Porque ele entra na operação com credenciais legítimas, e a empresa muitas vezes não controla como ele se protege. No Global Cybersecurity Outlook 2026, do Fórum Econômico Mundial, 65% das grandes empresas apontam as vulnerabilidades de terceiros e da cadeia de suprimentos como o maior obstáculo à resiliência cibernética, contra 54% em 2025. O IBM X-Force Threat Intelligence Index 2026 conta que os grandes comprometimentos pela cadeia de suprimentos e por terceiros quase quadruplicaram desde 2020. Na fábrica, isso tem rosto: o integrador que acessa o PLC, o fabricante que dá suporte remoto à máquina, o prestador de manutenção e o parceiro logístico ligado ao ERP.
O que os relatórios mostram
O WEF ouviu 804 participantes qualificados de 92 países entre agosto e outubro de 2025, entre eles 316 CISOs e 105 CEOs. No relatório, grande empresa é a que fatura mais de US$ 5,5 bilhões por ano. Os pontos que importam para a manufatura:
- no geral, o principal risco da cadeia de suprimentos é o risco herdado: não conseguir garantir a integridade de software, hardware e serviços de terceiros. A falta de visibilidade sobre a cadeia estendida vem em segundo;
- no grupo de manufatura, cadeia de suprimentos e transporte, a ordem muda: primeiro a falta de visibilidade, depois a dependência excessiva de fornecedores críticos, o risco de concentração. No grupo de saúde e consumo, o risco herdado vem primeiro;
- 66% das organizações avaliam a maturidade de segurança dos fornecedores e 65% põem a área de segurança no processo de compras, mas só 33% mapeiam o ecossistema em detalhe e 27% simulam incidentes ou exercícios de recuperação com os parceiros;
- o elo mais fraco costuma ser um fornecedor com menos maturidade em segurança, sobretudo os menores, que podem não ter recursos nem incentivo para medidas robustas.
A IBM descreve o caminho: os atacantes exploram relações de confiança, a automação de CI/CD nos fluxos de desenvolvimento e as integrações de SaaS. Para o WEF, os números indicam que a gestão do risco da cadeia muitas vezes é tratada como checklist de conformidade, e não como processo contínuo.
Onde está o acesso privilegiado de terceiros numa fábrica
Acesso privilegiado é o que permite mudar configuração, programa ou dado: administrar um servidor, alterar a lógica de um controlador, publicar uma atualização. Na manufatura, ele costuma estar com quem a operação precisa para funcionar:
- integradores e fabricantes de máquinas, com suporte remoto às linhas;
- prestadores de manutenção e de serviços gerenciados de TI;
- fornecedores de software industrial e corporativo, com contas de serviço e integrações;
- na produção farmacêutica e na medicina diagnóstica, os fabricantes de equipamentos e os fornecedores de sistemas de laboratório que dão suporte a distância;
- parceiros logísticos e de suprimentos, conectados aos sistemas de pedidos.
A CISA observa que muitas organizações de infraestrutura crítica, ou os prestadores que trabalham para elas, fazem concessões de risco ao montar o acesso remoto a OT, e que essas escolhas merecem uma revisão cuidadosa. Lembra também que falhas de configuração podem entrar pelo integrador, pelo prestador de serviços gerenciados ou pela configuração de fábrica do produto. Entre os nove riscos que a Vortex mapeia em ambientes industriais está o acesso remoto descontrolado: TeamViewer, VNC e RDP rodando em produção sem MFA nem controle centralizado.
Controles que fecham o caminho
Os frameworks já dizem o que fazer. O NIST CSF 2.0 tem uma categoria só para o risco da cadeia de suprimentos, a GV.SC. A série ISA/IEC 62443 tem uma parte com os requisitos do programa de segurança para prestadores de serviço em sistemas de automação e controle industrial, a 2-4, e parte do princípio da responsabilidade compartilhada entre o dono do ativo, os fornecedores de produto, os integradores e os prestadores de serviço. Na prática:
- conhecer os fornecedores e classificá-los pela criticidade (GV.SC-04);
- pôr os requisitos de segurança no contrato (GV.SC-05) e acompanhar o risco durante toda a relação (GV.SC-07);
- incluir os fornecedores relevantes no planejamento, na resposta e na recuperação de incidentes (GV.SC-08);
- prever o que acontece depois do fim do contrato, a começar pelos acessos (GV.SC-10);
- no acesso remoto, usar VPN com senha forte e MFA resistente a phishing, aplicar o menor privilégio para o ativo e o escopo do trabalho e desativar as contas paradas, como recomenda a CISA;
- gravar e monitorar as sessões privilegiadas, porque um ataque com a credencial do fornecedor parece trabalho normal até alguém comparar com o comportamento de sempre.
O que cada área do comitê pode fazer
- COO e diretoria industrial: saber quais fornecedores param a linha se forem comprometidos e quanto tempo a operação aguenta sem cada um.
- Produção e P&D: limitar o acesso de terceiros a projetos, fórmulas e receitas ao escopo e ao prazo do trabalho.
- TI corporativa: uma credencial por pessoa, sem conta compartilhada entre os técnicos do fornecedor, e a revogação no mesmo dia em que o contrato ou o projeto termina.
- Compras: avaliação de segurança proporcional à criticidade antes de contratar, com cláusulas de notificação de incidente e de desligamento dos acessos.
- Qualidade, regulatório e jurídico: a trilha de quem acessou o quê e quando, para a auditoria e para a investigação de um vazamento.
Como a Vortex ajuda
A página de manufatura trata a cadeia de fornecedores como frente própria. A Vortex avalia o risco de terceiros (TPRM) no Security Consulting e, pelo Security Integration, implanta o PAM, com gravação de sessão e acesso just-in-time, e o acesso remoto seguro a OT, com jump servers, MFA e aprovação do engenheiro responsável. No Cyber Defense Center, a análise comportamental revela abuso de contas privilegiadas mesmo com credenciais legítimas. No case de saneamento, a credencial temporária de terceiros está entre os controles priorizados. A IEC 62443 está no guia de OT e na página de ambientes industriais.