Depois da C&M e da Dígitro: por que due diligence na entrada não basta

O dia em que o fornecedor derrubou o sistema

O ataque à C&M Software, empresa que conecta instituições financeiras ao sistema de pagamentos brasileiro, não foi um incidente isolado nem um azar operacional. Foi a materialização de um risco que muitos executivos preferem tratar como hipótese remota: o de que a porta de entrada para o seu ambiente crítico não é a sua própria infraestrutura, mas a de um terceiro em quem você depositou confiança e sobre quem, na prática, exerce pouco controle depois de assinado o contrato.

O caso da Dígitro, que também expôs dados sensíveis manuseados por um provedor de tecnologia contratado, reforça o mesmo padrão. Em ambos os episódios, a vulnerabilidade não estava no cliente final, estava na cadeia. E quando a cadeia falha, quem responde perante o regulador, o cliente lesado e a opinião pública é, quase sempre, a instituição que contratou, não apenas quem operava o sistema comprometido.

Depois de anos trabalhando com governança de terceiros em organizações brasileiras, aprendi que o problema raramente é a ausência de due diligence. O problema é acreditar que a due diligence feita na contratação, aquele checklist robusto que se preenche uma vez e se arquiva, é suficiente para proteger a organização durante toda a vida do contrato. Não é. E os casos recentes provam isso com uma clareza que nenhum treinamento interno conseguiria transmitir.

A ilusão da avaliação de entrada

Due diligence na contratação é necessária, ninguém discute isso. Você verifica a saúde financeira do fornecedor, pede certificações, analisa políticas de segurança, checa histórico de litígios e reputacional, avalia a maturidade de compliance. Tudo isso importa e deve continuar sendo feito com rigor. O erro está em tratar esse momento como o fim da avaliação de risco, quando ele é apenas o começo.

O que vejo com frequência é uma fotografia sendo confundida com um filme. A due diligence de entrada captura o estado do fornecedor em um instante específico, geralmente o mais favorável, porque é quando ele está vendendo os seus serviços e tem todo o interesse em se apresentar da melhor forma possível. Seis meses depois, aquele fornecedor pode ter trocado o time de segurança, perdido uma certificação, sofrido um incidente que não comunicou, ou terceirizado parte da operação para um quarto elo que você sequer sabe que existe.

O risco de terceiros é dinâmico por natureza. A postura de segurança de uma empresa muda conforme ela cresce, corta custos, é adquirida, muda de comando ou enfrenta dificuldades de caixa. Uma organização que passou por sua due diligence com nota máxima pode se tornar um vetor de ataque em poucos meses sem que nada no seu contrato original tenha capturado essa deterioração. É exatamente nesse intervalo entre a assinatura e o incidente que mora o perigo que a avaliação pontual não enxerga.

Do incidente pontual ao risco sistêmico

O que diferencia um incidente comum de uma crise sistêmica é a posição do fornecedor na arquitetura do negócio. Quando um terceiro ocupa um ponto de concentração, um provedor que serve dezenas ou centenas de instituições ao mesmo tempo, a falha dele deixa de ser um problema pontual e se torna um evento de contágio. É o mesmo mecanismo que transforma a quebra de um banco em crise financeira: a interconexão amplifica o dano.

No caso da C&M, o que estava em jogo não era apenas a operação de um cliente, mas a integridade de um elo que conecta múltiplos participantes ao sistema de pagamentos. Um único ponto comprometido irradia consequências para toda a rede que depende dele. Esse é o retrato do risco de concentração, um conceito que o setor financeiro conhece bem na teoria mas que subestima na prática de contratação tecnológica.

O risco sistêmico não nasce da gravidade técnica do ataque, nasce da dependência. Quanto mais organizações compartilham o mesmo fornecedor crítico, mais frágil se torna o ecossistema inteiro diante de uma falha única. E o problema é que essa concentração raramente aparece no radar de quem contrata, porque cada instituição avalia o fornecedor isoladamente, sem enxergar que centenas de outras fizeram exatamente a mesma escolha, criando uma vulnerabilidade coletiva que ninguém governa.

