Os incidentes do período reforçam um problema que a avaliação interna de risco não alcança: a exposição de uma empresa depende também da postura de segurança dos fornecedores que ela contratou.
Cada organização avalia a própria rede, os próprios sistemas e a própria equipe. O que quase nunca entra na conta é que boa parte da operação passa por serviços de terceiro, e que a segurança deles não é auditável de fora.
A assimetria é estrutural. O contrato costuma trazer promessa genérica de segurança, e o cliente não tem como verificar prática interna, política de credencial nem histórico de incidente do fornecedor.
O que dá para exigir é diferente e concreto: prazo de notificação em caso de incidente, escopo do que será informado, direito de auditoria e definição clara de que dado o fornecedor guarda e por quanto tempo.
Para operação pequena, essa é a alavanca disponível. Não dá para auditar o fornecedor, mas dá para escolher quem aceita cláusula de aviso rápido, e isso separa quem descobre pelo fornecedor de quem descobre pela imprensa.