,
03/10/2026 · Leitura de 4 minutos
De acordo com o Relatório de Investigações de Violação de Dados da Verizon de 2025 (DBIR), 30% das violações envolvem terceiros, o que significa que o risco principal se originou fora da organização. Esse número é o dobro do ano passado, impulsionado pela exploração de vulnerabilidades e interrupções nos negócios. Isso destaca a interconectividade digital ao longo da cadeia de suprimentos — e os riscos inerentes a essas relações.
Conforme apontam as notícias recentes e os especialistas em sinistros da Marsh, esses ataques estão em crescimento, evidenciando a importância vital para sua organização de compreender, avaliar e gerenciar os riscos cibernéticos provenientes de terceiros.
As ameaças apresentadas pelos fornecedores da cadeia de suprimentos estão mais presentes e intensas do que nunca.
* Fontes: SecurityScorecard, Verizon DBIR
Além de adotar as melhores práticas reconhecidas de higiene cibernética, sua organização deve considerar as seguintes ações para minimizar a probabilidade e o impacto de perdas decorrentes de ciberataques envolvendo terceiros.
Essas ações não são uma solução única para todos. Após revisá-las, sua organização pode querer modificá-las para atender aos seus requisitos específicos.
Os seguintes cenários mostram alguns riscos potenciais de terceiros aos quais sua organização pode estar exposta — e seu impacto potencial se/quando se tornarem uma realidade.
Cenário: Usa fornecedores de tecnologia para impulsionar as operações diárias; tem conectividade tecnológica com o fornecedor.
Risco potencial: Uma interrupção tecnológica no fornecedor descontinua as operações da empresa.
Impacto potencial: interrupção de negócios contingente, além de outras despesas e custos extras.
Exemplo: Uma interrupção em um provedor de nuvem causa inatividade do site e impede o cumprimento de pedidos.
Cenário: Depende de fornecedores de tecnologia para impulsionar as operações diárias; possui conectividade tecnológica com o fornecedor.
Risco potencial: O comprometimento dos produtos/serviços da empresa de tecnologia impacta a rede e/ou os dados da empresa.
Impacto potencial: Potencial incidente cibernético, como violação de dados ou ataque de ransomware, levando à interrupção dos negócios e custos relacionados.
Exemplo: Uma vulnerabilidade de software deixa uma porta aberta para atacantes, permitindo que eles instalem código malicioso na rede da empresa.
Cenário: Compartilha informações confidenciais sobre clientes e funcionários a um fornecedor terceirizado; não está conectado ao fornecedor.
Risco potencial: Uma violação das informações confidenciais da empresa causada pelo fornecedor.
Impacto potencial: Incidente de privacidade com custos de primeira e terceira parte.
Exemplo: O fornecedor de folha de pagamento sofre uma violação das informações dos funcionários, ou um fornecedor de tecnologia compromete as informações de fidelidade dos clientes.
Cenário: Depende de um fornecedor terceirizado para bens/serviços específicos; não possui conectividade tecnológica com o fornecedor.
Risco potencial: A interrupção tecnológica do fornecedor terceirizado impede ou dificulta a capacidade da empresa de gerar receita.
Impacto potencial: interrupção de negócios contingente, além de outras despesas e custos extras.
Exemplo: A interrupção da rede impacta a capacidade de uma empresa de receber seu produto.
Sua organização pode — e deve — proativamente se proteger contra riscos de terceiros. Isso inclui definir e entender o que compõe seu ecossistema de fornecedores e quantificar o impacto do risco de terceiros para entender seu efeito no balanço patrimonial e aprender como possivelmente transferi-lo.
Na Marsh, nossos consultores de risco estão disponíveis para ajudá-lo a entender, medir, gerenciar e responder aos seus riscos de terceiros. Para iniciar uma conversa com um de nossos consultores, entre em contato com seu corretor da Marsh.
Diretora de Riscos Cibernéticos, Marsh Brasil