Vazamentos via fornecedores custam mais caro e levam quase dez meses para serem identificados; especialista alerta que a proteção de perímetro não impede o uso de credenciais roubadas na dark web
À medida que as corporações reforçam a proteção de suas redes internas com investimentos milionários em cibersegurança, o crime cibernético mudou de tática. A nova estratégia consiste em entrar pela “porta dos fundos” das organizações, explorando a infraestrutura de fornecedores e prestadores de serviço terceirizados.
O movimento transformou a cadeia de suprimentos (supply chain) na principal vulnerabilidade do ecossistema B2B. Dados do setor indicam a dimensão do problema: um estudo da SecurityScorecard aponta que 98% das organizações globais mantêm conexão direta com ao menos um parceiro comercial que já sofreu incidentes de dados.
Paralelamente, o relatório Cost of a Data Breach, desenvolvido pela IBM com o Instituto Ponemon, aponta que invasões originadas na rede de fornecedores custam 11% a mais para serem corrigidas, levando em média 284 dias para serem totalmente identificadas e contidas.
Para Roberto Toscani, Diretor de Consultoria de Segurança da Informação e Privacidade da Tripla, a explicação para a tendência está na hiperconexão. Softwares de gestão, consultorias de RH, escritórios de contabilidade e prestadores de suporte técnico possuem acessos diretos e privilegiados aos ambientes dos contratantes.
“O conceito tradicional de perímetro de segurança cibernética caiu por terra. Hoje, um atacante raramente perde tempo tentando quebrar a criptografia de uma multinacional, sendo muito mais vantajoso identificar qual pequeno prestador de serviço tem acesso àquela rede, e então capturar suas credenciais de login em vazamentos prévios. Quando o invasor usa uma senha válida de um parceiro homologado, ele entra no sistema da empresa sem disparar nenhum alarme tradicional”, afirma Toscani.
Compliance de papel e responsabilidade perante a ANPD
Outro obstáculo identificado é a dependência do chamado “compliance de papel”. É comum que grandes companhias limitem a gestão de risco de terceiros à assinatura de contratos com cláusulas genéricas sobre a Lei Geral de Proteção de Dados (LGPD) ou ao envio de questionários formais no momento da contratação.
No entanto, perante a legislação brasileira e a fiscalização da Autoridade Nacional de Proteção de Dados (ANPD), a responsabilidade da empresa contratante, na condição de controladora das informações, permanece ativa.
“Contratos e questionários em PDF trazem uma ilusão de proteção jurídica, mas não impedem o vazamento de um banco de dados. É possível terceirizar o processamento de uma operação ou o suporte de TI, mas a responsabilidade sobre os dados e o prejuízo reputacional gerado por uma crise de imagem não são terceirizáveis”, ressalta o especialista.
Gestão contínua de riscos de terceiros
Para conter a exposição na cadeia de parceiros, Toscani orienta que o caminho exige uma evolução do compliance pontual para um modelo contínuo de gestão de risco de terceiros (Third-Party Risk Management).
Entre as medidas recomendadas estão o mapeamento e catalogação de todos os acessos externos ativos, o monitoramento preventivo sobre a presença de credenciais de parceiros na dark web e o condicionamento de integrações de sistemas a verificações constantes de governança de dados.
“A segurança de uma corporação só será devidamente definida e testada pela maturidade do fornecedor mais vulnerável ao qual ela decide se conectar”, conclui Roberto Toscani.