Por isso insisto: avaliar um terceiro sem entender a sua posição sistêmica é medir o risco errado. Não basta perguntar se aquele fornecedor é seguro. É preciso perguntar o que acontece com o mercado, e com a sua operação, no dia em que ele falhar. Essa segunda pergunta muda completamente o nível de exigência que você aplica na contratação e no monitoramento.

O endurecimento regulatório no setor financeiro

O Banco Central não ficou passivo diante desses episódios, e a direção regulatória é inequívoca: o credenciamento e a supervisão de provedores de tecnologia que se conectam à infraestrutura crítica do sistema financeiro estão sendo endurecidos. A lógica é simples e correta. Se um terceiro tem acesso ao coração do sistema de pagamentos, ele precisa ser tratado com o mesmo rigor de controle que se aplica às próprias instituições reguladas.

A Resolução Conjunta que trata de política de segurança cibernética e de contratação de serviços de processamento e armazenamento de dados em nuvem já sinalizava essa preocupação há anos. O que os incidentes recentes fizeram foi acelerar e aprofundar essa agenda, empurrando o regulador para exigências mais concretas quanto ao credenciamento prévio, à responsabilização das instituições contratantes pela cadeia de fornecedores e à obrigação de manter controles vivos, não apenas documentados.

Para o diretor de uma instituição financeira, a mensagem prática é dura mas honesta. A responsabilidade regulatória pela falha de um terceiro crítico não se transfere junto com o contrato. Você continua respondendo perante o Banco Central pela escolha, pela supervisão e pela capacidade de reação daquele fornecedor. Terceirizar a operação nunca terceirizou a responsabilidade, e o cenário atual torna isso explícito de uma forma que não deixa espaço para desculpas.

Esse endurecimento não deveria ser lido como burocracia adicional. Ele é a formalização de algo que a boa gestão de risco já deveria fazer por conta própria: tratar o fornecedor crítico como uma extensão do seu próprio perímetro de segurança, sujeito ao mesmo escrutínio contínuo que você aplicaria internamente.

A responsabilidade solidária sob a LGPD

Quando o assunto é vazamento de dados, a Lei Geral de Proteção de Dados (LGPD) fecha qualquer porta de fuga que a instituição imagine ter. Se o seu fornecedor, na condição de operador, trata dados pessoais em seu nome e sofre um vazamento, você, na condição de controlador, responde. A lei estabelece hipóteses de responsabilização que alcançam ambos os agentes de tratamento, e a jurisprudência que vem se formando reforça que o controlador não se exime apontando o dedo para o operador.

Isso significa que o vazamento originado na Dígitro ou em qualquer provedor semelhante não é problema exclusivo do fornecedor. O titular dos dados lesado, aquele cliente cujo CPF, saldo ou informação sensível vazou, tem legitimidade para acionar a instituição contratante. E a Autoridade Nacional de Proteção de Dados (ANPD) avalia a conduta do controlador quanto à diligência que ele exerceu sobre o operador, não apenas quanto ao incidente em si.

O ponto que muitos executivos ignoram é que a defesa contra essa responsabilização se constrói antes do incidente, não depois. Demonstrar que você fez due diligence adequada, que monitorou o fornecedor ao longo do contrato, que exigiu e verificou controles de segurança, que tinha cláusulas de notificação e auditoria: tudo isso compõe o que a lei espera de um controlador diligente. Sem esse conjunto de evidências, a instituição chega à mesa de negociação com o regulador desarmada.

A responsabilidade solidária transforma a gestão de terceiros de uma função de suprimentos em uma função de proteção jurídica e reputacional. O fornecedor que vaza dados leva você junto, e a única forma de reduzir a sua exposição é provar, com documentação e controles vivos, que você fez o dever de casa antes, durante e depois da contratação.

Monitoramento contínuo: do checklist ao radar permanente

A diferença entre due diligence pontual e monitoramento contínuo é a diferença entre tirar uma foto e manter uma câmera ligada. O monitoramento contínuo acompanha a evolução do risco do fornecedor ao longo de todo o ciclo de vida do contrato, capturando mudanças que a avaliação de entrada jamais detectaria porque ela simplesmente não estava lá para ver.

