A gestão de riscos de terceiros ainda é tratada, em muitas empresas, como uma etapa da contratação, na qual o fornecedor responde a um questionário de segurança, apresenta certificações, assina cláusulas de confidencialidade e passa a acessar sistemas, dados ou redes. Sem uma rotina definida de revisão, as respostas registradas podem deixar de refletir as condições do serviço. 

No setor financeiro, a Resolução BCB nº 498/2025 regula os provedores de tecnologia que conectam instituições à Rede do Sistema Financeiro Nacional. A norma exige das instituições contratantes o monitoramento contínuo da adequação desses fornecedores a requisitos de segurança cibernética, gestão de riscos e continuidade de negócios, entre outros. 

Os dados de violações ajudam a dimensionar essa exposição. Segundo o sumário executivo do Data Breach Investigations Report 2026, publicado pela Verizon com a análise de mais de 31.000 incidentes, dos quais mais de 22 mil violações confirmadas envolvendo vítimas em 145 países, o envolvimento de terceiros cresceu 60% em relação à edição anterior e chegou a 48% das violações. 

O relatório associa esse aumento à dependência maior de fornecedores de serviços e de software, que amplia a exposição de quem os contrata. O indicador registra a participação de terceiros nos casos analisados, sem atribuir a esses parceiros, de forma automática, a causa ou a responsabilidade por cada violação. 

Por que a avaliação inicial precisa de acompanhamento 

A gestão de riscos de terceiros é o conjunto de práticas com que a empresa identifica, avalia e acompanha a exposição criada por fornecedores que desenvolvem software para a contratante, hospedam seus dados ou se conectam ao seu ambiente. A avaliação feita na contratação continua necessária, mas não descreve sozinha um risco que se altera a cada nova integração, troca de equipe do fornecedor ou conta criada para dar suporte a um projeto. 

O estudo da Verizon traz ainda uma análise de exposição em nuvem de terceiros que interessa diretamente a quem define a política de fornecedores. Entre as empresas terceiras analisadas, só 23% corrigiram por completo a ausência ou a configuração inadequada de autenticação multifator nas suas contas de nuvem, com metade desses achados resolvida em até um mês, enquanto senhas fracas e permissões mal configuradas levaram quase oito meses até ter metade das ocorrências tratada. 

Um questionário respondido na contratação e revisado uma vez por ano pode deixar uma falha sem identificação por meses, porque a resposta registrada descreve o fornecedor no dia em que o documento foi preenchido. Enquanto isso, a conta de nuvem sem MFA, a permissão excessiva ou a credencial vazada de um funcionário do fornecedor podem ser exploradas. 

Um incidente no parceiro também pode afetar dados e serviços da contratante. Os deveres de resposta, comunicação e eventual reparação precisam ser avaliados conforme o papel de cada organização, os contratos, os dados afetados e a legislação aplicável. 

As obrigações previstas pelo Banco Central 

A Resolução BCB nº 498/2025, alterada pela Resolução BCB nº 547/2026, estabelece regras de credenciamento para os provedores de serviços de tecnologia da informação, conhecidos como PSTI, que dão às instituições acesso à Rede do Sistema Financeiro Nacional. A norma define obrigações para o provedor e para as instituições contratantes. Mesmo restrita a esse contexto, oferece uma referência de gestão de riscos de terceiros com exigências e evidências para as duas partes. 

Do lado do provedor, a resolução exige capital mínimo de R$ 15 milhões, certificação de segurança da informação em norma reconhecida internacionalmente, auditoria independente anual com relatórios fornecidos ao Banco Central e às instituições contratantes, testes de intrusão periódicos e ações de inteligência cibernética. Essas ações incluem o monitoramento de credenciais e vulnerabilidades na internet, na deep e na dark web e em grupos privados de comunicação. 

O texto pede ainda revisão periódica e tempestiva das permissões, em especial das concedidas a colaboradores terceirizados, autenticação multifator para acesso à rede corporativa a partir de ambientes externos e monitoramento de conexões e tentativas de acesso privilegiado em horário noturno ou não convencional. 

Para quem contrata um PSTI abrangido pela norma, o artigo 35 determina que a instituição assegure que os contratos contemplem as obrigações previstas e monitore continuamente a adequação do fornecedor a requisitos de governança, gestão de riscos, segurança cibernética, gestão de fraudes e continuidade de negócios. 

A instituição também deve manter à disposição do Banco Central a documentação da contratação e do monitoramento, inclusive relatórios de auditoria e de testes de continuidade, e comunicar de imediato ao regulador as falhas relevantes ou descumprimentos identificados na atuação do fornecedor. O descumprimento sujeita a própria instituição contratante às sanções previstas na legislação. 

Fora do âmbito dessa resolução, as exigências não se aplicam automaticamente, mas podem orientar a avaliação de fornecedores conectados ao ambiente da empresa. A contratação não elimina a necessidade de acompanhar os riscos do serviço, e evidências atualizadas ajudam a verificar se as condições avaliadas na assinatura continuam presentes. 

Como fazer a gestão de riscos de terceiros de forma contínua

O monitoramento contínuo complementa o questionário com sinais atualizados sobre a postura de segurança do terceiro e sobre o uso dos acessos concedidos. O trabalho começa por um inventário que diga quais fornecedores têm conexão com o ambiente, que contas usam e a quais dados chegam. Sem esse inventário, a empresa tem dificuldade para priorizar esforço e responder com rapidez quando um parceiro sofre um incidente. 

