White PaperO fornecedor foi aprovado por um formulário que envelheceu no dia seguinte
O declarado confrontado com a evidência técnica, de forma contínua
A decisão sobre o fornecedor vale doze meses; a resposta do questionário vale um dia. O EcoTrust Verify confronta o que o fornecedor declarou com o que a evidência técnica mostra, monitora a degradação de postura entre ciclos e sustenta a decisão contratual: homologar, renovar, exigir plano de ação ou encerrar.
O problema: o fornecedor entrou na sua cadeia porque respondeu bem a um formulário. O formulário envelhece no dia seguinte à assinatura do contrato, e a decisão que ele sustentou continua valendo até a próxima renovação. Em 2025, ataques originados em terceiros responderam por 30% de todas as brechas confirmadas, o dobro do ano anterior.
A abordagem: o EcoTrust Verify confronta o que o fornecedor declarou com o que a evidência técnica mostra. O fornecedor declarou isto; a evidência mostra aquilo. A lacuna entre os dois é o achado, e o achado é o que sustenta a conversa contratual.
O resultado: postura e nota. Score de 0 a 1000 por fornecedor, monitorado continuamente, com alerta quando a postura degrada entre ciclos, e evidência estruturada para BACEN 4.557, LGPD e ISO 27001 A.15. É a base para decidir: homologar, renovar, exigir plano de ação ou encerrar. Quando o EcoTrust Quantify consome o achado, ele é traduzido em Reais.
O fornecedor foi aprovado por um formulário. O formulário envelheceu no dia seguinte.
O fornecedor respondeu que tem MFA em todos os sistemas de acesso remoto. Assinou. Três semanas depois, subiu um serviço de administração exposto sem autenticação forte para resolver um incidente interno, e não desfez. Nada nesse processo é má-fé. É só o intervalo entre a foto e a realidade, e esse intervalo não é observado por ninguém.
A reação comum é atacar o artefato: mais perguntas no template, frequência semestral, uma consultoria para revisar o processo. Nada disso muda o problema de fundo. O que sustenta a decisão continua sendo a declaração do avaliado, sem contraprova, e continua congelado no dia em que foi coletado.
Enquanto isso, quem responde pelo risco, risco operacional e compliance, precisa decidir em cima disso. Renovar o contrato do fornecedor que processa dados de clientes. Aceitar ou não a integração que o time de negócio pediu. Justificar ao regulador por que aquele prestador relevante continua na base. São decisões contratuais, e elas estão sendo tomadas com um documento que não tem como estar certo.
O fornecedor declarou isto. A evidência mostra aquilo. A lacuna é o achado.
Um questionário sozinho registra intenção. Um scan sozinho registra sintoma. O achado só existe quando os dois são colocados lado a lado: o fornecedor afirmou ter um controle, a evidência indica que ele não está operando. Isso não é uma vulnerabilidade a corrigir, é uma divergência a cobrar de quem assinou.
Por que a lacuna é o objeto: quando um fornecedor responde "sim" a "você tem MFA habilitado em todos os sistemas?", o questionário registra a resposta. O EcoTrust Verify verifica se há serviços de acesso remoto expostos sem autenticação forte. Se encontra, a resposta "sim" passa a ser um item de agenda contratual, com data, evidência e responsável. Não é o scan que gera valor, nem o formulário. É o confronto.
Modelo tradicional vs EcoTrust Verify
Tradicional: a declaração do avaliado, sem contraprova. EcoTrust Verify: a declaração confrontada com evidência técnica independente, e a divergência registrada como achado.
Tradicional: a decisão vale um ciclo, a foto vale um dia. EcoTrust Verify: postura reavaliada continuamente, com alerta quando degrada entre ciclos.
Tradicional: qualitativa, alto/médio/baixo, não comparável entre fornecedores nem ao longo do tempo. EcoTrust Verify: score de 0 a 1000 por fornecedor, comparável na base e no histórico, com o achado rastreável por trás de cada movimento.
Tradicional: descobre pelo noticiário ou depois do impacto. EcoTrust Verify: alerta quando o fornecedor aparece em data breach público ou quando surge CVE crítica em serviço exposto.
Tradicional: inviável para 100+ fornecedores com processo manual. EcoTrust Verify: ciclo automatizado, o mesmo esforço para dez ou para quinhentos.
A avaliação técnica outside-in: a metade que o fornecedor não escreve.
A tecnologia é a mesma, o objeto e a consequência não são. O EcoTrust Surface olha a sua superfície e termina em remediação: seu time corrige o que encontrou. O EcoTrust Verify olha a superfície do fornecedor e termina em decisão contratual: você não tem acesso, mandato nem responsabilidade para corrigir o perímetro de outra empresa. O que você tem é o contrato.
Para cada fornecedor com domínio cadastrado, a avaliação roda automaticamente: mapeamento de superfície externa, enumeração de serviços, CVEs em software detectado, configurações de email security (SPF, DMARC, DKIM), reputação de IP e domínio, certificados TLS e presença em data breaches históricos e recentes.
