Os riscos ocultos das quartas partes

Na última década, a maioria das organizações amadureceu sua postura de gestão de riscos relacionados a terceiros – ou seja, fornecedores e prestadores de serviços. No entanto, os riscos associados às quartas partes da cadeia – os fornecedores dos fornecedores – representam um enorme ponto cego nos programas de segurança.

Cada vez mais, incidentes graves ocorrem nas relações com empresas subcontratadas ou "quarteirizadas". Essas entidades estão posicionadas em uma camada mais profunda da cadeia de fornecimento, muitas vezes invisível para as equipes de segurança até que um problema ocorra.

Para os gestores de riscos de terceiros, essa não é uma preocupação abstrata, e sim uma realidade operacional – moldada pela dependência de provedores de computação em nuvem, serviços gerenciados, ferramentas de software como serviço (SaaS) e parcerias baseadas no uso de APIs. Em muitos setores, os fornecedores terceirizados empregam subcontratados em operações como hospedagem, gestão de identidades, análise, suporte, pagamento, enriquecimento de dados e muitas outras. Essa rede de dependências muda em um ritmo que os ciclos de avaliação convencionais não conseguem acompanhar.

Mesmo com um programa robusto de gestão de terceiros, uma empresa pode ter em sua cadeia um fornecedor de quarta parte cuja existência ela desconheça.

As quartas partes se comportam de forma particular

Uma organização pode administrar seus fornecedores diretos por meio de processos de due diligence, contratos e gestão de desempenho. Os fornecedores indiretos, no entanto, muitas vezes estão fora do escopo dos contratos – e não têm, por exemplo, a obrigação de compartilhar controles de segurança, prazos e obrigações de comunicação. Nesses casos, a organização contratante depende de que seus terceiros façam essa supervisão em seu nome.

Porém, as prioridades nem sempre estão alinhadas. Os fornecedores diretos podem estar concentrados em custos, velocidade de entrega ou conveniência; podem não ter escala para pressionar subcontratados; podem nem mesmo ter visibilidade sobre suas próprias cadeias de fornecimento.

É por isso que os riscos das quartas partes se manifestam de forma diferente dos associados aos terceiros. Um incidente causado por um fornecedor indireto pode resultar na exposição simultânea de vários terceiros, por exemplo. A indisponibilidade de um provedor de hospedagem em nuvem pode afetar uma ou mais ferramentas SaaS. O comprometimento de um provedor de identidades pode repercutir em plataformas de suporte, sistemas de gestão de tickets e fluxos de acesso. Um único componente de software pode introduzir vulnerabilidades em diferentes operações.

Quando a dependência de um mesmo fornecedor de quarta parte é compartilhada por diferentes provedores diretos, o impacto se torna sistêmico – ou seja, não se limita a uma só relação.

Problemas de segurança se tornam problemas de negócios

Incidentes envolvendo quartas partes podem se transformar rapidamente em crises, pois os primeiros impactos costumam ser operacionais e voltados para o cliente.

Serviços podem ficar indisponíveis, dados sensíveis podem ser expostos e obrigações legais podem ser impostas em decorrência de violações cometidas por fornecedores indiretos. A resposta a esses incidentes nem sempre é ágil, pois as evidências e as ações de contenção podem ser responsabilidade de partes que a empresa não controla diretamente.

Ao mesmo tempo, as ocorrências podem se propagar até o topo da cadeia, prejudicando o cumprimento de acordos de serviço, causando atrasos e bloqueios. A responsabilização nunca é diluída nesses casos: clientes, diretores e reguladores esperam que a empresa contratante se encarregue de garantir a continuidade dos serviços, a privacidade e a confiança. Dizer que "não sabia" sobre um incidente é inaceitável.

A gestão pontual não é suficiente

Os riscos das quartas partes não podem ser administrados somente com revisões periódicas. As abordagens tradicionais de gestão de terceiros foram construídas em uma era na qual as mudanças entre fornecedores eram mais lentas e os limites eram mais claros. Avaliações anuais, questionários pontuais e relatórios de conformidade ocasionais eram suficientes em muitos casos. Porém, a exposição ao risco nas camadas indiretas evolui em um fluxo contínuo: fornecedores adicionam novos subcontratados; arquiteturas de hospedagem mudam; aquisições são feitas; serviços críticos migram; novas vulnerabilidades surgem em componentes compartilhados.

A captura estática de informações gera uma desatualização permanente.

A solução não é abandonar os processos de due diligence, e sim complementá-los com visibilidade contínua. Sistemas automatizados são fundamentais para isso, pois não é possível acompanhar o ritmo, a escala e a interconectividade das atuais cadeias de fornecimento por meio de processos manuais. O monitoramento deve ser contínuo, o que permite detectar vulnerabilidades associadas a alterações na infraestrutura dos fornecedores, à introdução de novas tecnologias e a mudanças na cadeia de dependências dos próprios provedores.

A automação é importante porque o tempo de resposta também é parte do risco. Em incidentes envolvendo a cadeia estendida, o desfecho é definido nas primeiras horas. O impacto pode ser reduzido se a organização for capaz de identificar rapidamente os fornecedores que dependem da quarta parte afetada, os processos expostos e os controles que precisam ser ativados. Isso não pode ser feito por meio de planilhas, troca de e-mails ou relatórios trimestrais.

As organizações precisam de uma solução que:

• Automatize a admissão, a classificação, a avaliação e a reavaliação de fornecedores;
• Centralize os dados dos fornecedores em um único inventário com pontuação de risco contextual;
• Monitore a cadeia de fornecimento em tempo real e possibilite a implementação de fluxos de trabalho automatizados para a resolução de problemas;
• Permita que as equipes de gestão de riscos troquem a atuação reativa por uma abordagem proativa.

Para os gestores de riscos de terceiros, este cenário traz oportunidades de reformular as atividades de conformidade, convertendo-as em um programa de resiliência operacional. Os riscos das quartas partes representam um novo padrão nas cadeias de fornecimento digitais. As organizações que compreendem isso estão capacitadas a tomar melhores decisões sobre parcerias, responder com mais agilidade em crises e transmitir credibilidade aos seus diretores e aos órgãos reguladores. O monitoramento contínuo permite que a visibilidade corresponda à realidade.