A maioria das empresas não depende apenas de sistemas internos. Funciona com plataformas na nuvem, fornecedores de processamento salarial, ferramentas de marketing, parceiros de tecnologias de informação e dezenas de contas SaaS que mantêm o trabalho diário a avançar. Cada fornecedor resolve um problema e cada um também cria uma nova relação de confiança.
A gestão do risco de fornecedores (VRM) é o processo de avaliar, aprovar, monitorizar e rever os riscos de segurança que resultam do trabalho com terceiros. Ajuda as empresas a compreender que fornecedores podem aceder a sistemas ou dados sensíveis, que controlos têm esses fornecedores implementados, se as suas práticas de segurança são suficientemente sólidas para justificar esse acesso e com que rapidez o acesso pode ser alterado se um contrato terminar ou ocorrer um incidente.
Vamos explicar como abordar a gestão do risco de fornecedores na sua empresa: como avaliar os fornecedores com quem já trabalha, como classificar o risco de fornecedores terceiros, o que incluir numa lista de verificação de segurança de fornecedores e como controlar as credenciais de fornecedores antes que se tornem uma exposição de longo prazo.
O que abrange a gestão do risco de fornecedores
O seu guia para a gestão do risco de fornecedores
A sua lista de verificação de segurança de fornecedores
Como o Proton Pass for Business apoia o controlo de acesso de fornecedores
O que abrange a gestão do risco de fornecedores
A gestão do risco de fornecedores assenta num princípio simples: qualquer parte externa que toque nos seus dados, sistemas ou processos empresariais altera o seu perfil de risco.
A maioria do risco de fornecedores é criada pelo trabalho quotidiano. Por exemplo, uma agência terceira pode ser integrada numa rede empresarial porque uma equipa precisa de rapidez, conhecimentos especializados ou software que a empresa não tem internamente. O acesso é concedido, os dados são partilhados e a relação é estabelecida como parte do trabalho quotidiano.
O risco é criado quando não é claro a que esse fornecedor pode aceder, que controlos existem entre esse acesso e um incidente — autenticação multifator (MFA), contas nominais, encriptação — ou com que rapidez esse acesso pode ser detetado e cortado. A revogação ocorre normalmente dentro do próprio sistema ou através do aprovisionamento SCIM; a parte difícil para a maioria das empresas é saber onde procurar efetivamente.
O fornecedor pode ser um grande fornecedor de nuvem, uma plataforma SaaS de nicho, um programador independente ou uma empresa de contabilidade. A dimensão e o setor do fornecedor não são o problema principal. O seu acesso é.
O risco de fornecedores manifesta-se de várias formas diferentes:
- Risco de dados: O fornecedor pode ver, armazenar, processar, transferir ou eliminar dados empresariais ou pessoais.
- Risco de acesso: O fornecedor pode iniciar sessão em sistemas, gerir definições, utilizar integrações ou aceder a painéis de administração.
- Risco operacional: A empresa depende do fornecedor para um fluxo de trabalho crítico, um serviço ou um processo orientado ao cliente.
- Risco de conformidade: O papel do fornecedor afeta as suas obrigações ao abrigo das leis de proteção de dados (como os requisitos de conformidade com o GDPR), contratuais ou específicos do setor.
- Risco de credenciais: O acesso do fornecedor é partilhado, reutilizado, não documentado ou difícil de revogar.
O risco de fornecedores é difícil de detetar porque muitas vezes surge de pequenas decisões de acesso que fazem sentido no momento: um membro da equipa partilha um início de sessão que não devia, ou uma conta de fornecedor mantém permissões por conveniência, ou uma permissão de contratante que ninguém revisita depois de o projeto terminar. Com o tempo, essas exceções tornam-se parte do ambiente empresarial, mesmo quando ninguém as está a gerir ativamente.
Como criar um processo de gestão do risco de fornecedores (VRM)
Quando bem executada, a gestão do risco de fornecedores não torna todas as decisões mais complicadas. Cria um quadro fiável para a forma como a sua empresa concede acesso com limites mais claros. Vamos explorar os passos essenciais que a sua empresa pode seguir para avaliar o seu próprio risco de fornecedores e criar uma estratégia de gestão de risco.
1. Crie um inventário dos seus fornecedores
Em vez de deixar que a gestão do risco de fornecedores se torne uma tarefa reativa quando lhe pedem provas de segurança ou quando renova um contrato, torne-a uma tarefa proativa. Comece por compreender os fornecedores que já fazem parte das suas operações.
