Uma empresa de serviços financeiros contratou um fornecedor de análise de dados em nuvem para o tratamento de dados de clientes. O relatório SOC 2 Tipo II do fornecedor cobria sua plataforma de análise. O que o relatório não cobria, e o que a avaliação de TPRM não havia alcançado, era o uso, pelo fornecedor, de um suboperador para armazenamento de dados. O fornecedor armazenava os resultados processados das análises em um data warehouse gerenciado, operado por uma terceira empresa. Aproximadamente cinquenta e três por cento dos dados de clientes da empresa financeira, após o tratamento, ficavam na infraestrutura desse suboperador. O suboperador não tinha relação contratual direta com a empresa financeira. O DPA da empresa financeira com o fornecedor de análise incluía uma cláusula que permitia o uso de suboperadores mediante aviso por escrito, e o aviso havia sido enviado. A empresa financeira havia acusado o recebimento do aviso. Ninguém havia avaliado os controles de segurança do suboperador. Ninguém havia revisado a residência de dados do suboperador. Ninguém havia confirmado que as obrigações de notificação de violações do suboperador chegavam até a empresa financeira com os mesmos prazos das obrigações do fornecedor principal. Os dados de clientes da empresa financeira estavam em um sistema regido por um contrato do qual ela não era parte, avaliado por um programa que não o alcançava e coberto por obrigações de notificação de violações que não haviam sido validadas.
O que é, de fato, o problema do risco de terceiros versus quartas partes?
O risco de quartas partes é o risco de segurança criado pelos fornecedores dos seus fornecedores: os suboperadores, subprestadores de serviços e participantes da cadeia de suprimentos que seus terceiros usam para prestar serviços a você. Você tem uma relação direta com seus terceiros: contratou-os, avaliou-os e os governa por meio do seu programa de TPRM. Você tem uma relação indireta com os suboperadores deles: seus dados podem passar por eles, seus serviços podem depender deles e uma violação ou falha no nível das quartas partes pode afetar seus clientes, mas você não tem relação contratual direta, avaliação direta nem governança direta.
O problema da cadeia de dependências é a dinâmica fundamental do risco de quartas partes. Os serviços de tecnologia modernos são construídos sobre cadeias de dependências: um fornecedor de SaaS usa infraestrutura de nuvem, bancos de dados nativos de nuvem, serviços de autenticação de terceiros, redes de distribuição de conteúdo e serviços especializados de processamento de dados. Cada dependência é uma relação com uma quarta parte do ponto de vista do cliente. Os controles do fornecedor de SaaS regem a plataforma SaaS. Os controles do provedor de infraestrutura de nuvem regem a infraestrutura. A avaliação de risco do cliente cobre o primeiro elo. Os elos seguintes ficam invisíveis, a menos que a documentação de avaliação do fornecedor os revele.
O requisito de visibilidade sobre quartas partes do GDPR é a exigência regulatória mais direta para a gestão de riscos de quartas partes. O Artigo 28 do GDPR exige que os operadores utilizem suboperadores somente com autorização prévia por escrito do controlador e que os suboperadores estejam sujeitos a obrigações equivalentes de proteção de dados. Isso significa que o DPA de uma organização com um fornecedor deve incluir disposições aplicáveis aos suboperadores do fornecedor, e que a organização deve ter alguma base para garantir que essas obrigações estão sendo cumpridas. Em ações de fiscalização, os reguladores do GDPR já responsabilizaram controladores por violações em suboperadores quando não havia uma supervisão adequada dos suboperadores.
