Gestão de Risco de Quarta Parte: Um Guia Completo

A gestão de riscos de quarta parte é o processo de identificar, avaliar e mitigar os riscos que vêm dos fornecedores dos seus fornecedores, os subcontratados e prestadores de serviços dos quais as suas terceiras partes dependem. Você não tem contrato direto com essas quartas partes, ainda assim, as falhas delas podem comprometer ou interromper a sua organização. 

O ponto cego é amplo: apenas 10 por cento das organizações avaliam diretamente as suas quartas partes, e 27 por cento não as avaliam nem monitorizam de todo.

Este guia explica o que é o risco de quarta parte, como ele difere do risco de terceira parte e de N-ésima parte, por que é tão difícil de ver, o que significa o risco de concentração e como gerir o risco de quarta parte ao longo de todo o seu ciclo de vida.

O Que É o Risco de Quarta Parte?

O risco de quarta parte é a exposição criada pelos subcontratados, fornecedores e prestadores de serviços dos quais os seus fornecedores diretos dependem para entregar os seus serviços. Em termos simples, as quartas partes são os fornecedores dos seus fornecedores, um passo mais distantes da sua organização do que as terceiras partes com as quais você contrata diretamente.

A relação é mais fácil de entender através de exemplos. Quando um fornecedor de SaaS aloja os seus dados na Amazon Web Services, a AWS é uma quarta parte. Quando a sua plataforma de e-commerce processa pagamentos através da Stripe, a Stripe é uma quarta parte. Quando um fornecedor de software terceiriza o desenvolvimento para um contratado noutro país, esse contratado é uma quarta parte cujo nome você talvez nunca venha a saber.

A característica definidora é a ausência de uma relação direta. Você não tem contrato com uma quarta parte, nenhum questionário para lhes enviar e, muitas vezes, nenhuma consciência de que elas existem. A gestão de riscos de quarta parte estende a supervisão de um programa de risco de terceira parte a essa camada oculta, para que as dependências por trás dos seus fornecedores não se tornem um caminho não gerido para a sua organização.

Risco de Quarta Parte vs. Risco de Terceira Parte

O risco de terceira parte e de quarta parte diferem principalmente na relação, visibilidade e no controlo que você tem para os gerir. A tabela abaixo os compara lado a lado.

A diferença central é o controlo. O risco de terceira parte é gerido diretamente, através de acordos que você negocia e faz cumprir. O risco de quarta parte tem de ser gerido indiretamente, exigindo que as suas terceiras partes governem e divulguem os seus próprios fornecedores.

Risco de Terceira, Quarta e N-ésima Parte Explicado

O risco de fornecedor funciona em camadas, e cada camada está um passo mais distante do seu controlo direto. Compreender a cadeia completa esclarece onde o risco de quarta parte se encaixa e por que a exposição continua a estender-se para além dela.

• Terceira parte: Um fornecedor, prestador ou parceiro com quem você contrata diretamente para apoiar o seu negócio.
• Quarta parte: O subcontratado ou prestador de serviços da sua terceira parte, sem ligação direta a você.
• N-ésima parte: Cada camada para além da quarta: um fornecedor de SaaS depende de uma plataforma de nuvem, que depende de um fornecedor de infraestrutura, que depende de um serviço especializado, e a cadeia continua.

Cada camada adicionada agrava tanto a exposição quanto a opacidade. Uma violação vários níveis abaixo ainda pode atingir seus dados, enquanto sua visibilidade diminui a cada passo. É por isso que mapear a cadeia, e não apenas listar fornecedores diretos, está no cerne da gestão de risco de quarta parte.

Por que o Risco de Quarta Parte é Tão Difícil de Identificar

O risco de quarta parte é difícil de gerenciar porque é difícil até mesmo de observar. Quatro fatores o mantêm oculto.

• Nenhuma relação ou contrato direto. Sem um acordo para fazer cumprir, uma organização não tem questionário, direito de auditoria ou compromisso de nível de serviço para exigir de uma quarta parte.
• Fornecedores raramente divulgam subcontratados. Terceiros raramente publicam a lista completa de fornecedores dos quais dependem, então a cadeia se torna obscura além do primeiro nível.
• A cadeia multiplica-se rapidamente. Dez terceiros, cada um usando cinco fornecedores, criam cinquenta relacionamentos de quarta parte, e as organizações geralmente têm um número de quartas e quintas partes que é muitas vezes superior ao de terceiras partes.
• As dependências mudam silenciosamente. Um fornecedor pode mudar de provedores de nuvem, pagamento ou hospedagem entre as revisões sem nunca notificar a organização a jusante.

