O teu risco não acaba na tua rede: fornecedores

Imagina que fizeste tudo bem.

Acessos controlados, backups testados, equipa formada, sistemas atualizados.

E um dia a tua operação para na mesma.

Não por um ataque à tua rede.

Por um ataque à rede de um fornecedor.

O ponto cego

Quando se fala de cibersegurança, olha-se para dentro: os nossos sistemas, os nossos utilizadores, a nossa rede.

Mas a operação real depende de fora:

o software de faturação é de um fornecedor
o ERP é mantido por um parceiro com acesso remoto
a logística corre numa plataforma de terceiros
os dados estão no datacenter de alguém

Cada dependência destas é uma extensão da tua superfície de risco.

E a maioria das empresas não sabe dizer quantas tem.

A pergunta desconfortável

Escolhe o teu fornecedor de software mais crítico e responde:

👉 que acessos tem ele aos teus sistemas — e o que acontece ao teu negócio se ele for comprometido?

Se a resposta é “nunca pensámos nisso”, estás em boa companhia.

É a resposta mais comum.

Isto deixou de ser opcional

A NIS2 é explícita neste ponto: a segurança da cadeia de fornecimento é responsabilidade da empresa.

Traduzido:

não chega estares seguro.

Tens de conseguir demonstrar que avalias a segurança de quem trabalha contigo.

E há um efeito em cascata interessante: empresas abrangidas pela NIS2 vão começar a exigir garantias aos fornecedores — mesmo aos pequenos, mesmo aos que não estão diretamente abrangidos.

Quem fornece empresas médias e grandes vai receber estes questionários.

É uma questão de tempo.

Por onde começar

Como sempre, sem comprar nada:

listar fornecedores com acesso a sistemas ou dados
classificar: quais param a operação se falharem?
para os críticos, perguntar — por escrito — que práticas de segurança têm
rever contratos: quem responde por um incidente? em quanto tempo avisam?
reduzir acessos de fornecedores ao mínimo necessário (a regra de sempre)

Um fornecedor sério responde bem a estas perguntas.

Um fornecedor que se ofende com elas está a dar-te informação valiosa.

Conclusão

A tua segurança já não é só tua.

É a do elo mais fraco da tua cadeia.

A pergunta não é “estamos seguros?”

É:

👉 “sabemos de quem dependemos — e o que eles fazem com essa confiança?”