Confiança em fornecedores de TI está deixando de ser uma relação pessoal para se tornar um sistema contínuo de monitoramento, afirma Girish Redekar, cofundador e CEO da Sprinto. O problema: questionários anuais e certificações como SOC 2 e ISO 27001 avaliam apenas um retrato estático, que fica obsoleto assim que a tinta seca.
Relacionamento não escala: a confiança baseada em contato pessoal falha quando o fornecedor cresce, muda de dono ou comete erros internos
Certificações são linhas de base, não monitoramento: SOC 2 e ISO 27001 mostram controles revisados em uma janela, não o que mudou depois
Leia também
Vibe hacking: ataques com IA derrubam barreira técnica e exigem resposta contínua de CISOs
O problema da cadeia: você não tem apenas fornecedores, tem os fornecedores dos seus fornecedores, e a responsabilidade não viaja com a visibilidade
Três decisões definem um sistema de confiança: o que dispara uma revisão, onde fica a barra de risco e quem pode vetar um fornecedor
Confiança contínua é ativo comercial: reduz tempo de revisão de segurança de semanas para dias e fecha negócios mais rápido
Confiança empresarial está vivendo o mesmo momento dos bancos
Girish Redekar, cofundador e CEO da Sprinto, compara a transformação da confiança empresarial ao que aconteceu com o crédito bancário. Antes, um empréstimo dependia do banqueiro conhecer seu pai. Hoje, depende de um número calculado por um bureau de crédito. Ninguém volta atrás porque o número escala e o relacionamento não.
A confiança empresarial está passando pelo mesmo momento. Um CISO confia em um fornecedor porque conhece a equipe de conta há cinco anos. Isso é razoável diante das ferramentas disponíveis, mas a equipe sai, o fornecedor é adquirido, e um desenvolvedor três camadas abaixo envia uma configuração incorreta que expõe dados de clientes. O relacionamento não detecta nada disso.
Pior ainda, a confiança baseada em relacionamento é inconsistente. O fornecedor que recebe escrutínio é aquele em que alguém levantou uma bandeira. O que passa com uma apresentação calorosa pode receber uma fração da análise. E o fornecedor que eventualmente causa dano pode ser exatamente aquele com o qual ninguém se preocupou.
A cadeia de fornecedores é mais profunda do que parece
A maioria das empresas ainda não precificou um problema estrutural: você não tem apenas fornecedores. Você tem os fornecedores dos seus fornecedores. Um prestador de serviços de saúde não usa apenas uma plataforma de prontuário eletrônico. Essa plataforma pode rodar em um provedor de nuvem, um serviço de identidade e vários processadores de dados.
Um produto de telemedicina pode depender de infraestrutura de vídeo, um serviço de mensagens e um modelo de transcrição por IA que não construiu e não consegue ver completamente. Ninguém mais tem relacionamentos um-para-um com fornecedores. As empresas têm cadeias, e a responsabilidade não viaja pelo mesmo caminho que a visibilidade.
Se a informação de um paciente for exposta ou um sistema de IA causar dano quatro camadas abaixo, o cliente não distingue entre o fornecedor primário e o subcontratado. É como um fabricante de automóveis que assume a responsabilidade por um recall em vez de culpar o fornecedor de componentes. A maioria das empresas governa um retrato instantâneo, não a cadeia viva.
O problema do tempo: retratos estáticos apodrecem
A maioria dos programas de risco de fornecedores ainda funciona assim: questionário, certificação, classificação, contrato, pronto. A empresa sente que avaliou o fornecedor, mas o que realmente avaliou foi um instantâneo. No momento em que a tinta seca, esse instantâneo começa a envelhecer.
Infraestrutura muda. Pessoas entram e saem. Subprocessadores são adicionados. Fluxos de dados se deslocam. Controles sofrem deriva. E ninguém olha de novo até a revisão do próximo ano. Redekar usa uma analogia contundente: imagine um banco que liga as câmeras de segurança uma vez por ano, confirma que está tudo bem e depois as desliga. Ninguém chamaria isso de vigilância. É exatamente isso que grande parte da gestão de risco de fornecedores faz.
SOC 2 e ISO 27001 continuam valiosas, mas são uma linha de base, não um quadro vivo. Um certificado informa que os controles foram revisados durante uma janela específica. Não informa o que mudou no dia seguinte. Empresas que tratam a certificação como a resposta completa não estão gerenciando risco. Estão gerenciando papelada.
