Risk assessment de fornecedores muda a defesa em tecnologia

Ataques a organizações de tecnologia passaram a chegar pela cadeia de fornecimento de serviços, segundo Cássio Campos, líder de cibersegurança. Na leitura dele, o movimento colocou a avaliação de terceiros no centro da estratégia de risco e passou a integrar também o cálculo comercial de compradores corporativos, seguradoras e investidores institucionais. A análise vem de auditorias realizadas em empresas de tecnologia, serviços financeiros e setores regulados. O livro que a reúne, intitulado "O Paradoxo da Liderança de Tecnologia", será lançado em setembro de 2026 na sede da Rede Líderes, em São Paulo. 

Campos relata que, nas auditorias, questionários de segurança que antes eram apresentados apenas na fase de fechamento de contrato passaram a ser exigidos no meio do ciclo de venda. Os contratos passaram a incluir cláusulas de auditoria, e os prazos de negociação se estenderam sem alteração no produto ofertado.

"O conflito entre velocidade e segurança é real no sintoma e falso na origem", afirmou Campos. Segundo o auditor, a lógica que sustenta o movimento é econômica. Ao integrar a avaliação de segurança ao processo de compra, a organização adquirente estima o custo potencial de uma falha do fornecedor, abrangendo interrupção de serviço, exposição de dados, sanções regulatórias e danos reputacionais. Fornecedores que mantêm controles documentados e verificáveis reduzem esse custo estimado, influenciando duas variáveis de negociação. O custo de due diligence para o comprador diminui, e a disposição de pagamento aumenta. A documentação também encurta a etapa de validação, porque o comprador verifica evidência pronta em vez de reconstituir a postura do fornecedor durante a negociação. 

Na avaliação de Campos, essa diferença de risco se reflete no preço que o mercado cobra para assumir o fornecedor. No seguro cibernético, organizações que documentam e testam controles em linha com frameworks reconhecidos, como o NIST CSF 2.0, tendem a obter condições melhores que organizações de perfil técnico equivalente sem evidência de gestão de risco. 

O autor identifica o mesmo critério em operações de fusão e aquisição e em rodadas de captação de recursos. Na descrição dele, investidores institucionais passaram a incluir a postura de segurança como item padrão de due diligence, depois de transações em que passivo cibernético identificado tardiamente afetou o múltiplo acordado.

A mudança de exigência não foi acompanhada por uma reestruturação das funções de liderança de tecnologia. Conselhos de administração aumentaram a pressão por inovação em inteligência artificial, reguladores revisaram requisitos em ciclos curtos e clientes corporativos passaram a tratar a postura de segurança como condição contratual, sem que a autoridade dos cargos fosse ajustada.

Como resultado, observa-se um padrão em organizações de diferentes portes. Equipes de risco se organizam em torno do veto para serem ouvidas quando o produto avança sem consulta prévia, enquanto equipes de produto desenvolvem estratégias de contorno. Cada lado percebe o outro como obstáculo, sem análise da origem da tensão.

O impacto financeiro da situação é difuso, pois se dilui ao longo de ciclos de venda mais longos e oportunidades perdidas, dificultando a mensuração precisa. Campos enfatiza que a responsabilidade não recai sobre a tecnologia, mas sobre processos e incentivos internos.

"Segurança bem feita acelera porque reduz o prêmio de risco que o mercado cobra de qualquer organização que inova em ambientes incertos", afirma Cássio Campos.

Cássio Campos conduz auditorias de 3ª Parte nas principais certificadoras do país como QMS Certification, DNV e Bureau Veritas, e também atua com implementação de Sistemas de Gestão em Segurança da Informação (ISO/IEC 27.001), Privacidade e Proteção de Dados (ISO/IEC 27.701), Governança de Inteligência Artificial (ISO/IEC 42.001) e Continuidade de Negócios (ISO 22.301). Possui experiência de mais de 12 anos em governança, riscos e conformidade em segurança da informação e proteção de dados, além de pós‑graduação pela FIAP, DARYUS, IPOG e Unicamp.

A obra é publicada pela A7Z, vertical editorial da Rede Líderes voltada à construção de posicionamento e autoridade editorial de lideranças. 

A Rede Líderes reúne mais de 900 líderes de diferentes áreas e empresas e atua como espaço para descobrir as melhores soluções do mercado e apresentá-las baseadas em experiências reais. A combinação entre a publicação pela A7Z e atuação na Rede coloca o conteúdo diante de uma audiência que participa de decisões e estratégias de negócio em áreas distintas.

Website: https://www.a7z.com.br