Fornecedor com acesso à sua rede: como liberar sem abrir brecha

Por que o acesso de fornecedor é o ponto cego mais comum

Quase toda empresa hoje depende de terceiros que precisam entrar na rede: o integrador do ERP, a software house que mantém o sistema de faturamento, o fornecedor do relógio de ponto, a empresa que instalou as câmeras, o consultor que ajusta o banco de dados. Cada um desses parceiros resolve um problema real do negócio — e cada um deles, se conectado da forma errada, vira uma porta aberta que ninguém está olhando. O padrão que se repete nas auditorias é sempre o mesmo: o acesso foi criado às pressas para resolver uma urgência, funcionou, e nunca mais foi revisado.

O risco não é hipotético. Uma parcela relevante dos incidentes de segurança em empresas brasileiras de médio porte começa por uma credencial de terceiro — não por um ataque sofisticado ao perímetro. O invasor não precisa furar seu firewall se ele conseguir a senha do técnico do fornecedor, que usa a mesma senha em cinco clientes diferentes e guarda tudo numa planilha. A superfície de ataque da sua empresa passa a incluir a maturidade de segurança de cada fornecedor que você conecta.

Some-se a isso o fator tempo. Um acesso concedido para "a migração da semana que vem" costuma continuar ativo dois anos depois, com o técnico que o usava já trabalhando em outra empresa. Sem prazo de validade e sem revisão periódica, o inventário de acessos externos só cresce, e ninguém consegue responder com precisão à pergunta mais básica de governança: quem, exatamente, consegue entrar na nossa rede agora?

Escopo mínimo: o fornecedor acessa o sistema, não a rede

O erro estrutural mais caro é tratar acesso de terceiro como acesso de funcionário. Quando o fornecedor recebe uma VPN comum, ele entra na rede inteira — e a partir dali enxerga o servidor de arquivos, o controlador de domínio, as impressoras, o NAS de backup e tudo mais que estiver na mesma faixa de IP. O trabalho dele exigia alcançar uma porta de um servidor; ele ganhou alcance a centenas de ativos.

O princípio do menor privilégio aplicado a fornecedores significa desenhar o acesso a partir da tarefa, não da conveniência. Antes de liberar qualquer coisa, três perguntas precisam de resposta escrita: qual host de destino, qual porta ou aplicação, e por quanto tempo. Se o fornecedor não sabe responder, ele ainda não sabe o que precisa — e conceder acesso amplo "por precaução" é transferir o custo dessa indefinição para o seu risco.

Na prática, o escopo mínimo se traduz em controles concretos:

• Segmentação de rede: o destino do fornecedor fica em uma VLAN separada, com regras de firewall que permitem apenas o tráfego necessário — e negam o resto por padrão.
• Acesso por aplicação, não por rede: modelos de ZTNA (Zero Trust Network Access) e brokers de acesso publicam apenas o serviço específico, sem entregar um túnel de rede completo.
• Conta nominal por técnico: nada de usuário genérico "suporte_fornecedor" compartilhado pela equipe inteira. Sem identidade individual, não existe responsabilização.
• Sem privilégio administrativo permanente: se a tarefa exige admin, o privilégio é elevado sob demanda para aquela janela, e volta ao normal depois.
• Bloqueio de movimentação lateral: negar explicitamente RDP, SMB e SSH da estação do fornecedor para qualquer host fora do escopo aprovado.

Vale lembrar que o mesmo raciocínio se aplica a integrações automatizadas. Uma API key entregue ao fornecedor para "puxar dados do sistema" é um acesso permanente e silencioso. Ela merece o mesmo tratamento: escopo restrito, rotação periódica e registro de uso.

Prazo e revogação: acesso nasce com data para morrer

Todo acesso de terceiro deve ser criado já com prazo de expiração automática. Não uma anotação no calendário do TI, não um lembrete no e-mail — expiração técnica, configurada no próprio diretório ou na ferramenta de acesso, que desliga o usuário sozinha quando a data chega. A diferença entre os dois modelos é enorme: o primeiro depende de alguém lembrar, o segundo funciona mesmo quando todo mundo esquece.

Uma política que funciona bem no dia a dia usa janelas curtas e renováveis. Acesso pontual para uma manutenção dura o dia. Acesso para um projeto de implantação dura o sprint ou o mês, e é renovado mediante justificativa. Acesso contínuo de sustentação — o caso do fornecedor do ERP que atende chamados o ano todo — existe, mas passa por revisão trimestral formal, com o gestor da área confirmando que o contrato continua ativo e que os técnicos listados ainda trabalham lá.

Regra prática: se você não consegue dizer em qual data um acesso de terceiro expira, ele já deveria ter expirado.

A revogação exige um gatilho claro no processo, e o mais negligenciado é o fim de contrato. Quando o serviço do fornecedor termina, alguém precisa fechar o ciclo — e esse alguém raramente é avisado. Amarrar a baixa do acesso ao encerramento contratual, junto com jurídico e compras, elimina a maior fonte de credenciais órfãs. O mesmo vale para o desligamento de um técnico específico do fornecedor: o contrato exige que ele comunique a saída em até 24 horas, e a conta nominal daquele profissional é desativada de imediato.

Um processo de revogação maduro cobre, na sequência: desabilitar a conta no diretório, encerrar sessões ativas (não basta desabilitar se a sessão continua aberta), revogar tokens e chaves de API associados, remover a regra de firewall correspondente e registrar a baixa no inventário. Deixar qualquer um desses itens para depois é deixar meia porta aberta.

