Uma das maiores preocupações de segurança digital das grandes empresas já não está necessariamente dentro delas. Está nos fornecedores, plataformas e prestadores conectados às suas operações.
No Global Cybersecurity Outlook 2026, do Fórum Econômico Mundial, 65% das grandes organizações pesquisadas apontaram vulnerabilidades de terceiros e da cadeia de suprimentos como seu maior desafio para alcançar resiliência cibernética. Um ano antes, eram 54%.
As empresas podem controlar seus próprios acessos, sistemas e funcionários, mas operam apoiadas em uma rede de terceiros que armazena dados, mantém softwares, processa pagamentos, acessa ambientes internos e sustenta partes importantes da operação.
Entre no grupo
Cada uma dessas relações entrega eficiência e especialização. Também cria uma dependência: uma falha fora da empresa pode produzir consequências dentro dela.
A segurança digital, por isso, deixou de terminar nos limites da própria organização. Conhecer os riscos dos fornecedores passou a fazer parte da proteção do negócio.
A segurança começa a entrar na escolha do fornecedor
Preço, qualidade, prazo, capacidade de entrega e reputação são critérios tradicionais de contratação.
A segurança digital começa a disputar espaço nessa avaliação.
O Fórum Econômico Mundial aponta que 66% das organizações pesquisadas avaliam a maturidade de segurança de fornecedores e 65% já envolvem a área de segurança nos processos de contratação. Entre CEOs de organizações classificadas como altamente resilientes, 70% disseram integrar segurança ao processo de compras.
Isso muda a natureza de algumas decisões de fornecimento.
Quando um prestador terá acesso a dados, sistemas ou processos relevantes, contratar deixa de significar apenas avaliar se ele consegue entregar aquilo que promete.
Passa a incluir outra questão: o que acontece com a nossa operação se esse fornecedor tiver um problema?
A resposta varia conforme o tipo de relação. Uma ferramenta periférica e um sistema indispensável ao funcionamento da empresa representam níveis de dependência completamente diferentes.
Por isso, olhar para terceiros não significa tratar todos os fornecedores como ameaças. Significa entender quais deles se tornaram críticos para a continuidade do negócio.
Uma empresa pode estar protegida e continuar exposta
Há uma característica particularmente difícil nesse tipo de risco: parte dos controles está fora do alcance da organização contratante.
A empresa pode definir como seus próprios funcionários criam senhas, quais sistemas exigem autenticação adicional e quem pode acessar determinadas informações.
Não consegue administrar diretamente os controles internos de cada fornecedor.
O problema cresce conforme aumenta o número de conexões.
Uma pesquisa divulgada pela Kaspersky em maio mostra que 76% das empresas brasileiras entrevistadas afirmaram estar dispostas a investir na segurança digital de prestadores e parceiros para reduzir sua própria exposição a incidentes. A média global ficou em 69%.
O dado chama atenção menos pelo investimento em si e mais pelo que ele revela: a segurança do fornecedor passou a ser percebida como parte da segurança de quem o contrata.
Conhecer as dependências é parte do problema
Há uma dificuldade anterior à avaliação da segurança dos fornecedores: saber exatamente de quais terceiros uma operação depende.
Uma empresa pode conhecer seus contratos principais e ainda assim ter pouca visibilidade sobre toda a cadeia tecnológica que sustenta seus serviços.
Um sistema contratado pode utilizar infraestrutura de outra companhia. Uma plataforma pode depender de serviços externos para autenticação, armazenamento ou comunicação. Um fornecedor crítico também possui seus próprios fornecedores.
O Fórum Econômico Mundial identificou essa lacuna. Embora a maioria das organizações pesquisadas já faça algum tipo de avaliação da segurança dos fornecedores, apenas 33% disseram mapear de maneira abrangente seus ecossistemas de cadeia de suprimentos. Somente 27% realizam simulações de incidentes ou exercícios de recuperação envolvendo esses riscos.
Há uma diferença importante entre saber quem fornece um serviço e compreender o quanto a empresa depende dele.
A segunda informação ajuda a determinar quais relações merecem mais atenção.
O fornecedor passou a fazer parte do risco operacional
A digitalização ampliou enormemente a capacidade das empresas de contratar tecnologia e competências externas.
Não faria sentido responder a essa interdependência tentando internalizar tudo novamente. Terceirizar continua sendo uma maneira eficiente de acessar especialização, infraestrutura e escala.
O que mudou foi a quantidade de relações externas capazes de interferir diretamente na operação.
Um fornecedor que armazena informações relevantes, mantém uma integração crítica ou possui acesso aos sistemas não representa apenas uma despesa ou uma relação contratual. Ele passa a ocupar também uma posição dentro da estrutura de risco do negócio.
Por isso, a segurança digital começa a participar de decisões que antes podiam ser avaliadas principalmente por preço, qualidade e capacidade de entrega.
As empresas continuam escolhendo fornecedores pelo que eles são capazes de fazer. Em uma operação cada vez mais conectada, também precisam compreender a quais riscos passam a estar conectadas quando fazem essa escolha.