O que é Risco de Concentração?

O risco de concentração é a exposição que surge quando muitos dos fornecedores de uma organização dependem da mesma quarta parte subjacente, transformando esse provedor compartilhado em um único ponto de falha sistêmico. É o conceito mais importante no risco de quarta parte porque converte uma dependência oculta em uma ameaça mensurável.

O perigo é que a diversificação de fornecedores não oferece proteção quando os fornecedores compartilham uma dependência. Uma organização pode distribuir seus serviços por uma dúzia de fornecedores diferentes e ainda enfrentar uma interrupção total se todos os doze operarem na mesma região de nuvem ou processador de pagamento. Uma única interrupção ou violação nessa quarta parte compartilhada se propaga por todos os fornecedores de uma só vez.

Eventos recentes mostram o padrão. O comprometimento de transferência de arquivos MOVEit de 2023 e a interrupção do CrowdStrike de 2024 ambos se propagaram por dependências compartilhadas a uma velocidade que a revisão manual de fornecedores não conseguiria igualar, interrompendo milhares de organizações que não tinham relação direta com o ponto de falha.

Por que a Gestão de Risco de Quarta Parte é Importante

O risco de quarta parte é importante porque uma falha que você não consegue ver ainda pode recair diretamente sobre sua organização. Considere um provedor de saúde que usa um processador de dados de terceiros, que por sua vez armazena registros com um serviço de nuvem de quarta parte. Se esse serviço de nuvem tiver controles fracos e for violado, os dados do paciente são expostos, e o provedor de saúde absorve as multas regulatórias, a interrupção operacional e o dano à reputação, apesar de nunca ter contratado a parte que falhou.

Essa única cadeia ilustra as quatro maneiras pelas quais as falhas de quarta parte recaem sobre uma organização.

• Cibersegurança. Uma violação em uma quarta parte pode expor seus dados através da conexão confiável que seu terceiro mantém.
• Operacional. Uma interrupção em um provedor compartilhado pode paralisar os serviços de vários fornecedores ao mesmo tempo.
• Conformidade. Os reguladores responsabilizam a sua organização pela proteção dos dados, mesmo quando um quarto envolvido os manipula indevidamente.
• Reputacional. Os clientes culpam a marca que conhecem, não o subcontratado de quem nunca ouviram falar.

Exemplos Comuns de Quartos Envolvidos

Os quartos envolvidos são geralmente a infraestrutura compartilhada e os serviços especializados que estão por trás dos fornecedores do dia a dia. As categorias mais comuns aparecem abaixo.

• Provedores de infraestrutura em nuvem. Serviços como AWS, Azure e Google Cloud que hospedam os aplicativos e dados dos seus fornecedores.
• Processadores de pagamento. Provedores como o Stripe que processam transações em nome de uma plataforma que você usa diretamente.
• Provedores de serviços gerenciados e de TI. Parceiros de operações terceirizadas nos quais seus fornecedores confiam para operar seus próprios sistemas.
• Subprocessadores SaaS. Serviços de software secundários incorporados nas ferramentas SaaS que seus fornecedores oferecem.
• Dependências de código aberto. Bibliotecas de código e componentes que seus fornecedores incorporam nos produtos que lhe vendem.
• Contratados de desenvolvimento offshore. Equipes subcontratadas que desenvolvem ou mantêm software em nome de um fornecedor.

Como Gerenciar o Risco de Quarta Parte

Gerenciar o risco de quarta parte significa construir visibilidade e controle através de seus terceiros, já que você não pode governar as quartas partes diretamente. Seis passos formam o cerne da prática.

