O risco de credenciais em BPO não é principalmente um risco de segurança. É um risco comercial. As consequências recaem em contratos com clientes, cláusulas de SLA, renovações de seguros e auditorias — não apenas em divulgações de incidentes.
01 — Comercial
Agente vende ou compartilha credenciais dos sistemas dos clientes
Um agente de contact center que decide vender suas credenciais para um concorrente, fraude ou corretor de dados tem acesso completo a todos os sistemas dos clientes. O mercado da dark web está ativo. Não há barreira técnica — apenas uma barreira de política.
Quando isso acontece, a cláusula de responsabilidade contratual do cliente é ativada. O BPO é responsável. Não há defesa — o BPO criou a credencial e a entregou ao agente.
02 — Operacional
Ex-agente mantém acesso ativo após saída
Com 35–45% de rotatividade anual, um BPO com 2.000 agentes processa 700–900 saídas por ano. O tempo médio de 3,2 dias para revogação completa significa cerca de 74 credenciais ativas em qualquer momento.
A Colonial Pipeline pagou $4,4M por uma credencial não revogada. Em escala BPO, o risco é significativo — e geralmente não precificado.
03 — Financeiro
Cláusulas de penalidade SLA acionadas em múltiplos contratos
Uma violação afeta múltiplos clientes simultaneamente. Contratos incluem penalidades SLA que podem ser ativadas ao mesmo tempo.
Um BPO pode enfrentar £100.000 de penalidade imediata por um único incidente. Muitos não calculam isso.
04 — Auditoria
Auditoria do cliente encontra credenciais compartilhadas ou acesso não revogado
Clientes corporativos — especialmente aqueles dos setores de serviços financeiros, saúde e varejo — estão realizando auditorias de governança de acesso cada vez mais detalhadas em seus fornecedores de BPO. Credenciais compartilhadas, acesso não revogado de ex-agentes e incapacidade de gerar registros de acesso individuais são as três constatações mais comuns em auditorias. O custo da auditoria é administrável. A consequência de uma constatação — exigência de correção, revisão de contrato ou ativação do direito de rescisão — não é.
Falhas podem levar à perda de contrato. O risco financeiro supera o custo do controle de credenciais.
05 — Seguro
Aumento de prêmio por falhas de governança de acesso
As seguradoras de cibersegurança estão avaliando explicitamente a governança de acesso de terceiros como um fator de precificação. A Aon e a Marsh estão aconselhando seus clientes de BPO que demonstrar controle estrutural de credenciais — e não apenas políticas — é uma alavanca para redução de prêmios. O encargo atual para uma empresa de BPO de cobrança de pagamentos de médio porte varia de £200.000 a £500.000 por ano, atribuído especificamente à lacuna na governança de credenciais.
O custo existe mesmo sem medição. MyCena custa menos — o ROI é matemático.
06 — Regulatório
Obrigações de acesso de terceiros (GDPR, DORA, FCA)
De acordo com o GDPR, o cliente corporativo é o controlador de dados e o BPO é o processador de dados. A obrigação de notificação de violação de dados em 72 horas começa quando o BPO descobre a violação — não quando informa o cliente. De acordo com a DORA, os clientes do setor de serviços financeiros devem demonstrar a governança dos controles de acesso de seus fornecedores de BPO. O BPO que não consegue fornecer evidências técnicas de atribuição de acesso individual e revogação instantânea representa um risco regulatório para seus clientes do setor de serviços financeiros.
Multas recaem sobre o cliente, mas o BPO sofre impacto contratual significativo.