Risco de terceiros e da cadeia de suprimentos

Por que importa

O ciclo de vida

• Inventário: uma lista viva de cada terceiro, o que ele faz, quais dados e acessos possui e quem é o responsável pelo relacionamento.
• Classificar por criticidade: a profundidade da revisão deve corresponder ao impacto caso o fornecedor falhe ou seja invadido (dados sensíveis, acesso à produção, dependência do negócio).
• Due diligence antes de assinar: questionários, certificações e relatórios de auditoria, security ratings e, para fornecedores críticos, uma revisão mais profunda ou um teste técnico.
• Contrato: requisitos de segurança, prazo de notificação de violação, direito de auditoria, tratamento e exclusão de dados, regras para subcontratados, condições de saída.
• Onboarding com privilégio mínimo: o acesso mínimo, com prazo limitado, contas nominais e monitoramento.
• Monitoramento contínuo: reavalie periodicamente conforme o nível, acompanhe incidentes e mudanças de rating, revise acessos.
• Offboarding: revogue o acesso e confirme a devolução ou exclusão dos dados.

Uma regra de classificação em níveis

tiers:
  critical:   # uma violação ou queda aqui afeta o negócio diretamente
    criteria: [processes personal or payment data, has production or network access, no easy substitute]
    review: [full questionnaire, SOC 2 Type II or ISO 27001 report, architecture review, annual reassessment]
  important:
    criteria: [handles internal confidential data, integrates through APIs]
    review: [standard questionnaire, certification check, reassess every two years]
  standard:
    criteria: [no sensitive data, no integration]
    review: [lightweight check at onboarding]

vendors:
  - { name: ExamplePay,     tier: critical,  owner: finance-eng, data: [payment tokens] }
  - { name: ExampleSurvey,  tier: standard,  owner: marketing,   data: [] }

Cadeia de suprimentos de software

• Mantenha um SBOM do que você entrega e peça o dos fornecedores críticos.
• Escaneie dependências continuamente e fixe versões; verifique assinaturas do que você instala.
• Revise as práticas de segurança do próprio fornecedor, como a forma de assinar releases e de responder a vulnerabilidades.
• Planeje para a falha: risco de concentração (tudo em um único provedor), planos de saída e backups fora do fornecedor.