Uma empresa de serviços financeiros mantinha requisitos rigorosos de verificação de identidade para todos os funcionários internos: verificação de antecedentes, verificação de documento oficial de identidade e confirmação presencial da identidade antes da concessão de acesso aos sistemas. Para a equipe de fornecedores que acessava seus sistemas, o processo era bem mais leve: o fornecedor enviava uma lista de nomes e endereços de e-mail, a empresa criava as contas e as contas eram distribuídas aos contatos indicados pelo fornecedor. Durante uma revisão de segurança de rotina do fornecedor, a empresa pediu ao fornecedor que confirmasse quais membros da equipe tinham acesso ativo naquele momento. O gerente de contas do fornecedor forneceu uma lista diferente da lista de contas ativas da empresa: cinco nomes da lista da empresa não estavam na relação atual da equipe do fornecedor. A investigação constatou que três eram ex-funcionários do fornecedor cujo acesso não havia sido desprovisionado, um era o nome de um subcontratado do qual o fornecedor não tinha nenhum registro e uma conta havia sido criada em resposta a uma solicitação que o gerente de contas do fornecedor não se lembrava de ter autorizado. O processo de verificação de identidade da empresa para a equipe de fornecedores partia do pressuposto de que um nome e um endereço de e-mail enviados por um contato do fornecedor eram prova suficiente de identidade. Não eram.
O que é, de fato, a verificação de identidade no acesso de fornecedores?
A verificação de identidade é o processo de confirmar que a pessoa que solicita o acesso, ou para quem o acesso está sendo solicitado, é quem afirma ser, estabelecendo um vínculo confiável entre uma identidade digital (uma conta e uma credencial) e uma pessoa real específica, com identidade confirmada. Para funcionários internos, a verificação de identidade normalmente ocorre na contratação, por meio de verificação de antecedentes, verificação de documento oficial de identidade e integração presencial ou verificada por vídeo. O evento de verificação estabelece que a conta pertence a uma pessoa real e verificada, cuja identidade foi confirmada. Para a equipe de fornecedores, a maioria das organizações não tem um processo de verificação equivalente.
A lacuna da indicação pelo fornecedor é a fonte estrutural do risco na verificação de identidade de fornecedores. O acesso da equipe de fornecedores normalmente começa com uma indicação feita pela equipe de contas do fornecedor: um nome e um contato enviados ao cliente para o provisionamento da conta. O cliente confirma que a relação com o fornecedor está ativa, cria a conta para o nome indicado e distribui a credencial. Nenhum elemento desse processo verifica se o nome indicado corresponde a um funcionário real e atual do fornecedor, se o gerente de contas que faz a indicação tem autoridade para isso ou se a pessoa que acaba usando a conta é a pessoa cujo nome constava da indicação.
O risco de personificação e delegação é onde a lacuna na verificação de identidade causa danos concretos. As contas da equipe de fornecedores às vezes são usadas por pessoas que não são o titular nomeado: um colega cobre alguém que está ausente, um subcontratado opera com a credencial de um funcionário do fornecedor ou, em cenários mais maliciosos, a credencial de um ex-funcionário é usada por alguém que não deveria ter acesso. Sem verificação de identidade, o cliente não tem um mecanismo confiável para confirmar que a pessoa que acessa o seu ambiente é a pessoa titular da conta usada para isso. O nome da conta é a ficção que o cliente aceita como identidade.
- Indicação pelo fornecedor como substituta da verificação de identidade: aceitar um nome de um contato do fornecedor sem verificar se corresponde a um funcionário atual
- Sem verificação de vínculo empregatício na integração: contas criadas sem confirmar o vínculo empregatício atual da pessoa indicada
- Compartilhamento e delegação de credenciais: contas da equipe de fornecedores usadas por pessoas que não são o titular nomeado
- Acesso de subcontratados com credenciais de funcionários do fornecedor: subcontratados que acessam ambientes de clientes com nomes de contas de funcionários do fornecedor
- Sem nova verificação periódica da identidade: a verificação inicial (quando existe) não é repetida para confirmar que continua válida
Por que isso importa
A verificação de identidade de fornecedores é importante para TPRM porque as propriedades de segurança do acesso de fornecedores (privilégio mínimo, responsabilização individual, monitoramento comportamental) dependem do pressuposto de que a identidade do titular da conta é precisa. O privilégio mínimo atribuído a “Alex Chen” só faz sentido se a pessoa que acessa a conta for de fato Alex Chen, com a função e a autorização de Alex Chen. A responsabilização individual por eventos de acesso atribuídos a “Alex Chen” só faz sentido se a pessoa que executa essas ações for de fato Alex Chen. As linhas de base de monitoramento comportamental estabelecidas para Alex Chen só são úteis se o comportamento da conta for de fato o comportamento de Alex Chen.
