Segurança de Contratantes sob a Ótica de TI: Por Onde Começar e Como Estruturar o Processo

A segurança de contratantes, sob a perspectiva da segurança da informação (SI), representa um dos desafios mais complexos para as organizações. Com a crescente adoção de serviços externos, terceirização, soluções em nuvem e integrações, torna-se crucial entender quem é responsável pela segurança dessas conexões e como iniciar a gestão desses riscos. Previsões de tendências em ameaças de SI, como as divulgadas por Gartner e IBM, continuam a destacar os riscos associados às cadeias de suprimentos. Incidentes ocorridos com fornecedores podem ter um impacto direto nos dados, processos e infraestrutura de uma empresa, tornando a gestão proativa desses riscos indispensável.

Este artigo propõe um método passo a passo para estabelecer uma relação segura com a cadeia de suprimentos, desde os requisitos básicos em contratos até o questionamento, controle de acessos e a participação da SI na aprovação de contratos críticos. É importante ressaltar que a dependência de contratantes varia entre empresas, e as prioridades podem ser ajustadas conforme a realidade de cada organização. No entanto, a abordagem geral e o método proposto são baseados nas práticas de grandes empresas, onde a implementação de mudanças pode ser um processo mais longo e intrincado.

Para iniciar, é fundamental definir claramente quem consideramos um contratante e qual o ciclo de vida desse contratante. Um contratante é qualquer entidade que interage com a empresa e não é um funcionário direto. Isso inclui desde grandes vendedores em marketplaces com troca de dados via API, fornecedores de serviços de back-office (como locadoras de escritórios com sistemas de controle de acesso integrados), freelancers e autônomos que prestam serviços, até empresas de outsourcing, desenvolvedores e provedores de infraestrutura de TI (data centers, hospedagem). Órgãos governamentais com os quais a empresa se integra, como serviços de identificação digital ou sistemas fiscais, também se enquadram nessa categoria. A priorização desses contratantes deve considerar fatores como a dependência crítica do negócio, o acesso a sistemas e dados sensíveis, a complexidade de substituição do fornecedor e riscos regulatórios.

O ciclo de vida de um contratante pode ser dividido em etapas: antes do contrato (identificação e seleção de fornecedores), celebração do contrato (análise de serviços e requisitos de segurança), contrato ativo (concessão de acessos, controle de qualidade e segurança, gestão de incidentes), renovação ou modificação (reavaliação de requisitos) e encerramento da colaboração (revogação de acessos e retirada de dados). Além dessas etapas, dois aspectos transversais são cruciais: a regulamentação e documentação dos procedimentos de trabalho com contratantes, e a análise contínua dos riscos associados a essas interações.

Etapa 1: Medidas Rápidas – Contratos, NDAs e Fornecedores Críticos

O ponto de partida mais eficaz é focar na documentação. É essencial garantir que todos os novos contratos com contratantes que terão acesso a sistemas ou integrações incluam cláusulas específicas de segurança da informação. Utilizar modelos de cláusulas padrão de empresas reconhecidas pode ser um bom ponto de partida. É crucial revisar com a equipe jurídica a inclusão de Acordos de Não Divulgação (NDAs), termos de processamento de dados pessoais e responsabilidades em caso de violação de requisitos de SI. A ausência dessas cláusulas em contratos pode significar a falta de responsabilidade legal em caso de incidentes.

Obter acesso ao sistema de gestão de contratos é fundamental para a equipe de SI. Isso permite uma rápida identificação de relações contratuais com empresas afetadas por incidentes de segurança e a verificação da existência de requisitos de SI em contratos com fornecedores críticos. A definição de um número limitado de fornecedores mais críticos (top 5-10, dependendo do porte da empresa) é uma ação prioritária. Estes podem incluir provedores de nuvem, sistemas essenciais para o negócio (CRM, ERP, e-mail) e parceiros de desenvolvimento de software. A revisão dos contratos desses fornecedores para garantir a presença de cláusulas de segurança e a conformidade com requisitos de proteção de dados é um passo essencial. Caso não existam, é preciso discutir com os responsáveis pelos contratos as implicações e buscar aditivos ou, em último caso, a substituição do fornecedor.

Por fim, a auditoria de contas e acessos de contratantes é uma tarefa de alta complexidade, mas baseada em princípios claros: contas de contratantes inativos ou sem contrato devem ser revogadas; cada conta deve ser única e associada a um indivíduo; contas não utilizadas ou de ex-funcionários devem ser desativadas; acessos devem ser minimamente necessários para a execução do serviço contratado; e todos os acessos devem ser concedidos mediante solicitação formal e aprovação.