Fazer um inventário de fornecedores não precisa de ser complexo. Precisa de ser suficientemente claro para mostrar:
- Quem é responsável pela relação
- Que serviço o fornecedor presta
- A que sistemas ou dados podem aceder
- Se estão envolvidos dados pessoais
- Se são utilizados subprocessadores
- Quando está prevista a próxima revisão do contrato ou de segurança
O acesso é um componente crucial a registar porque os fornecedores têm privilégios e necessidades de acesso diferentes. Alguns fornecedores utilizam contas nominais. Outros dependem de credenciais partilhadas, acesso de administrador, chaves de API, caixas de correio partilhadas ou inícios de sessão temporários que permanecem ativos muito depois de a necessidade original ter passado. Estas diferenças são importantes porque determinam com que rapidez o acesso pode ser alterado durante o processo de saída ou um incidente.
O inventário também deve incluir fornecedores mais pequenos que podem estar fora do processo formal de compras. Um plug-in, um consultor, um programador independente, uma agência ou um serviço SaaS especializado podem criar uma exposição significativa se tiverem contacto com dados sensíveis ou fluxos de trabalho críticos.
O principal valor de um inventário é criar melhores controlos de acesso. Quando uma relação com um fornecedor termina, a sua empresa sabe que contas desativar, que credenciais renovar, que integrações remover e o que deve acontecer aos dados armazenados.
2. Classifique os fornecedores por risco, não por conveniência
Depois de mapear os seus fornecedores, agrupe-os pelo risco que criam. Isto mantém o processo proporcional e evita tratar todos os fornecedores como inofensivos ou críticos.
Fornecedores de alto risco normalmente processam dados sensíveis, apoiam operações essenciais ou detêm acesso privilegiado. Isto pode incluir infraestrutura na nuvem, plataformas de identidade, processamento salarial, finanças, sistemas de recursos humanos, tecnologias de informação geridas, serviços de segurança ou plataformas SaaS essenciais.
Fornecedores de risco moderado apoiam trabalho importante, mas têm um acesso mais limitado. Podem incluir plataformas de colaboração, ferramentas de análise, sistemas de gestão de projetos, software de apoio ao cliente ou agências com permissões limitadas.
Fornecedores de baixo risco têm pouco ou nenhum acesso a dados sensíveis ou sistemas críticos para o negócio. Devem continuar a ser registados, mas não precisam da mesma profundidade de revisão, a menos que o seu papel mude.
O nível deve seguir o acesso real, não a reputação, dimensão ou preço do fornecedor. Uma plataforma familiar pode tornar-se de alto risco se armazenar dados sensíveis. Um pequeno contratante pode estar em alto risco se detiver privilégios de administrador.
Utilize o nível de risco para decidir com que profundidade avaliar o fornecedor, com que frequência rever a relação e que controlos mínimos se aplicam.
3. Defina os requisitos de segurança antes de conceder acesso
As avaliações de fornecedores funcionam melhor quando a empresa conhece os seus requisitos mínimos antes de o acesso ser aprovado.
Para fornecedores de alto risco, esses requisitos devem abranger os controlos que protegem os dados e garantem a responsabilização do acesso: MFA, encriptação em trânsito e em repouso, controlo de acesso baseado em funções, registos de auditoria, procedimentos de resposta a incidentes, gestão de vulnerabilidades, controlos de subprocessadores, compromissos de eliminação de dados e planeamento de continuidade do negócio.
As provas de segurança podem apoiar essa revisão. ISO 27001, SOC 2, esquemas nacionais como o Cyber Essentials no Reino Unido, resumos de testes de penetração ou whitepapers de segurança podem todos ajudar, dependendo do papel do fornecedor e da sensibilidade da relação.
As certificações e os relatórios de auditoria descrevem como um fornecedor opera. Dizem muito menos sobre quem o fornecedor é realmente. Uma investigação recente sobre a segurança do Passwork prova que esta distinção é importante: um registo europeu, um sítio web bem concebido e uma mensagem «construído para a confiança» foram suficientes para passar o crivo em organizações que nunca rastrearam a propriedade, a jurisdição ou a origem do código que estavam a instalar.