Na prática, isso envolve acompanhar sinais externos e internos de forma recorrente. Alterações societárias, incidentes de segurança reportados publicamente, deterioração financeira, perda de certificações, mudanças na equipe de segurança, aumento de reclamações ou litígios: todos esses são gatilhos que deveriam reabrir a avaliação de risco daquele fornecedor. O monitoramento contínuo é o mecanismo que transforma esses sinais em ação antes que virem crise.

Organizações mais maduras estabelecem uma cadência de reavaliação proporcional à criticidade do fornecedor. Um provedor que sustenta uma operação crítica não pode ser reavaliado a cada renovação anual de contrato, ele precisa de acompanhamento próximo e frequente, com indicadores de risco revisados periodicamente. Um fornecedor de baixo impacto pode ter cadência mais espaçada. Essa priorização por criticidade é o que torna o monitoramento sustentável, porque monitorar tudo com a mesma intensidade é caro e ineficiente.

O que aprendi na prática é que o monitoramento contínuo só funciona quando está integrado aos processos de decisão da organização. Não adianta detectar a deterioração de um fornecedor se essa informação não chega a quem tem poder de suspender pagamentos, exigir remediação ou acionar o plano de saída. O radar precisa estar conectado ao comando, senão vira relatório que ninguém lê.

Gatilhos contratuais que realmente protegem

Contrato bem redigido é a primeira linha de defesa contra o risco de terceiros, e o que separa um contrato protetivo de um contrato decorativo são os gatilhos e as obrigações concretas que ele impõe ao fornecedor. Cláusulas genéricas de confidencialidade e segurança da informação não bastam, porque não criam obrigações verificáveis nem consequências claras diante do descumprimento.

Alguns instrumentos contratuais provaram, na minha experiência, serem os que mais reduzem a exposição real da organização diante de incidentes na cadeia de fornecimento:

• Obrigação de notificação imediata de incidentes de segurança, com prazo definido em horas, não em dias, e penalidades pelo atraso na comunicação
• Direito de auditoria e inspeção, incluindo a possibilidade de auditar não só o fornecedor direto mas também os subcontratados

Perguntas frequentes

O que é due diligence contínua em gestão de fornecedores?
Due diligence contínua é o monitoramento permanente da postura de segurança e conformidade dos terceiros contratados, além da avaliação única no início do relacionamento. Diferente da due diligence inicial, ela detecta mudanças de risco, vulnerabilidades emergentes e desvios de compliance ao longo do tempo. Ataques como os sofridos pela C&M e Dígitro mostram que apenas avaliar o fornecedor na entrada não protege contra riscos que surgem depois.

Por que a due diligence inicial não é suficiente para proteger dados?
A avaliação inicial captura uma fotografia do risco em um momento específico, mas não acompanha mudanças na infraestrutura, equipes de segurança ou processos do fornecedor. Fornecedores compromet idos podem passar na due diligence inicial e serem explorados meses depois, expondo dados sensíveis da sua empresa. A cadeia de suprimentos é dinâmica e precisa de vigilância contínua para evitar incidentes.

Como os ataques à C&M e Dígitro impactam empresas que as contratam?
Quando um fornecedor é comprometido, criminosos ganham acesso indireto aos dados e sistemas de todos os clientes dessa empresa. Além do risco de vazamento de informações, a organização cliente enfrenta responsabilidades regulatórias, multas de conformidade e danos à reputação. Os ataques à C&M e Dígitro exemplificam como vulnerabilidades em terceiros se propagam pela cadeia, afetando dezenas de empresas simultaneamente.

Qual é a responsabilidade legal da empresa contratante por incidentes em fornecedores?
A lei de proteção de dados (LGPD) e regulações de conformidade responsabilizam a organização contratante pela segurança dos dados processados por terceiros, mesmo que o incidente ocorra no servidor do fornecedor. Fiscalizações e multas recaem sobre quem contratou, não apenas sobre o fornecedor. Por isso, manter evidências de controle contínuo e auditorias é essencial para reduzir exposição legal.