Infraestrutura muda constantemente após a avaliação inicial
Pessoas entram e saem das equipes de segurança
Subprocessadores são adicionados sem revisão
Fluxos de dados se deslocam e controles sofrem deriva
Certificações mostram apenas uma janela de tempo, não o estado atual
Três decisões que definem um sistema de confiança eficaz
A tecnologia é a metade fácil. A metade difícil é saber o que fazer quando o sistema sinaliza algo. Isso se resume a três decisões. A primeira é definir o que dispara uma nova revisão. Não deixe o calendário ser o único gatilho. Um novo subprocessador, mudança de controle, certificado vencido ou qualificado, incidente em qualquer ponto da cadeia de fornecedores ou expansão dos dados que um fornecedor pode acessar devem todos provocar uma revisão fresca.
A revisão anual ainda pode servir como rede de segurança, mas não deve ser o mecanismo que determina quando você olha de novo. A segunda decisão é onde fica a barra. Defina-a com antecedência como política, não em uma conversa no Slack quando surge uma preocupação. Um fornecedor que lida com dados regulados de clientes deve passar por uma barra diferente de um que roda uma ferramenta interna de agendamento.
Acertando os níveis, mudanças rotineiras podem ser aprovadas automaticamente, mudanças arriscadas podem ser restritas e apenas julgamentos genuínos chegam a uma pessoa. O sistema não existe para substituir o julgamento. Existe para racioná-lo. A terceira decisão é quem pode dizer não. A maioria das empresas define quem investiga, mas não quem decide.
Segurança controla os controles, jurídico controla os contratos e o dono do negócio controla o relacionamento. O que importa é que o veto fique com alguém cujos incentivos não estejam amarrados ao negócio, e que cada exceção seja registrada com nome e data. Programas não falham porque ninguém detectou o risco. Falham porque a pessoa que detectou não conseguiu impedi-lo.
Primeira decisão: o que dispara uma nova revisão de fornecedor
Segunda decisão: onde fica a barra de risco para cada nível de fornecedor
Terceira decisão: quem tem autoridade para vetar um fornecedor
Exceções devem ser registradas com nome e data
O sistema existe para racionar o julgamento humano, não substituí-lo
Visibilidade quatro camadas abaixo é o próximo desafio
A maior parte do monitoramento já existe. O que não existe é visibilidade quatro camadas abaixo. Com fornecedores de IA, o problema é ainda mais difícil: um modelo pode mudar por trás de uma API estável sem uma mudança óbvia de versão. Essa lacuna precisa ser fechada no contrato antes de poder ser fechada com ferramentas.
Os termos que você escreve este ano determinam o que você pode ver no próximo ano. Isso também é uma conversa sobre receita. Cada semana que um negócio fica parado na revisão de segurança é uma semana em que a receita não fecha. Cada cliente que sai por perda de confiança é um número de churn que ninguém quer explicar.
Revisões de segurança que antes levavam semanas podem levar dias para empresas que construíram essa infraestrutura, porque a evidência já estava lá quando o comprador perguntou. Redekar afirma que já ouviu CISOs chamarem seu sistema de confiança de a coisa mais direta que fizeram pela receita: não o firewall ou o SOC 2, mas o sistema que tornou a confiança visível sob demanda.
Confiança como ativo comercial e preço de entrada
Se o conselho trata os gastos com segurança como centro de custo, apresente esta reformulação: infraestrutura de confiança não é despesa indireta. É um ativo comercial com retorno que pode ser apontado. A confiança vai se tornar o preço de entrada. Construir isso é um diferencial hoje, mas não permanecerá assim.
Quando empresas suficientes adotarem infraestrutura de confiança contínua, ela se tornará o preço de entrada, assim como o SOC 2 passou de impressionante para requisito básico. Os CISOs que estão construindo isso agora conseguem ver o que está por vir: a confiança está se tornando um ativo regulado e com preço comercial. Construir antes da pressão chegar será mais barato do que construir depois.
| Critério | Confiança por relacionamento | Confiança por sistema contínuo |
|---|---|---|
| Escala | Limitada a contatos pessoais | Escalável para centenas de fornecedores |
| Frequência de avaliação | Anual ou pontual | Contínua e baseada em gatilhos |
| Visibilidade da cadeia | Apenas o fornecedor direto | Subprocessadores e camadas inferiores |
| Detecção de mudanças | Depende de comunicação voluntária | Automática via gatilhos definidos |
| Impacto na receita | Semanas de revisão de segurança | Dias, com evidência prévia disponível |
Arraste para o lado para ver toda a tabela.
O aperto de mão ainda importa, mas ninguém mais pede a opinião do banqueiro antes de aprovar o empréstimo. O que seria necessário para o seu conselho ver a confiança da mesma forma?
Leia também:
Migração De Sistemas Legados Com Ia Como Reduzir Anos De Trabalho Para Semanas
Ia Confiável Por Que Empresas Trocam Modelos Criativos Por Sistemas
Segurança Em Agentes De Ia Como O Modelo Do Uber Redefine A Identidade Em Sistemas Autônomos
Fonte: Forbes Technology Council
