Como governar os fornecedores de segurança da sua empresa

A Proofpoint anunciou em 15 de outubro a compra da Varonis por US$ 6,3 bilhões, com fechamento previsto para o primeiro semestre de 2027. Dois dias depois, a ConnectWise suspendeu seu serviço de backup para o Microsoft 365 após invasores usarem as credenciais do aplicativo para acessar ambientes de clientes. Os fornecedores de segurança pedem inventário de permissões, cláusula de mudança de controle, responsável nomeado e contingência testada.

Olimpio Santos

Na quinta-feira, 15 de outubro, a Proofpoint anunciou a compra da Varonis por cerca de US$ 6,3 bilhões, em dinheiro. A Proofpoint pertence ao fundo Thoma Bravo e vende proteção de e-mail, colaboração e dados. A Varonis é listada na Nasdaq e vende uma plataforma que localiza dados sensíveis e controla quem tem acesso a eles. O preço é de US$ 49,75 por ação, 52% acima da cotação de 22 de junho, último pregão antes dos primeiros rumores de venda. O conselho da Varonis aprovou a operação por unanimidade. O fechamento depende dos acionistas e dos reguladores e está previsto para o primeiro semestre de 2027. Depois disso, a Varonis sai da bolsa.

Segundo o comunicado, a empresa combinada vai atender mais de 16 mil grandes empresas e construir uma plataforma unificada para encontrar dados sensíveis, controlar o acesso de pessoas e de agentes de IA e impedir vazamentos. Em dezembro de 2025, a Proofpoint havia concluído a compra da Hornetsecurity, por US$ 1,8 bilhão. Ao portal CRN, a empresa disse que pretende integrar as capacidades das duas companhias rapidamente após o fechamento.

Dois dias depois, em 17 de outubro, a ConnectWise suspendeu o acesso ao Cloud Backup, seu serviço de cópia de segurança para o Microsoft 365, antigo SkyKick. A empresa informou ter identificado acesso não autorizado às identidades de aplicação do serviço. Segundo o Bleeping Computer, o invasor se autenticou como o próprio aplicativo de backup, usando a credencial dele. Como nenhum usuário fez login, a autenticação em dois fatores não foi acionada. A Huntress identificou pelo menos 162 ambientes do Microsoft 365 comprometidos entre seus clientes. A Microsoft classificou o caso como um ataque ativo à cadeia de suprimentos. Em 18 de outubro, os backups agendados estavam parados e a restauração estava indisponível.

O fornecedor de segurança tem a chave mais ampla da casa

Os dois fatos tratam do mesmo ponto. Para funcionar, uma ferramenta de segurança ou de backup recebe permissões que poucos funcionários têm. O backup do Microsoft 365 lê e grava e-mails, arquivos e conversas de toda a empresa. A plataforma de proteção de dados enxerga onde estão os contratos, as folhas de pagamento e os dados de clientes.

Essa permissão é concedida uma vez, na implantação, e costuma ficar ativa por anos. A credencial do aplicativo dificilmente passa pela revisão periódica de acessos feita para pessoas. Quando o fornecedor é invadido, a empresa cliente herda o problema sem ter sido o alvo.

A compra da Varonis cria outra situação a decidir. O contrato, o acordo de tratamento de dados, a localização dos servidores e o roteiro de produto foram negociados com uma empresa. A partir de 2027, quem responde por eles é outra. O comunicado fala em integração e plataforma unificada. Para o cliente, isso pode significar migração de console, mudança de preço na renovação, novos subcontratados com acesso aos dados ou descontinuação de módulos.

O mercado de segurança está concentrando

A Proofpoint fez duas aquisições bilionárias em menos de um ano: a Hornetsecurity, concluída em dezembro de 2025, e a Varonis, anunciada agora. O argumento comercial das plataformas unificadas é conhecido: menos fornecedores, menos integrações, um painel só.

A concentração tem custo para quem compra. Com menos fornecedores, cada um deles acumula mais acesso aos dados da empresa. Uma falha em um fornecedor atinge mais funções ao mesmo tempo. E o poder de negociação na renovação muda quando a alternativa de mercado foi comprada pelo fornecedor atual.

Quatro regras para governar fornecedores de segurança

Primeira: inventário de permissões por fornecedor. A empresa mantém a lista de cada ferramenta de segurança, backup e monitoramento com acesso aos seus sistemas, com as permissões concedidas a cada aplicativo e a data da última revisão. Permissões que excedem o uso real são reduzidas. Credenciais de aplicativo têm validade definida e passam pela mesma revisão trimestral aplicada aos administradores.

Segunda: cláusula de mudança de controle. O contrato prevê aviso formal quando o fornecedor muda de dono, preserva preço e condições até o fim do período vigente, exige aviso prévio para troca de subcontratados com acesso a dados e garante a devolução dos dados em formato utilizável em caso de saída. Para contratos já assinados, esses pontos entram na próxima renovação.

Terceira: responsável nomeado e critério declarado. Cada fornecedor crítico tem um dono interno que acompanha incidentes, mudanças societárias e alterações de produto. A empresa define por escrito o que dispara uma reavaliação: aquisição anunciada, incidente com dados de clientes, mudança de localização dos dados ou fim de suporte de um módulo usado.

Quarta: plano de contingência testado. Para cada serviço crítico, a empresa sabe o que fazer se ele parar por uma semana. No caso do backup, isso inclui uma segunda cópia fora do fornecedor principal e um teste de restauração com data marcada. O resultado de cada incidente e de cada reavaliação atualiza o inventário e o critério usado na próxima decisão.

Como fica na prática

Um grupo de clínicas com 30 unidades usa uma plataforma de proteção de dados para mapear prontuários e controlar o acesso às pastas compartilhadas, e um serviço de backup do Microsoft 365 contratado de outro fornecedor. As duas ferramentas têm acesso a todos os arquivos da empresa.

O fornecedor da plataforma de dados anuncia que será comprado por um concorrente, com fechamento previsto em seis meses. A gerente de segurança, dona do contrato, abre a reavaliação prevista no critério da empresa. Ela registra três perguntas ao fornecedor: onde os dados ficarão hospedados após a integração, se haverá novos subcontratados com acesso a eles e se o preço atual vale até o fim do contrato. A área jurídica confere a cláusula de mudança de controle e confirma o direito de saída sem multa caso a hospedagem mude de país.

Na mesma semana, a equipe revisa as permissões do aplicativo de backup. Encontra uma credencial criada na implantação, há três anos, com acesso de gravação que o serviço deixou de usar. A permissão é reduzida para leitura e a credencial passa a expirar a cada 90 dias. A gerente marca para o mês seguinte um teste de restauração a partir da segunda cópia mantida em outro provedor. As respostas do fornecedor e o resultado do teste entram no relatório trimestral apresentado à diretoria, com a recomendação de manter ou trocar cada serviço.

As decisões desta semana

A compra da Varonis vai levar meses para fechar. O incidente da ConnectWise aconteceu em dias. Os dois casos mostram que a segurança da empresa depende das decisões de terceiros que têm acesso amplo aos seus dados.

Três perguntas mostram se a empresa está preparada. Quais aplicativos de fornecedores têm hoje permissão de leitura ou gravação sobre todos os e-mails e arquivos, e quando essas permissões foram revisadas? Os contratos com fornecedores de segurança preveem o que acontece quando eles mudam de dono? Se o backup parar amanhã, de onde a empresa restaura os dados e em quanto tempo?

Quem responde às três com dados atualizados decide com critério na próxima aquisição ou no próximo incidente de um fornecedor. Quem não responde pode começar pelo inventário de permissões, que leva poucos dias.