O elo mais caro da segurança corporativa brasileira não está dentro da empresa. Segundo o relatório Cost of a Data Breach, conduzido pelo Ponemon Institute com patrocínio da IBM a partir da experiência de 600 organizações no mundo, o comprometimento de terceiros e da cadeia de suprimentos respondeu por 15% das violações de dados no Brasil, com custo médio de R$ 8,98 milhões, o valor mais alto entre os vetores mapeados no país, acima do phishing, presente em 18% dos casos com custo de R$ 7,18 milhões, da exploração de vulnerabilidades, com 13% e R$ 7,61 milhões, e bem acima da média nacional de R$ 7,19 milhões por violação. O dado expõe uma assimetria que os contratos ainda tratam como detalhe e reforça a importância da gestão de riscos de terceiros: a empresa investe para proteger o próprio perímetro enquanto concede, a dezenas de fornecedores, acessos que atravessam esse perímetro por dentro.
A leitura dos relatórios de ameaças explica por que o atacante prefere esse caminho. A edição 2026 do State of Malware, da ThreatDown, descreve operadores de ransomware que encenam ataques a partir de sistemas não gerenciados e pontos cegos da rede, usando ferramentas legítimas e credenciais válidas para se mover sem disparar alertas.
O acesso remoto de um prestador de serviços é, por definição, uma credencial válida operando em um ponto que o time de segurança do contratante não administra, a combinação exata que esses grupos procuram. Comprometer um fornecedor com controles frágeis custa menos do que atacar diretamente uma empresa madura, e o mesmo fornecedor costuma abrir portas para vários clientes de uma vez.
Por que a gestão de riscos de terceiros se tornou prioridade de segurança
O custo superior das violações originadas em terceiros tem causas estruturais, não acidentais. A detecção demora mais, porque o comprometimento nasce fora da telemetria do contratante e só se torna visível quando o atacante já se moveu para dentro. A investigação é mais lenta e mais cara, porque depende de logs, cooperação e maturidade forense de outra organização, com outros advogados e outros incentivos.
E a contenção esbarra em fricção contratual: suspender o acesso de um fornecedor crítico no auge de um incidente significa, muitas vezes, parar um processo de negócio que depende dele, dilema que ninguém quer resolver pela primeira vez durante a crise. É justamente para antecipar e reduzir essas vulnerabilidades que a gestão de riscos de terceiros precisa fazer parte da estratégia de segurança da organização.
A dimensão jurídica agrava o quadro. Sob a LGPD, o controlador responde perante os titulares pelos danos causados no tratamento que contratou, e a escolha de um operador negligente compõe o juízo sobre a diligência do próprio controlador. O incidente do fornecedor é, para todos os efeitos práticos, um incidente da empresa: dela serão cobradas a comunicação à autoridade e aos titulares nos prazos regulamentares, a gestão da crise reputacional e a eventual indenização. Terceirizar a operação nunca terceirizou a responsabilidade, mas foi preciso o vetor ficar caro para essa assimetria sair do parecer jurídico e entrar na pauta executiva.
Há ainda o efeito de concentração setorial, particularmente relevante no mercado brasileiro de serviços. Consultorias, escritórios, provedores de tecnologia e operadores logísticos acumulam dados estratégicos e acessos privilegiados de carteiras inteiras de clientes, o que os transforma em alvos de alto rendimento: um único comprometimento bem-sucedido rende ao atacante múltiplas vítimas finais.
Esse cenário reforça a importância da gestão de riscos de terceiros, com processos capazes de avaliar continuamente a exposição associada a fornecedores e prestadores críticos. Empresas que figuram nessas carteiras precisam entender que sua exposição real é a soma da própria postura de segurança com a postura do elo mais frágil entre seus parceiros relevantes, uma parcela que raramente aparece nos painéis internos de risco, mas que pode ampliar significativamente a superfície de ataque.
Existe, por fim, um custo silencioso que antecede qualquer incidente. Cada fornecedor conectado adiciona integrações, contas, exceções de firewall e fluxos de dados ao ambiente, e o mesmo estudo do Ponemon Institute com a IBM quantificou o efeito dessa expansão ao apontar que a complexidade do sistema de segurança elevou, sozinha, o custo médio das violações no Brasil em cerca de R$ 725 mil.
A proliferação desordenada de terceiros não espera o ataque para cobrar seu preço: ela encarece desde já a operação de segurança, multiplica os pontos de falha de configuração e degrada a capacidade da equipe de distinguir o acesso legítimo do abusivo. É nesse cenário que a gestão de riscos de terceiros se torna essencial para controlar essa complexidade e reduzir uma superfície de exposição que cresce a cada nova relação com fornecedores.
Do questionário anual ao controle contínuo
O instrumento clássico de avaliação de fornecedores, o questionário de segurança respondido na contratação e revisitado, com sorte, uma vez por ano, foi desenhado para um risco estático que não existe mais. Ele fotografa declarações em um momento no qual todos têm incentivo para responder bem, não verifica quase nada de forma independente e envelhece no dia seguinte ao envio. A alternativa não é abolir a due diligence, e sim reposicioná-la como porta de entrada de um processo contínuo, no qual a intensidade do controle acompanha a criticidade do acesso concedido e não o valor do contrato, critério que ainda domina as áreas de compras.