MFA e credenciais: o mínimo inegociável

Senha sozinha não é mais um controle de acesso aceitável para terceiros — e vale sublinhar que ela é ainda mais frágil no caso do fornecedor do que no do funcionário. O técnico externo usa a credencial de dentro da rede dele, num notebook que você não gerencia, possivelmente sem antivírus corporativo e sem política de bloqueio de tela. Se aquela máquina tiver um infostealer, sua senha vaza sem que nada aconteça de anormal do seu lado.

Autenticação multifator (MFA) obrigatória para todo acesso externo é o controle de maior retorno por esforço em segurança corporativa. Idealmente com métodos resistentes a phishing — chaves FIDO2 ou autenticação por aplicativo com correspondência de número — em vez de SMS, que é vulnerável a troca de chip. Junto com o MFA, políticas de acesso condicional permitem restringir de onde a conexão pode partir: bloquear países fora da operação, exigir conformidade do dispositivo, negar protocolos de autenticação legados.

Sobre a gestão das credenciais em si, três práticas fazem a maior diferença:

1. Nunca compartilhar senha por e-mail ou WhatsApp. Use um cofre de senhas corporativo com compartilhamento controlado e trilha de quem revelou o quê e quando.
2. Não reaproveitar credenciais entre clientes ou ambientes. Cada empresa atendida pelo fornecedor deve ter credencial distinta — assim um vazamento não se propaga.
3. Rotacionar após incidente ou saída de técnico. Se houve suspeita de comprometimento no lado do fornecedor, a troca é imediata, sem esperar a apuração terminar.

Para os acessos mais sensíveis — banco de dados de produção, controlador de domínio, console do hipervisor — o passo seguinte é o acesso intermediado por bastion host ou jump server. O fornecedor autentica no bastion, e é o bastion que fala com o ativo crítico. A credencial real do servidor nunca chega às mãos do terceiro, e toda a sessão passa por um ponto único de controle e gravação.

Auditoria: registrar, guardar e efetivamente olhar

Controlar quem entra resolve metade do problema. A outra metade é conseguir reconstruir depois o que foi feito. Sem log, um incidente envolvendo terceiro vira discussão de versões: o fornecedor diz que não mexeu naquilo, você não consegue provar o contrário, e o prejuízo fica sem responsável definido. Registro não é burocracia — é o que transforma suspeita em fato.

O conjunto mínimo de evidências a coletar inclui autenticações bem-sucedidas e falhas, horário de início e fim de cada sessão, IP de origem, host acessado e comandos ou operações executadas em ambientes críticos. Para acessos de maior risco, gravação de sessão em vídeo ou keystroke logging no bastion agrega uma camada de evidência difícil de contestar. Os registros devem ficar fora do alcance de quem é auditado, com retenção definida em política — 6 a 12 meses cobre a maioria dos cenários de investigação e conformidade.

Guardar log sem revisar, porém, é ilusão de controle. O ganho real vem de alertas automáticos sobre padrões anômalos: acesso fora do horário comercial acordado, tentativa de alcançar host fora do escopo aprovado, volume atípico de dados transferido, uso de conta que deveria estar expirada, autenticação a partir de geolocalização inesperada. Encaminhar esses eventos para um SIEM ou para a central de monitoramento, com alerta em tempo real, fecha o ciclo.

Do lado contratual, os requisitos técnicos precisam estar escritos. Um bom termo de acesso de terceiro define o escopo autorizado, a proibição de compartilhar credenciais, a obrigação de comunicar incidentes em prazo determinado, a aceitação de monitoramento e gravação de sessão, e as responsabilidades em caso de vazamento. Sob a LGPD, se o fornecedor toca em dados pessoais, ele é operador — e a empresa contratante permanece responsável pela escolha e pela fiscalização desse operador. Contrato genérico não protege ninguém nesse cenário.

Como a Duk estrutura o acesso de terceiros na prática

Colocar tudo isso de pé exige mais do que boa intenção: exige desenho de rede, ferramenta de acesso adequada, processo de aprovação e alguém acompanhando os alertas. Em nossos 18+ anos atendendo empresas, a Duk Informática & Cloud implantou esse modelo em ambientes de todos os portes, e o padrão que mais funciona combina segmentação de rede bem feita, acesso publicado por aplicação em vez de VPN plena, cofre de senhas corporativo com trilha de auditoria e revisão periódica formal dos acessos ativos.

O trabalho começa por um levantamento honesto: mapear todos os acessos externos existentes hoje, incluindo os que ninguém lembrava. Esse inventário quase sempre revela contas ativas de fornecedores antigos, VPNs sem prazo e usuários genéricos compartilhados. A partir daí, cada acesso legítimo é redesenhado com escopo mínimo, MFA e prazo, e o que não tem dono nem justificativa é desativado. Como Microsoft Gold Partner, aplicamos os recursos de acesso condicional e identidade do Microsoft 365 e do Entra ID nesse desenho, integrados ao restante da infraestrutura — firewall, segmentação e monitoramento.

Com mais de 550 empresas atendidas, sabemos que o objetivo não é dificultar a vida do fornecedor. Um acesso bem estruturado costuma ser mais rápido para o técnico externo do que a VPN improvisada: ele entra direto no que precisa, sem depender de alguém do TI liberar manualmente a cada chamado. Segurança bem implementada e agilidade operacional não são forças opostas — o que atrapalha os dois é o improviso. Se sua empresa não tem hoje uma lista confiável de quem consegue entrar na rede, esse é o ponto de partida, e nossa equipe pode conduzir esse diagnóstico com você.