O produto disso é postura e nota: um score de 0 a 1000 que reflete a postura observada do fornecedor, não a declarada, atualizado continuamente em vez de uma vez por ciclo. É esse número, e o achado que o move, que entra na mesa de decisão.
Como o EcoTrust Verify opera: 4 fases do ciclo de avaliação.
Tipo de relacionamento, criticidade de negócio, acesso a dados, domínio principal para monitoramento técnico. A criticidade define a profundidade da avaliação e o rigor exigido na decisão subsequente.
Superfície de ataque externa, CVEs em serviços expostos, email security (SPF, DMARC, DKIM), reputação de IP e domínio, certificados TLS, data breaches históricos. Score de 0 a 1000 por fornecedor, atualizado continuamente.
O questionário do fornecedor é colocado contra as evidências técnicas coletadas. Cada resposta que não se sustenta diante do achado é sinalizada e vira item nomeado, com data, evidência e dono. A saída dessa fase não é um relatório de vulnerabilidades: é a lista do que precisa ser cobrado de quem assinou.
Alerta quando o score cai, quando surge CVE crítica em serviço exposto ou quando o fornecedor aparece em breach público, sem esperar a próxima janela de avaliação. Cada evento é um gatilho de decisão: homologar, renovar, exigir plano de ação com prazo ou encerrar o relacionamento. Quando o EcoTrust Quantify está em operação, ele consome o achado e o traduz em exposição financeira em Reais para embasar essa decisão.
O ciclo é contratual, não de remediação.
Num programa de gestão de exposição própria, o achado abre um ticket e alguém do seu time corrige. Aqui não existe esse alguém. O achado sobre um terceiro só se resolve por instrumento contratual: cláusula de segurança, plano de ação com prazo e evidência de conclusão, redução do escopo de dados compartilhados, retenção de pagamento, ou saída. Quem opera isso é risco operacional e compliance, não o time de resposta a incidentes.
Homologar: entrar ou não entrar
Na entrada, a pergunta não é se o fornecedor respondeu ao questionário, é se a evidência sustenta a resposta. Um candidato com divergências abertas entra com restrição explícita, escopo reduzido ou exigência prévia, e isso fica registrado na decisão.
Renovar: o contrato vence, a postura mudou
A renovação é o momento de maior alavancagem contratual do ano e normalmente o de menor informação. Com histórico de score por fornecedor, a conversa deixa de ser sobre preço e prazo apenas: existe uma série temporal mostrando se aquele fornecedor melhorou, ficou parado ou degradou desde a última assinatura.
Exigir plano de ação: cobrar com evidência, não com adjetivo
"Fornecedor de alto risco" não é cobrável. Um achado nomeado é: serviço específico exposto, CVE específica em versão detectada, resposta específica do questionário que não se sustenta. Isso vira anexo de notificação contratual com prazo e critério de aceite. Quando o EcoTrust Quantify consome o achado, a mesma cobrança passa a carregar a exposição estimada em Reais, o que muda o interlocutor do lado do fornecedor.
Encerrar: quando a lacuna não fecha
Encerrar relacionamento é caro e precisa de justificativa defensável. O histórico de achados, notificações emitidas e ausência de correção é essa justificativa, e é também a defesa do gestor caso o incidente aconteça depois da saída não executada.
A janela de 94 dias: o Tempo Médio de Correção para credenciais comprometidas em ambiente de terceiros é de 94 dias segundo o Verizon DBIR 2025. Da exposição da credencial até a contenção real, transcorrem mais de três meses. Um ciclo anual de avaliação não observa nada disso: ele só registra que, no dia da foto, estava tudo bem. Monitorar a degradação entre ciclos é o que transforma esse intervalo em uma notificação contratual acionável em vez de um post-mortem.
Compliance: os frameworks mais exigentes no Brasil.
Relatório por fornecedor com score histórico, achados e decisão tomada em cada ciclo, evidência direta de que a avaliação existiu e produziu consequência.
Questionário do operador confrontado com evidência técnica e reavaliado continuamente, o que demonstra verificação e não apenas coleta de declaração.
O ciclo de 4 fases do EcoTrust Verify implementa o programa exigido pelo A.15, com trilha auditável de avaliação, achado, notificação e desfecho.
Inventário de fornecedores com classificação de criticidade e histórico de avaliações, verificável por auditores PCI sem reconstrução manual.
Em todos os quatro casos, o que o auditor cobra não é o formulário arquivado, é a demonstração de que a avaliação aconteceu, encontrou algo e teve consequência. O registro de decisão contratual por fornecedor é o que fecha essa lacuna.
Conclusão: o formulário não decide. Você decide.
O EcoTrust Verify não descarta o questionário, ele para de tratá-lo como prova. A declaração do fornecedor passa a ser confrontada com evidência técnica independente, e a lacuna entre as duas é o que chega à mesa: nomeada, datada e com um número comparável por trás. A decisão que se toma com isso é contratual, homologar, renovar, exigir plano de ação ou encerrar, e é a única forma de agir sobre um perímetro que não é seu.
Decida sobre seus fornecedores com evidência, não com formulário.
Demonstração ao vivo