Gestão de riscos de terceiros, ou TPRM (third-party risk management), é o processo de identificar, avaliar, contratar, monitorar e encerrar fornecedores e parceiros considerando o risco que cada um traz para a empresa. Em segurança da informação, a pergunta central é o que um atacante conseguiria fazer passando pelo fornecedor.
Fornecedores costumam ter acesso remoto, credenciais de serviço, integrações com sistemas e cópias de dados, nem sempre com o mesmo nível de proteção que a empresa contratante exige de si.
Por que o fornecedor entra na superfície de ataque
Atacar uma empresa bem protegida diretamente é caro. Atacar o prestador de serviço que tem acesso a ela costuma ser mais barato. Nos testes do Panorama do Risco Cibernético 2026, estudo da Vultus com 132 organizações, foi possível chegar à VPN partindo do zero em 23,8% dos casos, e credenciais roubadas por infostealers aceleraram a intrusão em 21,4%.
Parte desses acessos pertence a terceiros, que entram na rede com credenciais legítimas.
Os relatórios internacionais confirmam o peso desse vetor. No M-Trends 2026, do Google Cloud, o comprometimento de terceiros respondeu por 17% das intrusões em ambientes de nuvem, e o Global Cybersecurity Outlook 2026, do Fórum Econômico Mundial, cita a dependência de fornecedores críticos entre as preocupações crescentes das organizações.
As sete etapas do ciclo de vida do terceiro
A metodologia da Vultus avalia o processo de ponta a ponta, em sete etapas e 54 entregas de referência. A identificação e classificação define que serviço o fornecedor presta, a que dados e sistemas terá acesso e qual sua criticidade. A avaliação preliminar reúne questionário, evidências de controles e parecer técnico. A due diligence formaliza a aceitação dos riscos e o plano de ação.
Na contratação entram as cláusulas de segurança, os prazos de notificação de incidente, o direito de auditoria e os acessos por menor privilégio. Depois vêm o monitoramento contínuo com reavaliações, a governança com comitê e indicadores e o encerramento, com revogação de acessos e devolução ou destruição de dados.
Onde os processos costumam falhar
Os padrões se repetem entre setores. O fornecedor é classificado pela categoria de compra, e não pelo serviço: uma consultoria de baixo risco que recebe acesso administrativo ao ERP continua classificada como baixo risco. O mesmo questionário é enviado a quem fornece café e a quem hospeda dados de clientes.
O jurídico usa o contrato padrão sem conhecer o que a avaliação técnica encontrou. A reavaliação acontece só na renovação. Nenhuma instância tem autoridade para bloquear um fornecedor de risco alto. E o encerramento do contrato não encerra os acessos.
Por onde começar
Quem ainda não tem processo de TPRM pode começar por partes:
- Inventário: quem são os fornecedores e que acesso cada um tem hoje.
- Classificação dos críticos: prioridade para quem acessa dados sensíveis ou sistemas que sustentam a operação.
- Encerramento: a etapa mais barata de corrigir e a que mais deixa acessos abertos.
- Risco no contrato: o que a avaliação encontrou vira cláusula.
- Instância de decisão: um comitê com autoridade para bloquear contratações de risco não mitigado.
Para setores regulados, há exigências específicas. Instituições supervisionadas pelo Banco Central têm requisitos para contratação de processamento e nuvem, e a LGPD responsabiliza a empresa pelos dados tratados por quem ela contrata.
TPRM integrado à segurança
A Vultus estrutura o ciclo de vida do terceiro com classificação pelo escopo do serviço, reavaliação independente da renovação contratual e governança com poder de decisão. Conheça a gestão de riscos de terceiros da Vultus e leia sobre adequação à LGPD.
