A cibersegurança deixou de ser uma preocupação restrita aos sistemas internos das empresas. À medida que as operações se tornam mais dependentes de fornecedores, prestadores de serviços, sistemas e infraestruturas externas, parte do risco digital também passa a existir fora dos limites da própria organização.
Segundo a Pesquisa de Mercado de Gestão de Terceiros e Fornecedores da Bernhoeft 2025, cerca de 74% das empresas consideram a cibersegurança de terceiros muito importante. O dado mostra que a avaliação de riscos de fornecedores já não pode se limitar a questões trabalhistas, documentais, financeiras ou de compliance. A segurança da informação também precisa fazer parte dessa análise.
O cenário internacional reforça essa preocupação. O Global Cybersecurity Outlook 2026, do Fórum Econômico Mundial, mostra que as dependências de terceiros e da cadeia de fornecedores estão entre os principais desafios enfrentados pelas organizações em relação à resiliência cibernética. Entre CEOs de organizações consideradas altamente resilientes, 78% apontam essas dependências como o principal desafio para ampliar ainda mais sua resiliência. Nesse grupo, 70% integram segurança ao processo de compras e 59% priorizam avaliações da maturidade dos fornecedores.
Na América Latina e no Caribe, outro dado chama a atenção: 69% dos CEOs consultados afirmam que suas organizações não dispõem das competências necessárias para atingir seus atuais objetivos de cibersegurança.
Os números expõem um desafio que vai além da tecnologia. As empresas ampliaram seu perímetro digital por meio de terceiros, mas nem sempre ampliaram, na mesma velocidade, o perímetro da gestão de riscos.
Um fornecedor pode acessar dados pessoais, sistemas internos, infraestrutura tecnológica ou processos essenciais para o funcionamento de uma companhia. Nesse contexto, uma vulnerabilidade em um parceiro pode se transformar em uma vulnerabilidade para toda a cadeia. A porta de entrada para um incidente nem sempre está no sistema principal da organização, mas pode estar em um fornecedor com controles menos robustos ou que não são suficientemente conhecidos no momento da contratação.
Essa é uma das razões pelas quais a avaliação precisa começar antes do início da relação. Certificações como a ISO 27001 e requisitos relacionados à LGPD podem fazer parte dos critérios utilizados na avaliação de terceiros, mas a análise não deve se resumir à existência de uma certificação ou de uma cláusula contratual. É preciso entender quais dados serão acessados, quais sistemas estarão envolvidos, quais controles existem e qual seria o impacto para a operação caso aquele fornecedor fosse comprometido ou ficasse indisponível.
E esse risco não permanece estático depois da assinatura do contrato. Sistemas, processos, equipes, acessos e até o grau de dependência de determinado fornecedor podem mudar ao longo da prestação do serviço. Uma relação classificada de uma forma no momento da homologação pode assumir outro nível de criticidade meses depois.
Por isso, nem todos os terceiros devem ser acompanhados da mesma maneira. Um parceiro que acessa dados pessoais, sistemas críticos ou executa uma atividade essencial para o negócio exige uma análise diferente daquela aplicada a um fornecedor sem acesso a informações sensíveis ou ambientes relevantes para a operação. Classificar a cadeia por nível de risco ajuda a direcionar recursos e aprofundar o acompanhamento justamente onde uma falha pode gerar maior impacto.
É aqui também que a cibersegurança e a continuidade operacional se encontram.
Um incidente envolvendo um terceiro não precisa resultar em vazamento de dados para causar prejuízos. A indisponibilidade de um fornecedor responsável por tecnologia, infraestrutura ou um processo crítico pode interromper sistemas, comprometer o atendimento ao cliente ou paralisar uma etapa essencial da operação. Portanto, conhecer a exposição digital da cadeia significa também compreender de quais terceiros o negócio depende para continuar funcionando.
Essa responsabilidade não deve ficar restrita à área de tecnologia. Segurança da informação, compras, jurídico, compliance, gestão de terceiros e as áreas responsáveis pelos contratos possuem diferentes partes da informação necessária para compreender a exposição de cada fornecedor. O desafio é transformar essas informações dispersas em uma visão integrada da cadeia.
A tecnologia pode apoiar esse processo ao organizar dados sobre fornecedores, contratos, acessos e avaliações, permitindo identificar terceiros críticos, acompanhar mudanças na relação e estabelecer prioridades de reavaliação. Mas tecnologia, sozinha, não substitui governança. É a combinação entre informação, critérios de risco e acompanhamento contínuo que permite sair de uma lógica apenas reativa.
A cibersegurança, portanto, precisa ser entendida como parte da governança de terceiros, e não apenas como uma exigência incluída no contrato. Mais do que criar novas barreiras, o desafio está em gerar visibilidade sobre onde estão os riscos, quais fornecedores representam maior exposição e como priorizar ações de mitigação.
Quanto maior a dependência de terceiros, maior a necessidade de incorporar essas informações à gestão de riscos. A expansão das cadeias de fornecedores ampliou também o perímetro que as organizações precisam conhecer e acompanhar.
Por isso, talvez a pergunta já não seja apenas se a empresa está protegida. É preciso saber quanto ela conhece sobre a exposição criada pelos terceiros dos quais depende e quão preparada está para continuar operando caso um elo crítico da cadeia seja comprometido. Afinal, o risco pode não estar dentro de casa, mas suas consequências podem chegar até ela.
