Construindo uma Arquitetura de TPRM Eficiente

As fronteiras de segurança de uma empresa não terminam em seus próprios servidores ou nuvens. O ecossistema de soluções de uma grande instituição depende de uma rede complexa de fornecedores, parceiros e integrações com ambientes internos e externos. É justamente nessa dependência que reside um dos principais pontos de atenção da liderança de tecnologia: a gestão de risco de terceiros, ou Third-Party Risk Management (TPRM).
just
De nada adianta investir nos melhores controles internos se o elo mais fraco da corrente estiver na infraestrutura de um fornecedor com acesso legítimo aos seus dados ou sistemas. Mapear e mitigar essa exposição é crítico para a continuidade do negócio.

O erro mais comum ao tratar TPRM é reduzir o processo ao envio de um questionário genérico de segurança na homologação inicial, acompanhado de formulários esporádicos. Esse modelo baseado em “checklist passivo” entrega uma falsa sensação de proteção. A segurança da informação precisa estar embarcada em todo o ciclo de vida do fornecedor, desde as negociações até o encerramento do contrato — incluindo reavaliações periódicas, validação de evidências, auditorias e gestão ativa de acessos.

Em uma experiência recente estruturando a vertical de Segurança da Informação em uma subsidiária internacional, desenhamos uma arquitetura de avaliação baseada em frentes multidisciplinares:

• Revisão do Modelo Contratual: Estabelecer cláusulas rígidas que definam claramente as responsabilidades do fornecedor em incidentes e garantam o direito a auditorias técnicas por parte do nosso time. Exigências como relatórios de auditoria (SOC2, por exemplo), testes de invasão periódicos conduzidos por terceiros idôneos (e não pelo próprio fornecedor), testes de estresse e comprovação de capacidade técnica e financeira passaram a constar formalmente em contrato, já alinhados às regulamentações mais exigentes.
• Requisitos Técnicos Customizados: Classificar fornecedores pelo nível de criticidade e tipo de dado manipulado. Um parceiro que transaciona dados financeiros, pessoais ou confidenciais deve passar por um crivo técnico substancialmente maior do que um prestador de serviços gerais. Aqui, extrapolamos a classificação habitual de “commodity”, “operacional”, “tático” e “estratégico” adicionando o tipo de informação à qual o fornecedor tem acesso, aumentando nosso conhecimento e o rigor das tratativas.
• Governança no Onboarding e Offboarding: Garantir controle rigoroso na concessão de acessos e, principalmente, revogação imediata no encerramento de contratos ou desligamentos. Credenciais ativas de ex-fornecedores são portas de entrada frequentes para incidentes. Definimos em contrato prazos máximos (como 1h a 2h após a notificação para o próprio funcionário) para o fornecedor comunicar o desligamento de um colaborador alocado no nosso ambiente.

Uma arquitetura de segurança para terceiros exige contrapartidas internas robustas. Não basta exigir maturidade do fornecedor; a sua própria infraestrutura precisa monitorar e mitigar desvios de comportamento desses acessos utilizando ferramentas automatizadas. A integração de identidades deve priorizar a automação e o princípio do menor privilégio. Além disso, a gestão das chaves e acessos deve permanecer, preferencialmente, sob controle do dono da informação. Em caso de vazamento, o impacto reputacional e financeiro sobre o seu negócio é desproporcionalmente maior do que qualquer multa aplicável ao prestador.

Controles essenciais — como criptografia em trânsito e em repouso, restrições de acesso interno do próprio fornecedor e segregação de ambientes — continuam sendo indispensáveis.

Gerenciar o risco de terceiros exige do líder de TI e Segurança uma visão clara sobre o ecossistema expandido da empresa. Inventários de conectividade atualizados, gestão rigorosa de acessos remotos e revisões contínuas precisam fazer parte da rotina operacional. O fornecedor deve ser tratado como uma extensão da própria malha tecnológica e submetido ao mesmo nível de rigor.

Ao assumir o protagonismo no desenho e na execução do framework de TPRM, a área de tecnologia atua diretamente na proteção reputacional e financeira da instituição. Ignorar os riscos mapeáveis apenas encurta a distância para o próximo incidente.