programadas. A aprovação original pode não refletir mais a forma como a ferramenta é usada hoje. Um fornecedor trazido para um projeto pequeno pode, silenciosamente, se tornar parte das operações com clientes, dos fluxos financeiros ou de integrações críticas.
Como o Proton Pass for Business ajuda no controle de acesso de fornecedores
O gerenciamento de risco de fornecedores se torna muito mais difícil quando o acesso de terceiros é gerenciado fora de um sistema controlado. Um fornecedor pode estar aprovado, documentado e coberto por contrato, mas a exposição real geralmente depende dos caminhos de acesso do dia a dia: credenciais compartilhadas, permissões, chaves de acesso, códigos de recuperação, chaves de API e contas que precisam ser revisadas ou removidas à medida que a relação muda.
Um gerenciador de senhas para empresas como o Proton Pass for Business ajuda as empresas a trazer esse acesso para um processo mais seguro e auditável. As equipes podem armazenar credenciais de fornecedores em cofres criptografados de ponta a ponta, gerar senhas fortes e exclusivas, usar o preenchimento automático para reduzir o manuseio manual, gerenciar chaves de acesso e compartilhar acesso sem enviar senhas por e-mail, chat ou documentos de projeto.
Especificamente para o acesso de fornecedores, os cofres compartilhados podem ajudar a separar credenciais por fornecedor, projeto, equipe ou nível de sensibilidade. Isso facilita manter o acesso organizado, revisar quem tem acesso a quê e remover o acesso quando um contrato termina, um contato do fornecedor muda ou um incidente exige contenção rápida.
Um gerenciador de senhas para equipes de TI adiciona a camada administrativa necessária à medida que o processo se torna mais formal. Políticas, relatórios, registros, controle de acesso baseado em funções, provisionamento SCIM e integração de logon único ajudam as empresas a gerenciar o acesso de forma consistente entre as equipes, em vez de depender de hábitos individuais.
O Proton Pass for Business apoia sua empresa ao controlar as credenciais e os caminhos de acesso que os fornecedores usam para trabalhar com sua empresa. Ele também é de código aberto e auditado de forma independente, então passa na mesma lista de verificação que recomendamos aplicar aos seus próprios fornecedores. Quando o acesso de fornecedores é armazenado, compartilhado, revisado e revogado em um ambiente controlado, o risco de fornecedores se torna mais fácil de gerenciar além da avaliação inicial.
Controle o acesso de credenciais de terceiros com segurança usando um gerenciador de senhas para empresas.
