A gestão de riscos de terceiros (TPRM) tornou-se uma função crítica no ambiente empresarial atual. Não é mais um tema exclusivo de TI — hoje é uma preocupação central para as áreas de negócio, especialmente na cadeia de suprimentos. Segundo o Verizon Data Breach Investigations Report 2024, mais de 30% das violações de dados são atribuídas a terceiros, evidenciando a necessidade de avaliações rigorosas e contínuas.

O custo médio de uma violação, de acordo com o IBM Cost of a Data Breach Report 2024, ultrapassa US$ 4,35 milhões — sem considerar perda de confiança, impacto legal e danos reputacionais.

Hoje, a maioria dos incidentes não ocorre mais por um firewall comprometido, mas sim por um fornecedor com controles fracos, um subcontratado desconhecido na cadeia ou um aplicativo SaaS nunca avaliado. Assinar um NDA e um anexo de segurança já não é suficiente. TPRM é agora um requisito fundamental para resiliência empresarial.

O risco de terceiros aumentou por quatro fatores principais:

1. Crescimento dos ataques à cadeia de suprimentos

Criminosos agora miram fornecedores como “portas de entrada” para grandes empresas. A ENISA relatou que 53% dos ataques de supply chain em 2024 exploraram provedores de software ou serviços.

2. Forte dependência do ecossistema digital

SaaS essenciais, MSP/MSSP, consultorias, plataformas de pagamento, logística, suporte remoto, integradores OT etc. Muitas empresas dependem mais do seu ecossistema do que dos próprios sistemas internos.

3. Novos padrões e regulações globais

A pressão regulatória e de mercado aumentou significativamente.
Exemplos:

• NIST CSF 2.0 com ênfase em governança e segurança da cadeia de suprimentos

• NIST SP 800-161 como referência central para gestão de risco na cadeia

• ISO/IEC 27036 sobre gestão de relacionamento com fornecedores

Regulamentos como NIS2 e DORA, embora europeus, definem padrões que afetam operações de multinacionais em todo o mundo — influenciando TI, Compras e Suprimentos.

4. Compras no centro do modelo de risco

A área de Procurement deixou de apenas “comprar serviços” — agora participa ativamente da gestão de risco. A segurança hoje depende de:

• como fornecedores são classificados

• o que se exige em RFPs

• como os riscos são documentados

• quais controles são requeridos antes da assinatura

Recomendações para avaliar fornecedores com segurança

1. Classificação de fornecedores por criticidade

Avalie fatores como:

• acesso a dados sensíveis

• impacto na operação essencial

• conectividade com redes internas ou ambientes OT/ICS

• nível de dependência ou single points of failure

2. Requisitos mínimos de segurança por categoria

Para fornecedores críticos:

• gestão de vulnerabilidades

• criptografia em trânsito e repouso

• MFA e IAM robustos

• backups + continuidade

• monitoramento e logs

• programas de segurança documentados

3. Cláusulas contratuais essenciais

Recomendamos incluir:

• notificação de incidentes

• requisitos de proteção e criptografia de dados

• responsabilidades compartilhadas

• conformidade com NIST, ISO e regulações aplicáveis

4. Monitoramento contínuo

Especialmente para fornecedores críticos:

• revisão de SLAs de segurança

• monitoramento de violações públicas

• auditorias seletivas

Erros mais comuns

Com base na nossa experiência, estes são os erros mais frequentes:

• Avaliar todos os fornecedores da mesma forma

• Não envolver Segurança, Jurídico e Riscos

• Não documentar decisões de risco

• Ignorar subfornecedores — a parte mais esquecida da cadeia

Como a Seccuri pode ajudar

Na Seccuri, ajudamos organizações de todos os tamanhos a fortalecer a maturidade em cibersegurança e a gestão de terceiros com base em frameworks como NIST CSF 2.0. Nosso time — com experiência global em risco, OT, governança e compliance — desenvolve com você um plano de 18 meses focado em fechar lacunas reais e priorizar capacidades essenciais.

Também fazemos um duplo olhar sobre o talento: avaliamos, com apoio de IA, as capacidades e conhecimentos da sua equipe, identificando gaps, trilhas de desenvolvimento e os papéis necessários para sustentar um programa de cibersegurança robusto.

A pergunta já não é se você será atacado, mas quando. Estar preparado faz toda a diferença.

Para entender seu nível atual e os próximos passos, agende uma conversa inicial aqui:

👉 https://calendly.com/seccuri-contact/30min?back=1&month=2025-06

 

Sources:

IBM. (2024). Cost of a Data Breach Report 2024. IBM Security & Ponemon Institute. https://www.ibm.com/reports/data-breach

Verizon. (2024). Data Breach Investigations Report 2024. Verizon Enterprise. https://www.verizon.com/business/resources/reports/dbir/

ENISA. (2023). Threat Landscape for Supply Chain Attacks. European Union Agency for Cybersecurity. https://www.enisa.europa.eu/publications/threat-landscape-for-supply-chain-attacks

Gartner. (2023). Third-Party Risk Management Trends and Findings. Gartner Research.

National Institute of Standards and Technology. (2024). NIST Cybersecurity Framework (CSF) 2.0. U.S. Department of Commerce. https://www.nist.gov/cyberframework

National Institute of Standards and Technology. (2022). NIST Special Publication 800-161 Rev. 1: Cybersecurity Supply Chain Risk Management Practices for Systems and Organizations. https://doi.org/10.6028/NIST.SP.800-161r1

National Institute of Standards and Technology. (2021). NIST Special Publication 800-171 Rev. 2: Protecting Controlled Unclassified Information in Nonfederal Systems and Organizations. https://doi.org/10.6028/NIST.SP.800-171r2

International Organization for Standardization. (2022). ISO/IEC 27001:2022 — Information Security, Cybersecurity and Privacy Protection — Information Security Management Systems. ISO.

International Organization for Standardization. (2020). ISO/IEC 27036-1:2020 — Information Security for Supplier Relationships. ISO.

European Union. (2023). NIS2 Directive: Directive (EU) 2022/2555 on Measures for a High Common Level of Cybersecurity Across the Union. Official Journal of the European Union.

European Union. (2022). DORA — Regulation (EU) 2022/2554 on Digital Operational Resilience for the Financial Sector. Official Journal of the European Union.

SecurityScorecard. (2024). Global Third-Party Cyber Risk Report. SecurityScorecard.

Ponemon Institute. (2023). The State of Third-Party Risk Management. Ponemon Institute.