A pergunta que quase nenhuma empresa sabe responder de cabeça é: quantos fornecedores têm acesso à minha rede ou aos meus dados, e com qual nível de privilégio?
Enquanto essa resposta não existe, todo investimento em segurança interna tem um limite baixo. Não adianta blindar a porta da frente quando meia dúzia de terceiros tem a chave da porta lateral.
Já tratei do padrão em Ataques em Cadeia de Suprimentos Digitais. Aqui é o método para reduzir esse risco.
Passo 1: o inventário que ninguém tem
Liste todo fornecedor que se encaixe em pelo menos um destes critérios:
- Tem credencial de acesso a algum sistema seu
- Armazena ou processa dados seus ou dos seus clientes
- Instala software ou agente nas suas máquinas
- Consegue acessar sua rede remotamente, mesmo que eventualmente
- Emite atualização que você aplica automaticamente
Esse último critério costuma ser o esquecido, e é justamente o mais perigoso: é o canal por onde um comprometimento no fornecedor chega até você já com confiança estabelecida.
Passo 2: classificar por dano, não por tamanho
Fornecedor grande não é sinônimo de fornecedor seguro, e fornecedor pequeno não é necessariamente risco alto. O que importa é o dano possível.
| Nível | Perfil | Profundidade da avaliação |
|---|---|---|
| Crítico | Acesso administrativo, dado sensível em volume, ou atualização automática | Avaliação completa, cláusula contratual e reavaliação anual |
| Relevante | Acesso limitado ou dado não sensível | Questionário e cláusula contratual |
| Baixo | Sem acesso a sistema nem a dado | Registro no inventário, sem avaliação |
Concentre esforço nos críticos. Aplicar o mesmo rigor a todo mundo é a forma mais confiável de não aplicar rigor a ninguém.
Passo 3: o questionário que funciona
Questionário de cem perguntas volta preenchido no automático e não diz nada. Prefira poucas perguntas cuja resposta seja verificável.
- Quem, do seu lado, tem acesso aos nossos dados, e como esse acesso é revisado? Peça o procedimento, não a garantia.
- Vocês exigem segundo fator para acesso administrativo? Se a resposta for evasiva, já é resposta.
- Como vocês nos notificam em caso de incidente, e em quanto tempo? Prazo sem número é prazo inexistente.
- Onde os nossos dados ficam armazenados, e são cifrados em repouso? Importa para conformidade e para contrato.
- Vocês fazem teste de invasão? Quando foi o último e quem executou? Peça o sumário executivo, não o relatório completo.
- O que acontece com os nossos dados quando o contrato terminar? Devolução, prazo de eliminação e comprovação.
- Vocês subcontratam alguma parte do serviço? O risco do subcontratado é o seu risco, e quase ninguém pergunta.
Passo 4: verificar o que dá para verificar sozinho
Resposta de questionário é declaração. Algumas coisas você confere de fora, sem depender da boa vontade do fornecedor, usando o mesmo método de fontes abertas que descrevi em OSINT na Investigação de Cibercrimes.
# o certificado esta valido e cobre os dominios certos?
echo | openssl s_client -connect fornecedor.com.br:443 -servername fornecedor.com.br 2>/dev/null \
| openssl x509 -noout -subject -dates
# ha cabecalhos de seguranca?
curl -sSI https://fornecedor.com.br | grep -Ei 'strict-transport|content-security|x-frame'
# a empresa publica canal de contato de seguranca?
curl -sS https://fornecedor.com.br/.well-known/security.txtCertificado vencido no site institucional de um fornecedor de tecnologia diz muito sobre a disciplina operacional da casa. É um indicador barato e surpreendentemente preditivo.
Passo 5: as cláusulas que realmente protegem
Contrato não impede incidente, mas define o que acontece depois. Quatro cláusulas valem mais que dez páginas genéricas:
- Notificação com prazo em horas, contado a partir da detecção, e não da conclusão da investigação interna deles.
- Direito de auditoria, ou ao menos direito de receber o resultado de auditorias independentes.
- Obrigação de comunicar mudança de subcontratado antes que ela ocorra.
- Devolução e eliminação de dados ao fim do contrato, com prazo e comprovação.
Sem prazo numérico, “notificar prontamente” significa “quando for conveniente”.
Passo 6: reduzir o acesso, que é o que de fato diminui o risco
Avaliação mede risco. O que reduz risco é acesso menor.
- Conta nominal por técnico do fornecedor, nunca conta compartilhada.
- Acesso concedido por janela, com expiração automática, em vez de permanente.
- Segundo fator obrigatório, inclusive para eles.
- Sessão de acesso remoto registrada e revisável.
- Segmentação: o fornecedor do sistema de ponto não precisa alcançar o servidor de arquivos.
Essas cinco medidas independem da boa vontade do fornecedor e continuam valendo mesmo que ele seja comprometido amanhã.
Uma pergunta para fechar o ano
Escolha o seu fornecedor mais crítico e responda: se ele fosse comprometido hoje, o que o atacante alcançaria dentro da minha empresa, e em quanto tempo eu saberia?
Se a segunda parte da resposta for “quando ele me avisasse”, há trabalho a fazer. Depender do aviso de terceiro é justamente a posição em que ninguém quer estar no dia do incidente.