Kaspersky propõe métodos de proteção da cadeia de suprimentos que a empresa não controla

De acordo com uma recente pesquisa global do Centro Interno de Pesquisa de Mercado da Kaspersky, ataques à cadeia de suprimentos foram o principal risco enfrentado pelas empresas em 2025. Grandes empresas se mostraram particularmente vulneráveis devido às suas vastas redes de contratados e fornecedores terceirizados. Executivos de negócios, diretores de segurança da informação, gerentes de segurança da informação e especialistas em compras agora devem não apenas entender os riscos que tais ataques acarretam, mas também implementar medidas de proteção para mitigá-los. A chave para gerenciar essa cadeia de interações reside em uma abordagem ecossistêmica: um modelo no qual a organização considera sua segurança e a segurança de seus contratados e parceiros como um sistema único e interconectado.

Proteção Primária: Controle Antes da Conclusão do Contrato

Em vez de considerar o risco proveniente de um fornecedor como secundário, esta abordagem pressupõe que uma vulnerabilidade em qualquer parte da cadeia pode afetar diretamente a própria organização. Ela exige padrões unificados, divisão de responsabilidades e controle coordenado entre todas as partes interessadas, abrangendo todo o ciclo de vida da colaboração — antes do início da parceria, durante o trabalho conjunto e após o término do contrato.

É necessário começar criando um sistema interno de requisitos de segurança para fornecedores e contratados, que regulamente o processo de avaliação, aprovação e gerenciamento deles. Devem ser desenvolvidas políticas relativas à aceitação de fornecedores, processamento de dados, direitos de acesso e o nível mínimo de conformidade que cada terceira parte deve observar. A conformidade com padrões reconhecidos, como ISO 27001 ou SOC 2, pode ser uma condição para participar de licitações.

Simples métodos de coleta de inteligência aberta podem revelar a existência de um programa de divulgação coordenada de vulnerabilidades, o histórico de vulnerabilidades publicadas e programas de recompensa por falhas. A velocidade com que o fornecedor resolve problemas indica o quão sério ele leva a segurança do produto. Começando com padrões internos e verificações rigorosas, é possível garantir que cada fornecedor entre no ecossistema em um nível de maturidade verificado.

Passos adicionais para verificar a segurança de parceiros são detalhados em uma lista de verificação especial preparada por especialistas da Kaspersky. Outra prática indispensável é incluir requisitos de segurança de TI nos contratos com fornecedores. De acordo com um relatório da Kaspersky, apenas 37% das empresas fazem isso. Formalizar as expectativas por escrito dá às empresas um controle previsível sobre como as terceiras partes processam informações confidenciais, gerenciam vulnerabilidades e respondem a incidentes.

As cláusulas de privacidade de dados obrigam os fornecedores a proteger informações corporativas e dados de clientes, prevenindo divulgação ou uso não autorizado. Os padrões técnicos exigem criptografia, autenticação de dois fatores, práticas seguras de codificação e atualizações regulares de software, o que reduz a probabilidade de exploração através de sistemas desatualizados ou vulneráveis. Regras claras de resposta a incidentes definem quão rapidamente o contratado deve notificar uma violação e o que deve fazer para apoiar a investigação e contenção.

Para ambientes críticos, é igualmente crucial solicitar a auditoria do código-fonte. O código fornece o entendimento mais profundo de como o produto realmente funciona e onde os riscos podem estar ocultos. Sua análise direta — especialmente de componentes responsáveis por autenticação, processamento de dados e comunicação — dá aos especialistas técnicos confiança na confiabilidade fundamental do produto.

Confie, Mas Verifique: Colaboração com Confiança

Após a conclusão das verificações iniciais e a confirmação de que o fornecedor atende aos critérios de segurança, a atenção se volta para os riscos que surgem após o início do trabalho. Fornecedores podem usar software desatualizado, depender de ferramentas de terceiros vulneráveis ou contratar pessoal cujas credenciais foram comprometidas. Seus sistemas podem se tornar alvos justamente porque oferecem um caminho indireto para o seu ambiente.

Assim, o segundo passo é o monitoramento contínuo e avançado da infraestrutura usando Detecção e Resposta Estendida (XDR) ou Detecção de Endpoint (EDR). Isso permite detectar precocemente acessos não autorizados e tentativas de exploração, diminuindo a janela de oportunidade para os invasores. Também permite que as organizações correlacionem dados de inteligência de ameaças com a atividade real dentro de seu ambiente, para identificar vulnerabilidades emergentes ou campanhas de ameaças correspondentes antes que escalem. O monitoramento avançado transforma a segurança da cadeia de suprimentos de uma série de verificações pontuais em um nível dinâmico de defesa que protege o ecossistema durante todo o ciclo de colaboração.

Para garantir que os parceiros de longo prazo mantenham uma posição de segurança consistentemente forte, as organizações também devem realizar pelo menos uma auditoria abrangente por ano. Essas revisões devem incluir verificações de conformidade e avaliações técnicas, como testes de penetração e simulações de cenários de ataque originados da rede do fornecedor.

Antes de implantar qualquer atualização de fornecedor no ambiente de produção, ela deve ser executada em um sandbox isolado e controlado para verificar comportamento anômalo e compatibilidade com o ambiente de software. O teste prévio evita que atualizações comprometidas ou mal implementadas cheguem a sistemas críticos.

As organizações também devem adotar uma abordagem sistemática ao treinamento em cibersegurança, avaliando regularmente a proficiência cibernética da equipe e realizando treinamentos para corrigir lacunas. Os recursos devem ser direcionados não apenas para treinar o pessoal interno, mas também para aprimorar as habilidades de segurança dos parceiros. Seminários conjuntos formam uma linguagem comum sobre riscos e reduzem a probabilidade de ataques que exploram o fator humano em qualquer uma das partes. Competições gamificadas de segurança, como desafios de tipo 'capture-the-flag', permitem que as equipes pratiquem métodos de ataque e defesa de forma segura.

Encerramento da Colaboração Sem Pontos Cegos

O encerramento de um relacionamento com um fornecedor é um momento de alto risco no ciclo de vida da cadeia de suprimentos, portanto, as organizações precisam de processos estruturados de desativação que removam o acesso e protejam dados confidenciais. Em primeiro lugar, todo o acesso digital deve ser revogado e as integrações de sistema desmanteladas para que antigos contratados não possam permanecer conectados à infraestrutura interna. Isso significa desativar contas, chaves de API, links de login único e perfis VPN, bem como excluir quaisquer recursos em nuvem que eles tenham implantado.

Em segundo lugar, é preciso garantir a preservação e extração de todos os dados, assegurando que o fornecedor tenha excluído informações corporativas, devolvido a propriedade intelectual e renunciado a qualquer acesso futuro a dados confidenciais ou pessoais. Certificados formais de destruição e práticas rigorosas de minimização de dados ajudam a prevenir armazenamento ou uso não autorizado após o término do relacionamento. Essas medidas, juntas, fecham todos os pontos de entrada restantes e garantem um encerramento limpo da interação, sem deixar vulnerabilidades ocultas.

Embora as fraquezas da cadeia de suprimentos apareçam regularmente nas notícias mundiais, a preparação proativa é um requisito fundamental, não um complemento opcional. As organizações que trabalham cuidadosamente com fornecedores em cada etapa, formalizam as expectativas contratuais e investem na segurança de seus parceiros, não apenas incorporam a resiliência em suas operações — elas obtêm uma vantagem competitiva.