Para qualquer fornecedor que detenha acesso sensível, há duas perguntas que devem acompanhar a lista de verificação de controlos: quem é proprietário e controla a empresa e ao abrigo das leis de que país opera; e podem especialistas independentes inspecionar o código, ou a empresa está a confiar num sistema fechado apenas com a palavra do fornecedor?
Fornecedores de risco moderado podem precisar de uma revisão mais leve, mas devem ainda conseguir explicar como protegem as contas, restringem o acesso dos funcionários, tratam os dados, notificam os clientes de incidentes e removem o acesso quando a relação termina.
Para fornecedores de baixo risco, a principal verificação pode ser se realmente não têm acesso a sistemas sensíveis ou dados pessoais. Se isso mudar, o fornecedor deve ser reavaliado.
Um bom processo é rigoroso onde o risco é elevado e leve onde o risco é genuinamente baixo. Não deve transformar todas as revisões de fornecedores numa auditoria empresarial, mas deve impedir que o acesso sensível seja aprovado apenas com base na confiança.
4. Monitorize os fornecedores após a integração
Os fornecedores mudam os seus sistemas, subcontratantes, políticas, pessoal e controlos de segurança. A sua empresa também pode conceder-lhes mais acesso com o tempo. Sem monitorização, a avaliação inicial fica desatualizada.
Um processo de monitorização prático pode incluir revisões anuais para fornecedores de risco elevado e risco moderado, verificações antes da renovação do contrato, reavaliação quando o acesso aumenta e revisão após qualquer incidente comunicado. Os fornecedores críticos podem necessitar de verificações de acesso mais frequentes.
A monitorização deve incluir a camada de credenciais. Verifique se as contas dos fornecedores ainda pertencem a contactos ativos, se as permissões correspondem ao âmbito atual, se ainda existem credenciais partilhadas e se as integrações ou as chaves de API ainda são necessárias.
É aqui que muitas empresas encontram exposição evitável: contas antigas de agências, inícios de sessão de prestadores não utilizados, palavras-passe partilhadas que ninguém controla, integrações criadas para um projeto anterior e permissões de administrador concedidas por conveniência.
O risco de fornecedores também faz parte do planeamento de continuidade. Se um fornecedor crítico ficar indisponível, comunicar um incidente ou forçar alterações de acesso de emergência, a empresa precisa de uma forma de manter o trabalho essencial em curso. O guia da Proton sobre estratégias de continuidade de negócio explica porque é que a resiliência depende de mais do que cópias de segurança, especialmente quando estão envolvidos acessos e credenciais.
5. Controlar as credenciais de terceiros
Muitos programas de risco de fornecedores parecem sólidos no papel e depois falham ao nível das credenciais. Um fornecedor pode parecer em conformidade no papel e ainda assim criar exposição através da forma como o acesso é gerido no dia a dia.
O risco existe na lacuna entre o processo formal e o processo real: credenciais armazenadas fora dos sistemas aprovados, contas partilhadas sem um responsável claro ou chaves de API que permanecem ativas depois de a relação com o fornecedor mudar.
Se esses caminhos de acesso não forem revistos e revogados, a empresa pode continuar a carregar o risco do fornecedor muito depois de o trabalho inicial ter terminado.
O acesso de terceiros deve seguir a mesma disciplina e usar as mesmas políticas de palavras-passe que o acesso interno:
- Conceder aos fornecedores apenas o acesso de que necessitam
- Usar contas nominais sempre que possível
- Evitar credenciais partilhadas, a menos que não haja alternativa
- Armazenar as credenciais partilhadas num sistema controlado de gestão de credenciais
- Partilhar ficheiros com fornecedores através de armazenamento na nuvem para empresas encriptado com ligações que expiram, e não como anexos de e-mail
- Rever o acesso regularmente
- Revogar o acesso quando o trabalho termina
- Rodar as credenciais após mudanças de pessoal do fornecedor ou incidentes
- Exigir MFA sempre que o serviço a suporte
Um gestor de palavras-passe para empresas torna estas regras fáceis de implementar. Dá às equipas um local seguro para armazenar credenciais de fornecedores, partilhar acesso sem enviar palavras-passe por chat ou e-mail, rodar palavras-passe e remover o acesso quando uma relação com um fornecedor termina.
A sua lista de verificação de segurança de fornecedores
Uma lista de verificação de segurança de fornecedores deve ajudar a sua empresa a integrar novos fornecedores de forma segura.