O cenário de acesso de subcontratados é especialmente relevante em contextos de risco da cadeia de suprimentos. Os fornecedores frequentemente usam subcontratados ou especialistas terceiros em partes do seu trabalho, e esses subcontratados podem acessar ambientes de clientes com as credenciais dos funcionários do fornecedor se o cliente não tiver estabelecido caminhos de acesso para subcontratados. A avaliação de risco do cliente cobre o fornecedor. Ela pode não cobrir o subcontratado que opera com a credencial do fornecedor e que tem postura de segurança, governança e responsabilização diferentes das do titular da conta nomeado.
Para profissionais de TPRM, a verificação de identidade da equipe de fornecedores não exige o mesmo rigor que a triagem de antecedentes de funcionários, mas exige mais do que aceitar uma lista de indicações de um contato do fornecedor. No mínimo, exige a confirmação de que as pessoas indicadas estão empregadas pelo fornecedor no momento da criação da conta, de que a criação da conta foi autorizada por um nível adequado da organização do fornecedor e de que o acesso de subcontratados é divulgado e governado separadamente do acesso dos funcionários do fornecedor.
Onde a maioria das equipes erra
A falha mais recorrente é tratar a indicação de contas pelo fornecedor como equivalente à verificação de identidade. Uma lista de nomes enviada por um gerente de contas do fornecedor confirma que o gerente de contas enviou esses nomes. Ela não confirma nada sobre o vínculo empregatício, a identidade ou a autorização das pessoas indicadas. A indicação é a solicitação. A verificação é a confirmação. A maioria dos processos de acesso de fornecedores tem a primeira sem a segunda.
- Tratar a indicação pelo fornecedor como equivalente à verificação de identidade
- Sem verificação de vínculo empregatício na indicação: aceitar nomes sem confirmar o vínculo empregatício atual
- Sem divulgação nem governança do acesso de subcontratados
- Sem nova verificação periódica da identidade em acessos de fornecedores de longa duração
- Sem exigência de nível de autorização para a indicação: qualquer contato pode indicar qualquer nome
Como é uma boa prática
Programas maduros de verificação de identidade de fornecedores estabelecem a identidade verificada na criação da conta por meio da confirmação do vínculo empregatício, exigem indicação autorizada com nível de senioridade adequado, divulgam e governam separadamente o acesso de subcontratados e verificam periodicamente se os titulares de contas ativas continuam sendo funcionários da organização do fornecedor.
- Confirmação do vínculo empregatício na indicação: confirmação de que as pessoas nomeadas estão atualmente empregadas pelo fornecedor antes da criação das contas
- Requisito de indicação autorizada: a indicação deve ser feita por um contato do fornecedor nominalmente identificado e autorizado, com nível de senioridade adequado
- Divulgação do acesso de subcontratados: qualquer subcontratado que acesse o ambiente com credenciais do fornecedor é divulgado e avaliado separadamente
- Nova verificação periódica: confirmação da identidade repetida periodicamente em relações de acesso de fornecedores de longo prazo
- Integração verificada por vídeo para acesso com privilégios elevados: confirmação de identidade por videochamada para a equipe de fornecedores que recebe acesso privilegiado
Ferramentas
Verificação de identidade: Jumio, Persona, Onfido
Plataformas de verificação de identidade digital oferecem verificação automatizada de documentos de identidade, correspondência por reconhecimento facial e detecção de prova de vida, que podem ser integradas aos fluxos de integração de fornecedores. Para acesso de fornecedores com privilégios elevados, exigir que os fornecedores submetam sua equipe a uma etapa de verificação de identidade digital oferece um mecanismo de verificação superior aos processos baseados apenas em indicação. Para profissionais de TPRM, perguntar se o fornecedor verificou a identidade da equipe que indica para acessar ambientes de clientes é a pergunta sobre verificação de identidade.
Plataformas de gestão de fornecedores: ProcessUnity, OneTrust, Prevalent
Plataformas de gestão de fornecedores com recursos de acompanhamento de pessoal mantêm registros da equipe aprovada de fornecedores com verificação do vínculo empregatício, permitindo acompanhar sistematicamente quais pessoas foram verificadas e quando foi feita a última verificação. Para profissionais de TPRM, perguntar se os registros de pessoal do fornecedor para a equipe com acesso a clientes incluem as datas de verificação do vínculo empregatício é uma pergunta específica sobre a documentação da verificação de identidade.
