Quando o ataque vem pelo prestador de serviços

A sua própria TI pode estar impecável — e mesmo assim tudo para, porque o prestador foi atingido. Por que o risco da cadeia é subestimado e o que a NIS-2 exige.

É possível proteger a própria TI de forma exemplar e, ainda assim, ficar parado por dias — porque não foi a própria TI. Quando um prestador de serviços de TI compartilhado, um data center ou um fornecedor de software é atingido, todos os que o utilizam ficam pendurados nele. Para muitas administrações e empresas, esse é justamente o caminho de indisponibilidade mais provável do que o ataque direto: o próprio perímetro resiste, mas o serviço por trás dele sumiu.

Isso já não é um tema secundário, mas algo regulado. A NIS-2 e a DORA (regulamentos europeus de segurança e resiliência digital) transformam o difuso “risco da cadeia de suprimentos” em obrigações concretas.

Por que o desvio é atraente

Os invasores calculam economicamente. Um prestador que atende 50 municípios ou escritórios de advocacia é uma alavanca: uma invasão, muitas vítimas. A mesma concentração que torna a operação compartilhada acessível vira o alvo. E o caminho por um fornecedor de confiança — uma atualização manipulada, um acesso de manutenção remota comprometido — contorna muitas defesas, porque vem de dentro, de uma fonte na qual se confia.

O que a NIS-2 e a DORA exigem concretamente

Ambos os regulamentos deslocam expressamente a responsabilidade para a cadeia:

  • Avaliar os fornecedores. As empresas afetadas precisam conhecer e avaliar os riscos dos seus prestadores de serviços de TI — não uma única vez, mas de forma contínua.
  • Robustecer os contratos. A DORA exige, para empresas do setor financeiro, cláusulas contratuais concretas com os prestadores de serviços de TIC: nível de segurança, direitos de auditoria, obrigações de notificação, cenários de saída ordenada. A NIS-2 exige diligência comparável de forma mais ampla.
  • Apresentar comprovações. “Confiamos no nosso prestador” não basta. Exigem-se informações comprováveis: como ele protege, como notifica, com que rapidez reage na emergência?

O reverso incômodo: quem é, ele próprio, prestador de serviços precisa ser capaz de fornecer essas comprovações — e, futuramente, será selecionado com base nelas.

O que isso significa na prática

A verificação começa com perguntas incômodas a cada prestador crítico: onde ficam os nossos dados? Quem tem acesso remoto, e como ele está protegido? Como somos informados diante de um incidente, e em que prazo? Existe restauração testada — não apenas um backup? E: o que acontece se quisermos trocar? Quem não obtém essas respostas não entendeu o seu risco, apenas o terceirizou.

Como ajudamos nisso

Como uma casa de sistemas de gestão familiar, estamos dos dois lados dessa cadeia. Para os nossos clientes, acompanhamos a avaliação e a proteção dos seus prestadores de serviços e fornecemos as comprovações que a NIS-2 e a DORA exigem — manutenção contínua das comprovações, processos de notificação, prevenção de emergências. E, como prestadores, expomos nós mesmos as mesmas comprovações: operação documentada, canais de notificação definidos, restaurações testadas, um ambiente transferível a qualquer momento. Tudo isso por uma mensalidade fixa previsível, no âmbito do nosso acompanhamento de compliance e dos nossos Managed Services. Confiança na cadeia de suprimentos é bom — confiança comprovável é o que o legislador passou a exigir.

Vamos falar sobre a sua situação.