Quando o vazamento entra pela porta dos fundos do fornecedor

Segundo o BoletimSec, a EY, uma das maiores empresas de auditoria e consultoria do mundo, confirmou uma violação de dados que não teve origem nos seus próprios sistemas, mas sim em uma plataforma terceirizada usada para dar suporte a serviços fiscais de clientes. Um invasor conseguiu acessar e baixar documentos armazenados em chamados de atendimento. A companhia fez questão de esclarecer que seus sistemas centrais permaneceram intactos e que o problema ficou restrito ao ambiente de terceiros.

Pode parecer um detalhe menor, afinal os "sistemas centrais" não foram tocados. Mas quem trabalha com TI sabe que essa distinção, na prática, importa pouco para o cliente que teve documentos fiscais expostos. O dado vazou, e ponto. E aqui mora uma lição que vale ouro para qualquer empresa, do pequeno escritório à multinacional.

O elo mais fraco quase nunca é você

Esse caso escancara uma verdade incômoda: sua segurança vale tanto quanto a do fornecedor mais descuidado com quem você compartilha dados. A EY tem times robustos de cibersegurança, orçamentos generosos e processos maduros. Mesmo assim, a brecha veio pela porta dos fundos, por uma plataforma de suporte contratada.

Isso é o que chamamos de risco de terceiros, e ele cresce a cada ano. Quando você integra um sistema externo ao seu fluxo de trabalho, está estendendo a superfície de ataque para além dos seus muros. Alguns pontos que merecem atenção:

• Onde os dados ficam armazenados e por quanto tempo permanecem em chamados de atendimento abertos.
• Quais controles de acesso o fornecedor aplica e se há autenticação forte.
• Como o parceiro responde a incidentes e em quanto tempo comunica falhas.
• Se existe criptografia tanto em trânsito quanto em repouso.

Muitas empresas pequenas e médias acreditam que esse tipo de preocupação é coisa de gigante. Engano perigoso. Se uma EY foi atingida por um fornecedor, imagine o negócio que terceiriza suporte, contabilidade ou armazenamento sem exigir sequer um mínimo de garantias contratuais de segurança.

O que o cara de TI pode fazer amanhã de manhã

A boa notícia é que existem processos otimizados capazes de reduzir bastante essa exposição sem transformar a rotina num pesadelo burocrático.