A classificação por níveis resolve o problema da escala. Fornecedores com acesso a dados pessoais sensíveis, a sistemas produtivos ou a infraestrutura crítica ocupam o nível mais alto e justificam exigências proporcionais: certificação verificável em normas como a ISO/IEC 27001, tratada como sinal de maturidade e não como garantia absoluta, cláusulas com prazo definido de comunicação de incidente, direito de auditoria efetivamente exercido e participação nos testes de continuidade do contratante. Fornecedores de baixo risco seguem fluxo simplificado, liberando a equipe para concentrar profundidade nos vínculos que podem, de fato, derrubar a operação.
No plano técnico, a gestão de riscos de terceiros deve seguir um princípio orientador: reduzir o que cada terceiro consegue alcançar. Acessos nominais em vez de contas compartilhadas, privilégio mínimo revisado em ciclos curtos, segmentação que confine o fornecedor ao ambiente estritamente necessário, autenticação reforçada para todo acesso remoto e desligamento imediato de credenciais no encerramento do contrato compõem o básico que os relatórios de incidentes mostram ser, com frequência constrangedora, o elo ausente. A cadeia não termina no contrato direto: subcontratados do fornecedor, os chamados quartos, herdam acessos e fragilidades, e o contrato principal precisa alcançá-los com as mesmas obrigações.
Como estruturar um programa de gestão de riscos de terceiros
O programa começa por um inventário que a maioria das organizações nunca consolidou: a lista completa de terceiros com acesso a dados ou sistemas, o que exatamente cada um alcança, por qual via, com qual justificativa de negócio e sob qual contrato. Esse levantamento costuma revelar acessos órfãos de fornecedores já desligados, integrações esquecidas e concentrações de dependência que nenhuma área enxergava sozinha. Sem esse mapa, a gestão de riscos de terceiros opera às cegas, priorizando quem grita mais alto no processo de compras em vez de quem representa a maior superfície de ataque.
Sobre o inventário se constroem os ritos de ciclo de vida. A entrada de um novo fornecedor relevante passa por avaliação proporcional ao risco antes da assinatura, com requisitos de segurança tratados como condição comercial e não como anexo decorativo. A permanência é acompanhada por reavaliações periódicas, revisão de acessos e verificação do cumprimento das cláusulas de segurança. E o encerramento, etapa sistematicamente negligenciada, executa a devolução ou destruição certificada de dados e a revogação integral de credenciais. Cenários de falha de fornecedores críticos entram na análise de impacto e nos testes do plano de continuidade, porque a indisponibilidade de um prestador essencial produz o mesmo efeito operacional de um ataque direto.
Resta a pergunta de governança, que define se o programa existirá de verdade: quem é o dono. Compras administra contratos, tecnologia administra acessos, o jurídico administra cláusulas e o encarregado de dados administra a conformidade, e é exatamente essa distribuição que permite ao risco de terceiros escorrer entre as cadeiras.
Organizações maduras nomeiam uma instância responsável, com mandato para vetar contratações, exigir correções e reportar ao comitê executivo um indicador simples: quantos fornecedores críticos operam hoje fora do padrão definido e o que está sendo feito a respeito. Estruturas enxutas encontram em consultorias especializadas o caminho para implantar esse desenho sem inflar o quadro próprio.
Na gestão de riscos de terceiros, indicadores fecham o ciclo e mantêm o tema vivo entre um incidente e outro. Percentual de fornecedores críticos avaliados dentro do período, tempo médio de revogação de acessos após o encerramento de contratos, número de acessos privilegiados de terceiros revisados no trimestre e aderência dos contratos vigentes às cláusulas mínimas de segurança formam um painel que qualquer comitê executivo compreende sem tradução técnica.
Mais do que medir, esses números criam uma rotina de acompanhamento e cobrança que impede o programa de regredir ao questionário anual, destino natural de iniciativas de risco que perdem patrocínio depois do susto que as originou.
A consequência prática desse cenário já se desenha nas relações comerciais. À medida que o vetor de terceiros encarece, as empresas contratantes transferem a pressão para a ponta de baixo da cadeia, e a postura de segurança deixa de ser tema interno para virar critério de seleção de parceiros, ao lado de preço e prazo. O questionário detalhado, a exigência de certificação e a cláusula de auditoria que sua empresa hesita em enviar aos próprios fornecedores são os mesmos documentos que um grande cliente, neste momento, prepara para enviar a ela. Nesse contexto, a gestão de riscos de terceiros passa a influenciar não apenas a proteção da organização, mas também sua capacidade de atender às exigências de segurança de clientes e parceiros, e a resposta que conseguir dar pode definir contratos que nenhum discurso comercial recupera depois.