Utilize-a para compreender claramente a relação:
- A que dados irá o fornecedor aceder, tratar ou armazenar?
- Irá o fornecedor tratar dados pessoais em nosso nome?
- Irá o fornecedor assinar um acordo de tratamento de dados (DPA) e eliminar os nossos dados quando o contrato terminar?
- Onde serão os dados armazenados e tratados?
- O fornecedor utiliza subcontratantes?
- O fornecedor aplica a MFA?
- Como controla o fornecedor o acesso dos funcionários aos dados dos clientes?
- Pode a nossa empresa atribuir permissões baseadas em cargos?
- O acesso pode ser removido de imediato?
- O fornecedor fornece registos de auditoria ou relatórios de atividade de administrador?
- Como encripta o fornecedor os dados?
- Com que rapidez irá o fornecedor notificar-nos de um incidente de segurança?
- O fornecedor tem procedimentos de continuidade de negócio ou de recuperação de desastres?
- Pode o fornecedor fornecer documentação de segurança, certificações ou resumos de auditoria?
- Já teve o fornecedor um incidente de segurança divulgado publicamente e como o geriu?
- Quem detém e controla a empresa e ao abrigo de que jurisdição opera?
- O produto é de código aberto ou auditado de forma independente, para que as suas alegações de segurança possam ser verificadas?
A lista de verificação deve mostrar qualquer risco que a sua empresa esteja a aceitar. Um fornecedor sem certificação formal pode ainda ser adequado para trabalho de baixo risco. Um fornecedor com acesso de administrador, autenticação fraca, prazos de incidentes vagos ou sem um processo de eliminação claro é uma decisão totalmente diferente.
Para fornecedores já em uso, volte a consultar a lista de verificação durante renovações e revisões agendadas. A aprovação inicial pode já não refletir a forma como a ferramenta é utilizada atualmente. Um fornecedor trazido para um pequeno projeto pode tornar-se silenciosamente parte das operações com clientes, dos fluxos de trabalho financeiros ou de integrações críticas.
Como o Proton Pass for Business apoia o controlo de acesso de fornecedores
A gestão do risco de fornecedores torna-se muito mais difícil quando o acesso de terceiros é gerido fora de um sistema controlado. Um fornecedor pode estar aprovado, documentado e abrangido por contrato, mas a exposição real depende muitas vezes dos caminhos de acesso do dia a dia: credenciais partilhadas, permissões, chaves de acesso, códigos de recuperação, chaves de API e contas que precisam de ser revistas ou removidas à medida que a relação muda.
Um gestor de palavras-passe para empresas como o Proton Pass for Business ajuda as empresas a integrar esse acesso num processo mais seguro e auditável. As equipas podem armazenar credenciais de fornecedores em cofres encriptados de ponto a ponto, gerar palavras-passe fortes e únicas, usar o preenchimento automático para reduzir o manuseamento manual, gerir chaves de acesso e partilhar acesso sem enviar palavras-passe por e-mail, chat ou documentos de projeto.
Especificamente para o acesso de fornecedores, os cofres partilhados podem ajudar a separar credenciais por fornecedor, projeto, equipa ou nível de sensibilidade. Isto facilita manter o acesso organizado, rever quem tem acesso ao quê e remover o acesso quando um contrato termina, um contacto do fornecedor muda ou um incidente exige uma contenção rápida.
Um gestor de palavras-passe para equipas de TI acrescenta a camada administrativa necessária à medida que o processo se torna mais formal. Políticas, relatórios, registos, controlo de acesso baseado em cargos, aprovisionamento SCIM e integração de início de sessão único ajudam as empresas a gerir o acesso de forma consistente entre equipas, em vez de dependerem de hábitos individuais.
O Proton Pass for Business apoia a sua empresa ao controlar as credenciais e os caminhos de acesso que os fornecedores utilizam para trabalhar com a sua empresa. É também de código aberto e auditado de forma independente, pelo que passa a mesma lista de verificação que recomendamos que aplique aos seus próprios fornecedores. Quando o acesso dos fornecedores é armazenado, partilhado, revisto e revogado a partir de um ambiente controlado, o risco de fornecedores torna-se mais fácil de gerir para além da avaliação inicial.
Controle o acesso às credenciais de terceiros de forma segura com um gestor de palavras-passe para empresas.