Como implementar monitoramento contínuo de terceiros sem sobrecarregar a equipe?
Automation e plataformas de gestão de risco permitem monitorar fornecedores em escala, rastreando certificações, vulnerabilidades reportadas e mudanças de infraestrutura sem esforço manual repetitivo. Defina indicadores claros (SLAs de segurança, frequência de auditorias, testes de penetração) e atribua responsabilidades em contratos. Priorize os fornecedores críticos que acessam dados sensíveis ou sistemas essenciais.

Quando deve ocorrer reavaliação de fornecedores de segurança?
Fornecedores que acessam dados sensíveis ou infraestrutura crítica devem ser reavaliados anualmente no mínimo, com auditorias de segurança de 6 em 6 meses. Mudanças organizacionais do fornecedor, novas ameaças conhecidas ou incidentes publicados justificam reavaliações imediatas. Eventos como os de C&M e Dígitro indicam que a frequência deve aumentar para fornecedores de alta criticidade.

Quais são os indicadores de risco a monitorar em terceiros?
Acompanhe certificações de segurança (ISO 27001, SOC2), vulnerabilidades conhecidas em seus sistemas, frequência de patches de segurança e conformidade regulatória. Monitore também mudanças de liderança técnica, acquisições da empresa fornecedora e reclamações de clientes sobre segurança. Desvios nesses indicadores sinalizam degradação de risco que requer ação imediata.

Quanto custa implementar controle contínuo de fornecedores?
O custo varia conforme o número de fornecedores e nível de automação: softwares de gestão de risco custam entre 50 mil e 500 mil reais anuais, enquanto auditorias especializadas custam 20 mil a 100 mil por fornecedor. Mesmo com investimento, é significativamente menor que a multa de uma violação de dados (até 2% do faturamento pela LGPD) ou a perda de clientes após incidente. O custo de não fazer é muito superior.

Como medir a efetividade do programa de gestão de terceiros?
Meça o tempo entre identificação e remediação de vulnerabilidades em fornecedores, a taxa de conformidade com SLAs de segurança e o número de incidentes evitados por controle preventivo. Acompanhe também cobertura de auditorias (percentual de fornecedores auditados) e conformidade com políticas internas. Relatórios mensais a executivos devem mostrar tendências de risco e ROI do programa.

Quais cláusulas contratuais protegem contra riscos de fornecedores?
Inclua obrigações claras de segurança, direito à auditoria contínua, notificação imediata de incidentes e penalidades por não conformidade. Exija que o fornecedor mantenha seguros de responsabilidade civil e cyber, além de compliance com regulações como LGPD e normas setoriais. Defina direito de rescisão imediata caso surjam vulnerabilidades críticas não remediadas.

A GovSimplix estrutura a Gestão de Terceiros como domínio integrante do seu modelo de governança, conectando o processo de due diligence ao monitoramento contínuo de fornecedores, à gestão de contratos e à trilha de evidências que demonstra diligência em relação a riscos de terceiros para reguladores e auditores.

Sobre o autor

Julio César
Fundador e Arquiteto das Soluções, GovSimplix

Julio César é bacharel em Ciências da Computação pela USTJ e graduado em Análise e Desenvolvimento de Sistemas. É especialista pós-graduado em Cibersegurança e Governança de Dados pela PUC Minas e pós-graduado em Gestão Estratégica de Negócios pela Universidade Presbiteriana Mackenzie.

Possui certificação internacional de Lead Auditor para as normas ISO 27001 (Segurança da Informação), ISO 27701 (Privacidade da Informação) e ISO 42001 (Gestão de Inteligência Artificial), além da certificação Lean Six Sigma Black Belt, voltada para melhoria de processos e redução de variabilidade operacional.

Na GovSimplix, é o responsável pela concepção e evolução da arquitetura metodológica que estrutura os 11 domínios de governança empresarial da plataforma. Combina formação técnica, experiência em auditoria de sistemas de gestão e visão executiva para traduzir a complexidade da governança em estrutura operável para organizações de qualquer porte e setor.