Segundo o relatório de 2026 da Verizon sobre violações de dados, as violações com participação de algum fornecedor ou parceiro cresceram 60% em um ano e já respondem por 48% do total registrado no mundo — quase a metade. Não é um fornecedor mal-intencionado invadindo por conta própria: na maioria dos casos, é a própria porta que a empresa deixou aberta para ele ser usada por outra pessoa.

Todo negócio tem fornecedor com acesso à rede, e isso é normal: o suporte do sistema de gestão entra para resolver um chamado, a contabilidade recebe a base de dados todo mês, a empresa de câmeras deixa um equipamento ligado no mesmo cabo da rede interna. Nenhum desses acessos é um erro — o erro é não saber, hoje, quantos existem, o que cada um alcança e desde quando aquela senha não muda.

Para quem decide o orçamento de TI, esse é o ponto cego mais comum: a empresa pode ter antivírus, firewall e uma equipe treinada, e mesmo assim ter uma chave da própria rede com outra empresa — sem contrato que diga o que ela pode acessar, sem prazo para esse acesso, sem registro de quando foi usado.

Quem tem a chave sem você perceber

A lista costuma ser maior do que parece quando alguém para para contar: o sistema de gestão ou o ERP, com acesso remoto direto ao servidor para dar suporte; a contabilidade, que recebe exportações inteiras da base financeira; a empresa de câmeras ou de monitoramento, com um equipamento plugado na mesma rede dos computadores; o fornecedor de folha de pagamento; e, com frequência, o prestador de TI anterior, cuja credencial ninguém lembrou de desativar quando o contrato terminou.

Segundo o Panorama de Ameaças 2025 da agência europeia de cibersegurança ENISA, 10,6% das categorias de ameaça mapeadas no período vieram por caminhos indiretos — ataques que exploram fornecedores e outras dependências da empresa, em vez de mirar diretamente nela. É uma fatia menor que phishing ou malware, mas cresce porque é um caminho mais fácil: em vez de atacar uma empresa com defesa organizada, o invasor mira o fornecedor com defesa mais fraca e chega pela porta que ele mesmo abriu.

Um levantamento de 2026 da Sophos com times de TI de 17 países aponta na mesma direção: o ponto de entrada mais comum num ataque de sequestro de dados foi um sistema ou aplicação exposta na internet (38% dos casos), à frente do computador de um funcionário (30%) e do equipamento de rede (21%). Ferramenta de acesso remoto para suporte técnico, painel de administração de sistema e conexão aberta para fornecedor entram exatamente nessa categoria — é infraestrutura pensada para facilitar o trabalho de quem é de fora, e por isso também facilita o de quem não deveria entrar.

O problema não é o número de fornecedores. É a falta de um inventário simples: quem tem acesso, a quê, desde quando, e se aquele acesso ainda faz sentido hoje.

Por que confiar não substitui controlar

O jeito comum de lidar com fornecedor é confiar e não revisar depois. A senha do sistema de gestão é a mesma desde a implantação. O acesso remoto fica aberto o ano inteiro, não só durante o chamado. Ninguém escreveu, em contrato, o que aquele fornecedor pode ou não acessar dentro da rede.

Boa parte da confusão vem de uma ideia errada: se o problema aconteceu do lado do fornecedor, o problema é dele. A Lei Geral de Proteção de Dados não vê assim. Segundo orientação da Autoridade Nacional de Proteção de Dados, quem trata os dados em nome da empresa — o chamado operador — só tem a obrigação de avisar a empresa contratante sem demora quando descobre um incidente. A obrigação legal de comunicar o incidente aos titulares dos dados e à própria autoridade, dentro do prazo de três dias úteis, é de quem contratou o serviço. O fornecedor erra; a conta e o prazo chegam para a empresa dona dos dados.

Isso muda a pergunta que vale fazer. Não é "esse fornecedor é confiável" — provavelmente é. É "se algo der errado do lado dele, minha empresa consegue provar o que ele acessava e quando parou de acessar". Sem esse registro, a resposta a um incidente vira reconstrução de memória sob pressão, correndo contra um prazo legal que já começou a contar.

O que precisa existir na prática

Um jeito seguro de trabalhar com fornecedor não depende de desconfiar dele. Depende de mecanismos que funcionam do mesmo jeito independente de quem está do outro lado da tela.

Acesso por tempo determinado, não permanente. O fornecedor entra durante o atendimento e a porta se fecha sozinha depois — não fica aberta esperando o próximo chamado, meses depois.

Um login individual por fornecedor, nunca uma senha genérica. Cada empresa que acessa a rede tem sua própria credencial, que pode ser trocada ou desligada sem afetar as outras.

Segundo passo de confirmação além da senha, também para quem é de fora. A regra que vale para o funcionário vale igual para o fornecedor — a senha sozinha nunca é suficiente.

Registro de quem entrou, quando e no quê. Não é desconfiança: é o que permite provar, depois de um incidente, o que aconteceu, em vez de reconstruir tudo de memória.

Cada fornecedor alcançando só o que precisa. A empresa de câmeras não anda pela rede financeira; a contabilidade não entra no servidor de arquivos do time de vendas.

Revisão periódica de quem ainda tem acesso. O prestador que trocou de contrato há dois anos e nunca teve a senha desligada é a porta mais fácil de achar, e ninguém procura por ela até ser tarde.

É assim que a Skills IT trabalha: acesso de fornecedor com prazo definido, login individual e registro de quem entrou e no quê, revisado antes que vire um esquecimento.

O que muda quando o acesso é controlado

O ganho aparece primeiro na hora do aperto. Quando um fornecedor avisa que teve um incidente — e isso acontece mesmo com fornecedor sério — a empresa que tem inventário e registro sabe em minutos o que aquele acesso alcançava e pode cortá-lo na hora. A empresa sem esse controle passa dias tentando descobrir se o problema chegou até ela.

O segundo ganho é para quem toma a decisão de orçamento: com prazo e escopo definidos por fornecedor, cada renovação de contrato já vem com a pergunta certa — esse acesso ainda é necessário, do jeito que está? — em vez de renovar por inércia um acesso que ninguém revisita.

Tem também um ganho jurídico direto. Quando uma auditoria, um cliente maior ou a própria fiscalização pergunta quem tinha acesso a determinado dado, a resposta já existe em relatório, não depende de alguém lembrar. Isso encurta o tempo entre a pergunta e a resposta — e, se algo já deu errado, encurta também o tempo até a empresa conseguir agir, em vez de gastar os primeiros dias só entendendo o próprio ambiente.

Nada disso promete zerar incidente. O que muda é o tamanho do estrago quando um fornecedor — o seu ou o de outra empresa na mesma cadeia — for o elo que falhou.

Três perguntas para levar à próxima reunião

Antes de assinar o próximo contrato de fornecedor, vale perguntar o que já existe hoje:

  1. Quantos fornecedores têm acesso à nossa rede agora, e alguém tem essa lista escrita? Se a resposta é "não sei ao certo", a lista provavelmente é maior do que a memória de qualquer pessoa.
  2. Algum desses acessos é permanente, aberto o ano inteiro, em vez de só durante o atendimento? Cada acesso permanente é uma porta que fica de pé mesmo quando ninguém está usando.
  3. Se um fornecedor avisasse hoje que sofreu um incidente, quanto tempo levaria para saber o que ele alcançava na nossa rede? Se a resposta não for minutos, esse é o primeiro ponto a corrigir antes do próximo contrato.