Dentro dessa rotina, os acessos externos pedem tratamento próprio. Sem revisão, contas de fornecedores podem acumular permissões, permanecer ativas depois do fim de um projeto ou ser compartilhadas entre técnicos, o que dificulta atribuir uma ação a uma pessoa durante a investigação. 

A adoção de ZTNA no lugar da VPN tradicional pode restringir o acesso à aplicação necessária, conforme a solução e as políticas configuradas. Autenticação multifator, permissões mínimas e registro das sessões precisam ser implementados e verificados no desenho de acesso. Esses controles reduzem o alcance de uma conta de terceiro comprometida e ajudam a produzir a trilha necessária à resposta a incidentes. 

A essa rotina interna somam-se os sinais externos. Serviços de avaliação de superfície de ataque e de inteligência de ameaças permitem acompanhar portas expostas, certificados vencidos, vulnerabilidades conhecidas em sistemas visíveis na internet e credenciais de funcionários do fornecedor em vazamentos. Esse tipo de acompanhamento também aparece nas exigências da Resolução BCB nº 498/2025 para os PSTI abrangidos pela norma. 

A lógica é a mesma da gestão contínua de vulnerabilidades, aplicada ao ambiente exposto dos parceiros. Para que um alerta resulte em ação, o contrato deve definir responsáveis, prazos de correção e critérios para suspender acessos, quando necessário, considerando também o impacto da medida sobre a operação. 

Como nem todo fornecedor justifica o mesmo esforço, a gestão de riscos de terceiros funciona melhor quando classifica os parceiros pelo tipo de acesso, pelos dados envolvidos e pela importância do serviço para a continuidade da operação. Um prestador com acesso administrativo à rede ou que hospeda dados pessoais de clientes pede acompanhamento mais próximo e evidências frequentes. Mesmo sem acesso a dados sensíveis, um serviço cuja indisponibilidade paralise a empresa pode exigir controles e testes adicionais. Fornecedores com menor exposição podem seguir com avaliações periódicas proporcionais ao risco. 

Cláusulas contratuais e evidências de segurança 

O contrato é o instrumento que transforma a gestão de riscos de terceiros em obrigação exigível, e precisa definir quais evidências o fornecedor entrega, com que frequência e em que prazo avisa a contratante sobre um incidente que afete o serviço ou os dados. 

Quando há dados pessoais envolvidos, a Resolução CD/ANPD nº 15/2024 estabelece uma referência para o prazo de aviso. Incidentes que possam acarretar risco ou dano relevante aos titulares devem ser comunicados pelo controlador à Autoridade Nacional de Proteção de Dados e aos titulares. A regra geral é de três dias úteis, contados do conhecimento de que o incidente afetou dados pessoais. Na comunicação à ANPD, devem ser observados eventuais prazos previstos em legislação específica. Para agentes de tratamento de pequeno porte que se enquadrem no regime diferenciado, a resolução prevê prazo em dobro. 

A comunicação à ANPD precisa trazer, entre outros elementos, a natureza dos dados, o número de titulares, as medidas de segurança adotadas antes e depois do incidente, a identificação do operador e a causa principal, quando for possível identificá-la. Como boa parte dessas informações pode estar com o fornecedor que operava o sistema, o contrato deve prever aviso e entrega de informações em tempo hábil para o controlador avaliar o incidente e cumprir o prazo aplicável. 

No âmbito da Resolução BCB nº 498/2025, o PSTI deve comunicar ao Banco Central, imediatamente após tomar ciência, os incidentes que possam comprometer a integridade, a disponibilidade ou a confidencialidade dos serviços, com relatório em até dez dias. A norma também garante às instituições contratantes acesso às trilhas de auditoria do provedor para fins de conciliação ou gestão de riscos. 

Em outros setores, a empresa pode avaliar cláusulas de direito de auditoria, acesso a registros, entrega periódica de relatórios independentes e obrigação de manter autenticação multifator e revisão de permissões nas contas que acessam seu ambiente. Essas condições devem considerar o risco do serviço e se integrar ao plano de resposta a incidentes da empresa. 

O encerramento da relação também precisa estar no contrato, com prazo para revogação de acessos, devolução ou eliminação de dados, observadas as obrigações de retenção aplicáveis, e confirmação formal de que as contas do fornecedor foram desativadas. É importante definir quem verifica e registra cada etapa após o fim do projeto. 

Guardar essas evidências de forma organizada, do questionário inicial ao registro de desligamento, permite demonstrar diligência a auditores, seguradoras e reguladores, além de alimentar a avaliação de maturidade em segurança da informação. 

O modelo previsto para os PSTI mostra como combinar a avaliação inicial com evidências produzidas durante a prestação do serviço. Com terceiros presentes em quase metade das violações analisadas pelo DBIR, acompanhar acessos, correções e obrigações contratuais ajuda a empresa a identificar mudanças de risco e a responder quando um parceiro sofre um incidente. A frequência e a profundidade desse acompanhamento devem refletir a exposição de cada fornecedor. 

O Iron PESI, da Solo Iron, realiza análise e avaliação de riscos cibernéticos e mede o nível de maturidade de segurança da empresa. O Iron Offensive Security conduz testes focados na exploração de vulnerabilidades da infraestrutura e dos sistemas. Fale com a Solo Iron para avaliar quais serviços e escopos de análise podem apoiar a gestão de riscos de terceiros da sua empresa.