- Inventário de suboperadores não obtido: nenhuma visibilidade sobre quais quartas partes tratam dados de clientes em nome do fornecedor
- SOC 2 ou equivalente do suboperador não revisado: nenhuma garantia sobre a postura de segurança da quarta parte
- Cadeia do DPA com os suboperadores não validada: se obrigações equivalentes de proteção de dados são repassadas aos suboperadores
- Cadeia de notificação de violações do suboperador não confirmada: se as obrigações de notificação de violações são repassadas na cadeia dentro dos prazos exigidos
- Nenhuma avaliação do risco de concentração em quartas partes: vários fornecedores usando o mesmo suboperador, criando risco correlacionado
Por que isso importa
O risco de quartas partes é importante porque as violações de dados não respeitam as fronteiras organizacionais da cadeia de dependências. Quando um suboperador sofre uma violação, a obrigação de notificação da violação, o exame regulatório e o impacto sobre os clientes recaem sobre a organização cujos dados foram tratados, independentemente de quantos elos contratuais separam a organização do suboperador. A violação da Target foi um evento de risco de terceiros (fornecedor de HVAC). A violação da SolarWinds foi um evento de risco de terceiros no nível dos clientes da SolarWinds e, ao mesmo tempo, um evento de risco de quartas partes para os clientes de organizações que usavam a SolarWinds: a violação afetou sistemas de empresas que não usavam a SolarWinds diretamente, mas dependiam de prestadores de serviços que a usavam.
A dimensão do risco de concentração é a preocupação de risco de quartas partes mais difícil de enxergar a partir da avaliação de um fornecedor individual. Se vários fornecedores usam o mesmo provedor de infraestrutura de nuvem, o mesmo serviço gerenciado de banco de dados ou a mesma plataforma de autenticação, uma única falha no nível do suboperador compartilhado afeta todos os fornecedores ao mesmo tempo, e todos os clientes deles. As avaliações individuais de fornecedores não revelam a exposição correlacionada que as dependências compartilhadas de quartas partes criam em todo o portfólio de fornecedores.
Onde a maioria das equipes erra
A falha mais recorrente é tratar a responsabilidade contratual do fornecedor pelos suboperadores como equivalente à gestão de riscos dos suboperadores pelo cliente. A responsabilidade contratual distribui a responsabilização. Ela não elimina a obrigação regulatória do cliente, o impacto reputacional nem o requisito de notificação aos clientes se o suboperador sofrer uma violação.
- Tratar a responsabilidade contratual do fornecedor como gestão de riscos do cliente
- Inventário de suboperadores não solicitado: confiança na notificação de suboperadores prevista no DPA sem revisar o inventário
- Nenhuma avaliação de segurança dos suboperadores: postura das quartas partes não revisada
- Cadeia de notificação de violações não validada: não confirmado que as obrigações dos suboperadores são repassadas na cadeia com os prazos exigidos
- Concentração em quartas partes não avaliada: suboperadores compartilhados em todo o portfólio de fornecedores não identificados
Como é uma boa prática
Programas maduros de risco de quartas partes obtêm inventários de suboperadores dos fornecedores críticos, revisam as credenciais de segurança dos suboperadores, validam que as obrigações do DPA são repassadas aos suboperadores com requisitos equivalentes, confirmam as cadeias de notificação de violações e avaliam o risco de concentração em todo o portfólio de fornecedores.
- Inventário de suboperadores dos fornecedores críticos: lista completa dos suboperadores que tratam dados de clientes
- Revisão das credenciais de segurança dos suboperadores: relatórios SOC 2 ou equivalentes para suboperadores relevantes
- Validação da cadeia do DPA: confirmação de que obrigações equivalentes de proteção de dados se aplicam aos suboperadores
- Confirmação da cadeia de notificação de violações: as obrigações de notificação de violações dos suboperadores são repassadas na cadeia dentro dos prazos exigidos
- Avaliação da concentração em quartas partes: suboperadores compartilhados em todo o portfólio de fornecedores identificados
Ferramentas
Plataformas de TPRM com mapeamento de quartas partes: ProcessUnity, Prevalent
Plataformas de TPRM com mapeamento de relações com quartas partes permitem visualizar a cadeia de dependências além do fornecedor direto, acompanhando quais suboperadores são usados por quais fornecedores e identificando concentração no nível das quartas partes. Para profissionais de TPRM, perguntar se a plataforma de TPRM permite o mapeamento de relações com quartas partes constitui uma pergunta específica sobre a visibilidade da cadeia de dependências.
Inteligência da cadeia de suprimentos: Interos, Coupa Risk
As plataformas de inteligência da cadeia de suprimentos mapeiam a cadeia de suprimentos estendida além dos fornecedores diretos, identificando quais suboperadores os fornecedores usam e monitorando esses suboperadores em busca de sinais de risco de segurança e operacional. Para profissionais de TPRM, usar plataformas de inteligência da cadeia de suprimentos nas relações com fornecedores críticos oferece visibilidade sobre quartas partes sem exigir interação direta com cada suboperador.