1. Construa uma base sólida de terceiros primeiro. A supervisão de quarta parte é impossível sem uma gestão sólida de riscos de terceiros, então comece com um inventário completo, categorização de riscos e monitoramento contínuo de seus fornecedores diretos.
2. Mapeie as dependências de quarta parte. Exija a divulgação de subcontratados de seus fornecedores e use a análise de pegada digital de sua tecnologia, DNS e infraestrutura para identificar as dependências que eles não informam voluntariamente.
3. Adicione cláusulas contratuais de repasse. Inclua requisitos nos contratos com fornecedores que os obriguem a gerenciar, divulgar e aplicar padrões de segurança em toda a sua cadeia de fornecedores.
4. Revise os relatórios SOC para cobertura de subserviços. Examine o relatório SOC 2 de um fornecedor para verificar como ele lida com organizações de subserviço e observe quaisquer exceções de controle ligadas às suas quartas partes.
5. Avalie e priorize o risco de concentração. Identifique quais quartas partes são compartilhadas por muitos de seus fornecedores e classifique-as pelo nível de interrupção que uma única falha causaria.
6. Monitore continuamente. Acompanhe as mudanças de postura e os eventos da cadeia de suprimentos à medida que ocorrem, em vez de apenas em revisões anuais, fechando a lacuna que as avaliações pontuais deixam em aberto.

Esses passos funcionam como uma sequência e um ciclo. Cada um alimenta o próximo, e o conjunto completo se repete à medida que fornecedores, dependências e riscos mudam.

O Ciclo de Vida da Gestão de Riscos de Quarta Parte

A gestão de riscos de quarta parte não é um projeto pontual, mas um ciclo contínuo. O ciclo de vida passa por seis etapas recorrentes.

• Identificar. Descobrir as quartas partes por trás de cada fornecedor crítico.
• Avaliar. Avaliar o risco que cada dependência introduz, com base em divulgações de fornecedores e sinais externos.
• Priorizar. Classificar as quartas partes por criticidade e concentração para que a atenção seja direcionada onde uma falha causaria mais impacto.
• Mitigar. Aplicar requisitos contratuais, provedores alternativos e planos de contingência para reduzir a exposição.
• Monitorar. Observar mudanças de postura, violações e novas dependências de forma contínua.
• Responder. Agir sobre alertas e incidentes com um plano que já contemple a falha de quarta parte.

Risco de Quarta Parte e Conformidade Regulatória

Os reguladores esperam cada vez mais uma supervisão que vá além dos fornecedores diretos, o que transformou a visibilidade de quarta parte de uma boa prática em um requisito de conformidade em vários setores. Alguns frameworks definem o tom.

• DORA. O Regulamento de Resiliência Operacional Digital da União Europeia exige que as entidades financeiras gerenciem o risco de terceiros de TIC e abordem o risco de concentração em suas cadeias de suprimentos.
• NIS2. Esta diretiva atualizada da União Europeia sobre segurança de redes e informações torna a segurança da cadeia de suprimentos uma obrigação central para entidades essenciais e importantes.
• NYDFS Parte 500. A regulamentação de cibersegurança de Nova Iorque exige que as empresas financeiras abrangidas supervisionem a segurança dos seus fornecedores terceirizados e o risco subsequente que esses fornecedores representam.

O fio condutor comum é a responsabilização para além do contrato. Os reguladores esperam que uma organização compreenda e gira o risco na sua cadeia de abastecimento alargada, não apenas os fornecedores com os quais assina acordos.

A Situação do Risco de Quarta Parte

Dados atuais mostram quão grande permanece a lacuna da quarta parte. A maioria das organizações depende dos seus terceiros para gerir os níveis mais profundos em vez de verificar esses níveis por si mesmas, e a visibilidade diminui a cada passo na cadeia. Três descobertas capturam o estado da prática.

• Avaliação limitada. A maioria das organizações confia nos seus terceiros para gerir o risco de quarta parte em vez de o avaliar por si mesmas, deixando os níveis mais profundos sem verificação.
• Notificação limitada. Apenas cerca de 36 por cento das organizações são informadas quando um terceiro partilha os seus dados com uma N-ésima parte com a qual não têm qualquer relação.
• Consequências reais. Entre as organizações que sofreram uma violação de dados por terceiros, uma parte significativa atribui a causa a uma N-ésima parte mais profunda na cadeia.

Melhores Práticas para a Gestão de Risco de Quarta Parte

Para além do processo central, um conjunto de princípios duradouros distingue os programas que gerem bem o risco de quarta parte daqueles que apenas o documentam.