Etapa 2: KYC para Contratantes – Questionários, Contas e Regulamentos Básicos

Os contratos fornecem informações sobre os serviços, mas não sobre o nível de maturidade em SI do contratante. A implementação de um processo de questionário (ou "Кусь", como é chamado na Ozon, derivado de KYC – Know Your Contractor) é essencial. Este questionário deve abordar a natureza da relação, a necessidade de acessos, integrações, transferência de informações confidenciais e contatos de segurança. É importante definir quais tipos de contratantes exigem este questionário antes da celebração do contrato e coordenar com o departamento de compras para torná-lo uma etapa obrigatória. Para contratantes considerados críticos, um questionário expandido deve ser aplicado, com foco em seus controles de segurança.

Paralelamente, devem ser estabelecidas regras claras para a criação de contas de contratantes, garantindo que sejam facilmente distinguíveis das contas de funcionários internos e que haja rastreabilidade da sua criação. A designação de um profissional de SI dedicado à gestão da segurança de contratantes é recomendada, especialmente em empresas de grande porte. A formalização dessas práticas em um regulamento interno, detalhando os processos de questionamento, exigências contratuais, requisitos de contas, troca segura de informações e responsabilidades das áreas envolvidas (SI, jurídico, compras), consolida a base para a gestão de riscos.

Etapa 3: Integrando a SI aos Processos

Após a implementação das medidas iniciais, o foco se volta para a integração da SI nos processos de seleção, contratação, concessão de acessos e recebimento de trabalhos. A aprovação de acessos por parte da SI é um ponto crítico. A SI deve verificar a existência de contrato e NDA, a adequação dos acessos solicitados ao escopo do contrato e os requisitos de segurança aplicáveis. A concessão de acessos administrativos ou a dados sensíveis deve ser avaliada com rigor. A gestão dessas solicitações exige recursos dedicados e experiência em SI.

Incluir a SI no processo de revisão de projetos de contrato, antes da sua assinatura, é fundamental para mitigar riscos de segurança desde o início. Isso exige agilidade, colaboração entre diferentes especialistas de SI (AppSec, infraestrutura) e uma comunicação clara com as áreas de compras e jurídica sobre os critérios de avaliação. A criação de uma base de requisitos de segurança para diferentes tipos de contratos e serviços pode otimizar esse processo. A validação dos resultados de trabalhos, especialmente em desenvolvimento externo, deve ser realizada com base em requisitos de segurança definidos no contrato ou em anexos, garantindo que os entregáveis atendam às expectativas e normas estabelecidas.

Por fim, a organização de um intercâmbio seguro de dados com contratantes é vital. É preciso analisar os fluxos de informação, identificar e documentar métodos seguros para a transferência de dados confidenciais, e instruir os colaboradores sobre as práticas corretas, desencorajando o uso de métodos inseguros como o e-mail para informações sensíveis. A SI deve ser o ponto de contato para dúvidas sobre como realizar essa transferência de forma segura.

Próximos Passos e Considerações Adicionais

As ações descritas formam uma base universal, mas o desenvolvimento contínuo dependerá das particularidades de cada empresa, do volume de contratantes, da criticidade dos dados e dos serviços envolvidos. A análise de riscos de interação com contratantes e a definição do apetite a risco da gestão são fundamentais para direcionar os próximos passos. Isso pode incluir a influência da SI na decisão de contratação, a implementação de scoring ou análise de risco detalhada para contratantes específicos (com foco em automação ou em tipos de contratantes selecionados), e a garantia de que a renovação de contratos críticos seja revisada sob a ótica de segurança. A atenção a softwares externos, incluindo aqueles adquiridos individualmente por funcionários ou serviços em nuvem, é crucial, com a definição de regras para criação e revogação de acessos a esses sistemas. A realização de auditorias de SI em contratantes críticos, a atualização periódica de questionários e regulamentos, e a expansão desses processos para outras jurisdições, considerando requisitos regulatórios específicos (como LGPD, GDPR, regulamentações de infraestrutura crítica), são passos importantes para uma gestão de segurança de contratantes madura e eficaz.

Em suma, a segurança de contratantes não se constrói com uma única ação, mas sim como um processo contínuo que abrange todo o ciclo de vida do fornecedor. Começar de forma gradual, focando em etapas gerenciáveis, é a chave para o sucesso. É fundamental encarar cada contratante não apenas como uma linha em um sistema de contratos, mas como uma extensão da infraestrutura e dos processos da empresa, cuja segurança deve ser gerenciável, transparente e integrada às operações diárias.