Desafios de governança
O desafio de governança do risco de quartas partes é a limitação do alcance da avaliação. Os clientes não podem avaliar diretamente os suboperadores de seus fornecedores: não têm relação contratual, direitos de avaliação nem acesso direto. A governança do risco de quartas partes exige trabalhar por meio do fornecedor, solicitando inventários de suboperadores, exigindo que os fornecedores gerenciem o risco dos suboperadores segundo padrões definidos e usando as certificações e os relatórios SOC 2 fornecidos pelo fornecedor como mecanismos de garantia no nível das quartas partes.
- Solicite inventários de suboperadores aos fornecedores de Nível 1: lista de todos os suboperadores que tratam dados de clientes
- Exija que o fornecedor mantenha relatórios SOC 2 ou equivalentes dos suboperadores
- Valide a redação das obrigações dos suboperadores no DPA: requisitos equivalentes aplicados
- Confirme a cadeia de notificação de violações: com que rapidez as violações nos suboperadores chegam ao cliente
- Identifique a concentração em quartas partes em todo o portfólio de fornecedores
Se você faz parte de uma equipe pequena
Peça aos seus três fornecedores de maior risco uma lista completa dos suboperadores que tratam os dados da sua organização: não apenas o aviso que você recebeu nos termos do DPA, mas as empresas específicas, o que elas tratam, onde armazenam os dados e se possuem certificações SOC 2 ou equivalentes. Essa lista é o inventário de quartas partes das suas relações mais críticas. Qualquer suboperador que trate mais de vinte por cento dos seus dados em um fornecedor e que você não tenha avaliado, nem cujas credenciais você tenha revisado, é uma lacuna de risco de quartas partes que merece ser tratada.
- Solicite o inventário completo de suboperadores aos fornecedores de maior risco
- Revise as certificações SOC 2 ou equivalentes dos suboperadores relevantes
- Valide a cadeia de obrigações do DPA até os suboperadores
- Confirme o prazo de notificação de violações do suboperador até o cliente
O que exigir
Pergunte diretamente:
“Vocês podem fornecer uma lista completa dos suboperadores que tratam os dados da nossa organização, incluindo o que cada um trata, onde armazena os dados e quais certificações de segurança possui?”
“Se um suboperador sofrer uma violação que afete nossos dados, qual é o prazo de notificação do suboperador para vocês e de vocês para nós, e o prazo combinado está dentro do nosso requisito regulatório de notificação?”
O que esperar como evidência
- Inventário completo de suboperadores com funções e categorias de dados
- Certificações de segurança dos suboperadores: SOC 2 ou equivalente
- Confirmação das obrigações do DPA para os suboperadores
- Documentação do cronograma da cadeia de notificação de violações
Um fornecedor que confirmou a notificação de suboperadores prevista no DPA deve ser solicitado a apresentar o inventário completo dos suboperadores que tratam os dados do cliente e o prazo combinado de notificação de violações, do suboperador até o cliente. A notificação foi feita. A questão da gestão de riscos de quartas partes é outra.
Como comprovar
- Registros do inventário de suboperadores dos fornecedores críticos
- Registros da revisão das credenciais de segurança dos suboperadores
- Validação da cadeia do DPA com os suboperadores
- Confirmação do prazo da cadeia de notificação de violações
Principal conclusão
Seu fornecedor é seu terceiro. O suboperador dele é sua quarta parte. Os dados na infraestrutura do suboperador são seus dados. A obrigação de notificação quando o suboperador sofre uma violação é sua obrigação. O exame regulatório que se segue é seu exame. A responsabilidade contratual do fornecedor pelos suboperadores distribui a responsabilização entre você e o fornecedor. Ela não altera sua posição regulatória. Solicite o inventário de suboperadores. Revise as credenciais de segurança. Valide a cadeia do DPA. Confirme o prazo de notificação. O risco de quartas partes não desaparece porque o fornecedor é contratualmente responsável por ele.