• Priorize pela criticidade, não pela cobertura. Perseguir cada subcontratado é impraticável, portanto, aprofunde o foco nas quartas partes cuja falha causaria o maior dano.
• Exija transparência contratualmente. Torne a divulgação de subcontratados e os padrões de segurança subsequentes uma condição escrita para fazer negócios.
• Trate o risco de concentração como uma métrica central. Acompanhe quais fornecedores são partilhados entre vendedores e reporte essa concentração à liderança como um risco de primeira ordem.
• Automatize a descoberta de dependências. O mapeamento manual não consegue acompanhar as cadeias de abastecimento em constante mudança, por isso, utilize ferramentas que revelem as dependências automaticamente.
• Planeie a resposta a incidentes para uma falha de quarta parte. Integre cenários de cadeia de fornecimento nos planos de resposta para que uma violação de quarta parte não apanhe a organização desprevenida.

Gestão de Risco de Quarta Parte com SVigil

A parte mais difícil do risco de quarta parte é a descoberta, que é onde CloudSEK SVigil se concentra. O SVigil mapeia de forma detalhada os fornecedores de uma organização e mapeia não apenas os fornecedores diretos, mas também as dependências de quarta parte por trás deles, revelando os subcontratados, serviços de nuvem e infraestrutura compartilhada que os questionários nunca alcançam. Ele identifica credenciais expostas, vulnerabilidades e pontos de concentração ao longo dessa cadeia estendida, dando às equipes de segurança visibilidade sobre a camada que as avaliações tradicionais deixam obscura.

Como esse mapeamento é contínuo, uma mudança silenciosa de um fornecedor para um novo provedor ou uma dependência compartilhada que silenciosamente se torna um único ponto de falha é revelada assim que surge. Num caso, o SVigil descobriu credenciais expostas num provedor de comunicação de terceiros que atendia grandes bancos, o tipo de exposição profunda na cadeia que a gestão de risco de quarta parte existe para detetar. Combinar a descoberta automatizada com o monitoramento contínuo transforma uma cadeia de dependência invisível em algo que uma equipe de segurança pode ver e agir.

Perguntas Frequentes

Qual é a diferença entre risco de terceiros e risco de quarta parte?

O risco de terceiros provém de fornecedores com os quais você contrata diretamente. O risco de quarta parte provém dos fornecedores dos seus fornecedores, os subcontratados e provedores nos quais eles confiam. Você gerencia terceiros diretamente através de contratos, mas as quartas partes apenas indiretamente através dos seus terceiros.

Qual é um exemplo de uma quarta parte?

Se um fornecedor SaaS hospeda seus dados na AWS, a AWS é uma quarta parte. Se sua plataforma processa pagamentos via Stripe, o Stripe é uma quarta parte. Provedores de nuvem, processadores de pagamento e subcontratados que seus fornecedores utilizam são todas quartas partes comuns.

O que é risco de concentração de quarta parte?

O risco de concentração ocorre quando muitos dos seus fornecedores dependem da mesma quarta parte subjacente, tornando esse provedor compartilhado um único ponto de falha. A diversificação de fornecedores não ajuda se todos os seus fornecedores operam na mesma nuvem ou provedor de pagamento.

Como você identifica suas quartas partes?

Exija que seus terceiros divulguem seus subcontratados, revise seus relatórios SOC 2 para organizações de subserviço e utilize a análise de pegada digital de sua tecnologia e infraestrutura. Ferramentas de descoberta automatizada revelam dependências que os fornecedores não divulgam voluntariamente.

Você pode avaliar diretamente uma quarta parte?

Raramente. Você não tem direitos contratuais ou de auditoria com uma quarta parte, portanto, a avaliação direta é impraticável. Em vez disso, você gerencia o risco indiretamente, exigindo que seus terceiros avaliem e divulguem seus próprios fornecedores.

Por que as regulamentações exigem supervisão de quarta parte?

Estruturas como DORA, NIS2 e NYDFS Parte 500 responsabilizam as organizações pelo risco em suas cadeias de suprimentos estendidas, não apenas pelos fornecedores diretos. Os reguladores esperam que as empresas compreendam e gerenciem o risco de concentração e o risco a jusante para além de seus contratos.