É possível proteger a própria TI de forma exemplar e, ainda assim, ficar parado durante dias — porque não foi a própria TI. Quando um prestador de serviços de TI partilhado, um centro de dados ou um fornecedor de software é atingido, todos os que o utilizam ficam dependentes dele. Para muitas administrações e empresas, esse é precisamente o caminho de indisponibilidade mais provável do que o ataque direto: o próprio perímetro resiste, mas o serviço por trás dele desapareceu.
Isto já não é um tema secundário, mas algo regulado. A NIS-2 e a DORA (regulamentos europeus de segurança e resiliência digital) transformam o difuso «risco da cadeia de abastecimento» em obrigações concretas.
Porque é que o desvio é atraente
Os atacantes calculam economicamente. Um prestador que serve 50 municípios ou escritórios de advogados é uma alavanca: uma intrusão, muitas vítimas. A mesma concentração que torna a operação partilhada acessível torna-se o alvo. E o caminho por um fornecedor de confiança — uma atualização manipulada, um acesso de manutenção remota comprometido — contorna muitas defesas, porque vem de dentro, de uma fonte em que se confia.
O que a NIS-2 e a DORA exigem concretamente
Ambos os regulamentos deslocam expressamente a responsabilidade para a cadeia:
- Avaliar os fornecedores. As empresas abrangidas têm de conhecer e avaliar os riscos dos seus prestadores de serviços de TI — não uma única vez, mas de forma contínua.
- Robustecer os contratos. A DORA exige, para empresas do setor financeiro, cláusulas contratuais concretas com os prestadores de serviços de TIC: nível de segurança, direitos de auditoria, obrigações de notificação, cenários de saída ordenada. A NIS-2 exige uma diligência comparável de forma mais ampla.
- Apresentar comprovativos. «Confiamos no nosso prestador» não basta. Exigem-se informações comprováveis: como protege, como notifica, com que rapidez reage em caso de emergência?
O reverso incómodo: quem é, ele próprio, prestador de serviços tem de ser capaz de fornecer esses comprovativos — e, no futuro, será selecionado com base neles.
O que isto significa na prática
A verificação começa com perguntas incómodas a cada prestador crítico: onde ficam os nossos dados? Quem tem acesso remoto, e como está protegido? Como somos informados perante um incidente, e em que prazo? Existe uma restauração testada — não apenas uma cópia de segurança? E: o que acontece se quisermos mudar? Quem não obtém estas respostas não compreendeu o seu risco, apenas o subcontratou.
Como ajudamos
Como integrador de sistemas gerido pelo proprietário, estamos dos dois lados desta cadeia. Para os nossos clientes, acompanhamos a avaliação e a proteção dos seus prestadores de serviços e fornecemos os comprovativos que a NIS-2 e a DORA exigem — manutenção contínua dos comprovativos, processos de notificação, prevenção de emergências. E, como prestadores, apresentamos nós próprios os mesmos comprovativos: operação documentada, canais de notificação definidos, restaurações testadas, um ambiente transferível a qualquer momento. Tudo isto por uma mensalidade fixa previsível, no âmbito do nosso acompanhamento de compliance e dos nossos Managed Services. Confiança na cadeia de abastecimento é bom — confiança comprovável é o que o legislador passou a exigir.