CEO da Shield Security alerta para a importância da governança e do monitoramento contínuo de fornecedores
A segurança cibernética das empresas já não depende exclusivamente da proteção de seus próprios sistemas. Fornecedores de tecnologia, prestadores de serviços, plataformas em nuvem e desenvolvedores de software integram uma rede de dependências digitais na qual uma vulnerabilidade pode comprometer diversas organizações simultaneamente.
Segundo o Global Cybersecurity Outlook 2026, do Fórum Econômico Mundial publicado em janeiro de 2026, 65% das grandes empresas consideram as vulnerabilidades de terceiros e da cadeia de suprimentos um dos principais desafios à resiliência cibernética, ante 54% no levantamento anterior.
Para Vitor Villani, CEO da Shield Security, o problema exige uma mudança na maneira como as organizações administram os riscos associados aos parceiros comerciais.
“O problema está menos na quantidade de fornecedores e mais na dificuldade de compreender e acompanhar os riscos associados a cada elo da cadeia”, afirma Villani.
Segundo o executivo, mesmo organizações com controles internos robustos podem permanecer expostas por meio de fornecedores com acesso autorizado a dados sensíveis, sistemas e processos críticos.
Fornecedores podem se tornar pontos de entrada para ataques
Os ataques à cadeia de suprimentos, conhecidos como supply chain attacks, exploram vulnerabilidades em empresas, tecnologias e serviços utilizados por outras organizações.
Esses incidentes podem ocorrer por meio de softwares comprometidos, atualizações maliciosas, bibliotecas de código aberto, credenciais de fornecedores ou integrações entre sistemas.
Uma das principais fragilidades está na avaliação dos terceiros. Muitas organizações verificam a segurança dos fornecedores durante a contratação, mas deixam de acompanhar sua postura de proteção ao longo do relacionamento.
“Não basta saber quem são os fornecedores diretos. É necessário entender quais têm acesso a informações sensíveis, quais são críticos para a operação e, quando possível, quais dependências relevantes existem além do primeiro nível da cadeia”, explica Villani.
A recomendação é classificar os fornecedores conforme sua criticidade, considerando o acesso a informações, a dependência operacional e os possíveis impactos de uma interrupção.
A análise anterior à contratação, conhecida como due diligence, deve verificar práticas de desenvolvimento seguro, histórico de incidentes, certificações, auditorias e políticas de proteção de dados.
Contratos e acordos de nível de serviço (SLAs) também precisam definir requisitos de autenticação, criptografia, atualização de sistemas e comunicação de incidentes de segurança.
Identidade digital e controle de acessos ganham importância
A gestão dos riscos de terceiros está diretamente relacionada à proteção das identidades digitais.
Prestadores de serviços podem utilizar contas administrativas, certificados digitais, credenciais de acesso remoto e interfaces de programação de aplicações (APIs) para interagir com os ambientes tecnológicos de seus clientes.
Quando esses acessos não são adequadamente administrados, credenciais legítimas podem ser exploradas por criminosos para alcançar sistemas corporativos.
Por isso, medidas como autenticação multifator, princípio do menor privilégio, segmentação de rede e revisão periódica de permissões precisam fazer parte das políticas de segurança envolvendo fornecedores.
O controle deve abranger também as chamadas identidades não humanas, utilizadas por aplicações, serviços automatizados e outros componentes tecnológicos que precisam se autenticar e acessar recursos digitais.
Essa dimensão ganha relevância com a expansão da computação em nuvem, das integrações entre plataformas e da inteligência artificial, que ampliam a quantidade de acessos automatizados nos ambientes corporativos.
Monitoramento contínuo e segurança de software
Outro ponto de atenção está nas dependências tecnológicas incorporadas aos sistemas empresariais.
Aplicações podem utilizar componentes desenvolvidos por terceiros, bibliotecas de código aberto e serviços externos cujas vulnerabilidades nem sempre são conhecidas pelas organizações que os utilizam.
Ferramentas de Software Composition Analysis (SCA) auxiliam na identificação de componentes de software e de vulnerabilidades conhecidas. Já soluções de Threat Intelligence podem contribuir para acompanhar ameaças e mudanças na exposição dos fornecedores.
Para Villani, a avaliação de segurança não pode terminar com a assinatura do contrato. Auditorias, verificações periódicas e processos de atualização devem acompanhar toda a relação comercial.
Governança exige participação de diferentes áreas
A proteção da cadeia de suprimentos também depende de decisões administrativas e da definição de responsabilidades.
“Governança é transformar cibersegurança em responsabilidade compartilhada. É preciso estabelecer quem avalia, quem aprova, quem monitora e quem responde quando um terceiro apresenta um incidente ou uma nova vulnerabilidade”, afirma Villani.
Essa atuação deve envolver tecnologia da informação, segurança, compras, jurídico, privacidade, compliance e áreas de negócio.
Além da prevenção, as empresas precisam estabelecer planos de resposta para incidentes envolvendo terceiros, com procedimentos de comunicação, contenção, investigação e recuperação.
O objetivo é evitar que a falha de um fornecedor comprometa operações essenciais ou provoque impactos prolongados em outras organizações.
“Não existe cadeia de suprimentos sem risco. O objetivo é conhecer os pontos críticos, reduzir a exposição e ter capacidade de resposta. Quanto maior a dependência de parceiros e tecnologias externas, mais estratégica se torna a governança desse ecossistema”, conclui o CEO da Shield Security.
O cenário reforça que a resiliência cibernética deixou de depender exclusivamente das barreiras de proteção de cada empresa. Ela passa também pela capacidade de identificar e administrar os riscos presentes em todo o ecossistema de fornecedores, tecnologias e serviços digitais.
Fonte: Shield Security e Global Cybersecurity Outlook 2026, do Fórum Econômico Mundial.
Leia também no Crypto ID
- A vulnerabilidade não está mais no código, mas em quem tem acesso a ele
- Riscos de Terceiros e a Nova Superfície de Ataque: por que 2026 exige outra postura de cibersegurança
- ID Talk | Sérgio Muniz e Thiago Diogo: Riscos de Terceiros na Gestão de Identidade e Acesso Desafiam o Mercado
- Caso Dígitro expõe risco, com ataques a fornecedores
- Segurança de identidades em evolução: NetAdmin apresenta o NIP
- Cibersegurança na cadeia de suprimentos: como proteger seu negócio de ataques
IAM: Segurança que vai além do acesso
Em um ambiente sem perímetro definido, é a identidade que define quem acessa, como acessa e até onde pode ir. E a disciplina se desdobra: o IGA governa e audita esses acessos, e o PAM protege os privilégios mais críticos. O Crypto ID, referência editorial em tecnologia e segurança digital, mantém conteúdo riquíssimo sobre IAM – Identity and Access Management e todo o seu ecossistema.
Acesse a coluna e confira.