Desafios de governança
O desafio de governança na verificação de identidade de fornecedores é a questão da proporcionalidade. A verificação de identidade de funcionários internos é um processo abrangente e que consome muitos recursos, porque contratar a pessoa errada tem um custo alto e a relação é de longo prazo. Uma verificação de identidade da equipe de fornecedores igualmente abrangente para cada terceirizado e contato temporário de fornecedor seria operacionalmente onerosa. A solução de governança é uma verificação escalonada por risco: verificação mais leve para contatos de fornecedores de baixo privilégio e curto prazo, e verificação mais rigorosa para a equipe que recebe acesso privilegiado ou de longo prazo a ambientes sensíveis.
- Exigir a verificação do vínculo empregatício de toda a equipe de fornecedores que recebe acesso a ambientes de clientes
- Exigir indicação autorizada por um contato do fornecedor nominalmente identificado e verificado
- Exigir a divulgação de subcontratados antes que um subcontratado acesse o ambiente do cliente com credenciais do fornecedor
- Implementar nova verificação periódica para a equipe de fornecedores com acesso de longo prazo
- Exigir integração verificada por vídeo para o acesso privilegiado de fornecedores
Se você faz parte de uma equipe pequena
Inclua uma etapa de verificação na integração da equipe de fornecedores: antes de criar contas para pessoas indicadas pelo fornecedor, envie um e-mail de confirmação ao contato de segurança ou de RH nomeado do fornecedor, e não ao gerente de contas que fez a indicação, pedindo que confirme que as pessoas indicadas estão atualmente empregadas pelo fornecedor. Essa única etapa de verificação fecha a lacuna mais comum na verificação de identidade: aceitar um nome de um único contato do fornecedor sem nenhuma checagem cruzada do vínculo empregatício. Para acesso privilegiado, acrescente uma confirmação por videochamada antes de ativar a conta.
- Incluir a confirmação do vínculo empregatício na integração da equipe de fornecedores: e-mail para o contato de RH ou de segurança, e não para o gerente de contas que fez a indicação
- Exigir indicação autorizada por um contato sênior e nominalmente identificado do fornecedor
- Incluir o requisito de divulgação de subcontratados nos contratos de acesso de fornecedores
- Implementar integração verificada por vídeo para a equipe de fornecedores que recebe acesso privilegiado
O que exigir
Pergunte diretamente:
“Para a equipe que vocês indicam para acessar o nosso ambiente, que confirmação vocês fornecem de que cada pessoa nomeada está atualmente empregada pela sua organização, e a indicação é autorizada por um contato específico e nominalmente identificado, com nível de senioridade adequado?”
“Algum acesso ao nosso ambiente será realizado por subcontratados ou especialistas terceiros, e não por funcionários diretos da sua organização? Em caso afirmativo, essas pessoas são divulgadas para nós e governadas por disposições de acesso separadas?”
O que esperar como evidência
- Confirmação da verificação do vínculo empregatício da equipe indicada
- Documentação do processo de indicação autorizada: quem pode indicar e em que nível
- Política de divulgação de subcontratados e governança do acesso
- Processo de nova verificação periódica para acesso de fornecedores de longo prazo
Um fornecedor que confirma seu processo padrão de integração deve ser questionado sobre o que, especificamente, verifica que cada nome indicado corresponde a uma pessoa atualmente empregada, e se o acesso de subcontratados com credenciais de funcionários é divulgado. A indicação é a solicitação. A confirmação do vínculo empregatício é a verificação.
Como comprovar
- Registros de verificação do vínculo empregatício da equipe de fornecedores com acesso a ambientes de clientes
- Documentação da indicação autorizada
- Registros de divulgação de subcontratados
- Registros de nova verificação periódica para acesso de fornecedores de longo prazo
Principal conclusão
A credencial pertence a Alex Chen. Quem é Alex Chen é a pergunta que a verificação de identidade responde. Um nome em uma lista de indicações enviada por um gerente de contas do fornecedor é um nome. A verificação de identidade faz dele uma pessoa verificada: atualmente empregada pelo fornecedor, autorizada para o acesso que está recebendo, não um subcontratado operando com a credencial de um funcionário do fornecedor e confirmada como a pessoa que de fato usa a conta, e não um intermediário. Programas de acesso de fornecedores que pulam a verificação de identidade concedem acesso a nomes. Programas de acesso com identidade verificada concedem acesso a pessoas. A distinção importa quando algo dá errado e a atribuição exige saber quem era de fato a pessoa por trás da conta.