DT Cyber Solutions
Acesso remoto de fornecedores: como reduzir riscos sem interromper o suporte
Fornecedores que administram ERP, câmeras, telefonia, impressoras, equipamentos de produção, backup ou infraestrutura muitas vezes precisam de acesso remoto para diagnosticar falhas e aplicar correções. Esse suporte pode ser essencial, mas uma credencial compartilhada, uma porta exposta permanentemente ou uma ferramenta de acesso sem registro transforma uma necessidade operacional em um ponto cego de segurança. Controlar o acesso de terceiros não significa impedir o atendimento: significa definir quem entra, em qual sistema, por quanto tempo, com qual aprovação e quais evidências ficam depois da sessão.
- Todo fornecedor deve usar uma identidade individual ou conta controlada, nunca a credencial pessoal de um colaborador.
- O acesso precisa ter escopo, justificativa, responsável interno e período de validade definidos antes da conexão.
- VPN, ZTNA, jump server e MFA ajudam a evitar exposição direta de sistemas e a limitar o destino que cada parceiro alcança.
- Registros de aprovação, sessão e alterações permitem revisar o trabalho executado e retirar o acesso com segurança.
Um acesso temporário mal controlado pode continuar aberto muito depois de o suporte terminar
Quando a empresa não sabe quais fornecedores têm acesso, por qual ferramenta ou quem aprovou a conexão, fica difícil investigar atividades, remover permissões ao fim de um contrato ou conter um incidente. Além de expor dados e sistemas, esse cenário pode permitir que uma conta comprometida de um parceiro alcance ativos internos. Um processo simples de acesso remoto com identidade individual, prazo definido, menor privilégio e registros torna o suporte mais previsível e reduz dependência de senhas compartilhadas.
Riscos que merecem atenção
- Manter RDP, VPN, portas de firewall ou ferramentas de acesso remoto disponíveis para qualquer origem, sem necessidade ou prazo definido.
- Compartilhar a mesma senha administrativa entre equipe interna e fornecedores, eliminando a rastreabilidade de quem executou uma mudança.
- Permitir que um parceiro acesse toda a rede quando ele precisa apenas de um servidor, equipamento ou aplicação específica.
- Não revisar acessos após o término de contrato, troca de técnico, mudança de escopo ou conclusão de uma intervenção emergencial.
Mapeie quais terceiros realmente precisam acessar o ambiente
Comece listando empresas e pessoas que prestam suporte remoto, o serviço que atendem e o recurso que precisam alcançar. Inclua administradores de ERP, provedores de internet, integradores de câmeras, suporte de telefonia, fabricantes de equipamentos, consultorias e empresas de software. Para cada caso, registre o responsável interno, contato de escalonamento, sistema ou equipamento envolvido, método de acesso utilizado e a situação que justifica a conexão. Esse inventário separa acessos necessários de permissões herdadas ou esquecidas e evita que uma emergência dependa da memória de uma única pessoa.
Troque senhas compartilhadas por identidade, MFA e aprovação
Uma conta usada por várias pessoas impede saber quem entrou e dificulta removê-la quando um técnico muda de função. Sempre que a solução permitir, crie uma identidade individual para o parceiro, protegida por MFA e vinculada ao serviço que ele atende. O responsável interno deve aprovar o acesso e confirmar que a solicitação faz sentido para o chamado aberto. Se a plataforma não suportar contas individuais, use um cofre de credenciais ou processo equivalente que controle quem retira a senha, por quanto tempo e quando ela é alterada. Credenciais administrativas internas não devem ser repassadas a terceiros.
Limite o caminho até o sistema que precisa de suporte
Evite expor diretamente RDP, SSH, painéis administrativos ou equipamentos à internet. Prefira um acesso remoto protegido por VPN ou ZTNA, com MFA e regras que permitam ao fornecedor alcançar somente o destino necessário. Um jump server ou estação de administração dedicada pode concentrar as conexões e reduzir o alcance de uma credencial comprometida. A segmentação de rede reforça esse controle: o parceiro que dá suporte a uma câmera, por exemplo, não precisa navegar pela rede administrativa ou chegar ao servidor financeiro. Registre origem, destino, porta, horário e justificativa de cada exceção.
Use acesso sob demanda e defina data de expiração
Acesso permanente costuma existir por conveniência, mas amplia a janela de exposição. Sempre que viável, libere a conexão apenas quando houver chamado, janela de manutenção ou necessidade aprovada; depois, revogue-a automaticamente ou confirme manualmente o encerramento. Para contratos que exigem disponibilidade contínua, mantenha uma autorização formal com escopo restrito, revisão periódica e contato de emergência. Também defina o que acontece em um incidente: quem pode suspender o acesso, como acionar o fornecedor e onde ficam as instruções para restaurar o serviço sem depender de um único usuário.
Registre a sessão e trate mudanças como mudanças controladas
A empresa não precisa gravar cada sessão para melhorar a segurança, mas deve preservar o contexto mínimo: ticket ou solicitação, pessoa autorizada, horário, sistema acessado, atividade prevista, alterações realizadas e resultado. Logs da VPN, firewall, ferramenta de acesso remoto e sistemas administrados ajudam a confirmar esse histórico. Mudanças que afetem rede, servidores, backup ou aplicações críticas devem ter janela, responsável, cópia de configuração e plano de retorno. Se uma ação urgente for necessária, documente-a logo depois; a urgência não deve transformar uma alteração importante em uma lacuna permanente de controle.
Revise acessos e prepare a remoção antes do fim do contrato
Revise regularmente a lista de fornecedores contra contas ativas, grupos de VPN, regras de firewall, chaves, aplicativos autorizados e ferramentas instaladas. Procure contas sem uso, permissões mais amplas do que o escopo contratado e acessos que pertenciam a técnicos que não atuam mais no atendimento. Quando um contrato termina ou muda de fornecedor, revogue contas, sessões, tokens, chaves e regras temporárias; altere credenciais compartilhadas que não puderam ser eliminadas e confirme a remoção com o responsável interno. Esse fechamento preserva continuidade e reduz a chance de um caminho antigo permanecer aberto.
Checklist prático
- Inventariar fornecedores com acesso remoto, serviço atendido, responsável interno, método de conexão e contato de escalonamento.
- Exigir conta individual ou acesso controlado, MFA e aprovação antes de liberar atividades em sistemas internos.
- Restringir cada parceiro ao destino, serviço e horário necessários; evitar portas administrativas expostas diretamente à internet.
- Liberar acessos temporários sempre que possível e documentar o chamado, a sessão, as mudanças e o encerramento.
- Revisar periodicamente contas, VPN, regras, chaves e ferramentas de terceiros e removê-las quando o escopo ou contrato terminar.
Sua empresa sabe exatamente quem pode acessar seus sistemas à distância?
A DT Cyber Solutions ajuda empresas a organizar acessos de terceiros, VPN ou ZTNA, MFA, segmentação, registros e rotinas de revisão para manter o suporte remoto seguro e disponível quando necessário.