O risco de credenciais em BPO não é, em primeiro lugar, um risco de segurança. É um risco comercial. As consequências recaem sobre contratos com clientes, cláusulas de SLA, renovações de seguro e conclusões de auditoria — não apenas sobre divulgações de violações.
01 — Comercial
Agente vende ou compartilha credenciais de sistemas de clientes
Um agente de central de atendimento que decide vender suas credenciais a um concorrente, a uma quadrilha de fraude ou a um corretor de dados tem acesso completo a todos os sistemas de clientes para os quais foi provisionado. O mercado da dark web para credenciais de central de atendimento de plataformas de serviços financeiros, viagens e varejo está ativo. Hoje não existe nenhuma barreira técnica — apenas uma barreira de política — entre um agente e essa decisão.
Quando isso acontece, a cláusula de responsabilidade contratual do cliente é acionada. O BPO é o responsável. Não há defesa possível alegando que o agente agiu sem autorização — foi o BPO que criou a credencial e a entregou ao agente.
02 — Operacional
Ex-agente mantém acesso ativo após o desligamento
Com uma rotatividade anual de 35% a 45%, um BPO com 2.000 agentes processa de 700 a 900 desligamentos por ano. A média do setor de 3,2 dias para concluir a revogação total em todos os sistemas dos clientes significa que aproximadamente 74 credenciais de ex-funcionários estão ativas a qualquer momento. Cada uma delas é uma exposição viva — que pode ser comprada na dark web por uma fração do dano que pode causar.
A Colonial Pipeline pagou US$ 4,4 milhões porque uma credencial inativa nunca foi revogada. Na escala de um BPO, com centenas de desligamentos por ano, a exposição atuarial é relevante — e não precificada na maioria dos contratos de BPO.
03 — Financeiro
Cláusulas de penalidade de SLA acionadas em vários contratos
Uma violação de credencial em um BPO não afeta apenas um cliente. Normalmente afeta todos os clientes cujos sistemas aquele agente acessava — simultaneamente. A maioria dos contratos corporativos de BPO contém cláusulas de penalidade de SLA acionadas por qualquer incidente de segurança que afete dados do cliente. A 10% do valor mensal do contrato por incidente em cinco contratos: um único evento de violação gera cinco ativações de penalidade simultâneas.
Um BPO com cinco contratos de £200.000/mês e uma taxa de penalidade de SLA de 10% carrega uma exposição imediata de £100.000 em penalidades a partir de um único evento de violação de credencial. A maioria dos diretores financeiros de BPO nunca calculou esse número.
04 — Auditoria
Auditoria do cliente encontra credenciais compartilhadas ou acesso não revogado
Clientes corporativos — especialmente nos setores de serviços financeiros, saúde e varejo — estão realizando auditorias de governança de acesso cada vez mais detalhadas em seus fornecedores de BPO. Credenciais compartilhadas, acesso de ex-agentes não revogado e a incapacidade de produzir registros de acesso individuais são as três conclusões de auditoria mais comuns. O custo da auditoria é administrável. A consequência de uma constatação — exigência de remediação, revisão de contrato ou ativação do direito de rescisão — não é.
Uma constatação de auditoria com ressalva sobre credenciais compartilhadas é uma conversa de renovação de contrato. A ativação do direito de rescisão após uma falha de auditoria é a perda de um cliente. A receita em risco de um único grande cliente vale mais do que todo o custo do controle de credenciais.
05 — Seguro
Sobretaxa de prêmio por lacuna na governança de acesso de terceiros
Subscritores de seguro cibernético estão avaliando explicitamente a governança de acesso de terceiros como fator de precificação. A Aon e a Marsh estão orientando seus clientes BPO de que demonstrar controle estrutural de credenciais — não apenas política — é uma alavanca para redução de prêmio. A sobretaxa atual para um BPO de coleta de pagamentos de médio porte: £200.000 a £500.000 por ano, atribuível especificamente à lacuna de governança de credenciais.
A sobretaxa existe independentemente de o BPO tê-la quantificado ou não. A MyCena custa uma fração dela. O argumento de ROI para o seguro é aritmética, não opinião.
06 — Regulatório
Obrigações de acesso de terceiros do GDPR, DORA e FCA
Segundo o GDPR, o cliente corporativo é o controlador de dados e o BPO é o operador de dados. A obrigação de notificação de violação em 72 horas começa quando o BPO descobre a violação — não quando comunica o cliente. Segundo a DORA, os clientes do setor financeiro devem demonstrar governança sobre os controles de acesso de seus fornecedores de BPO. O BPO que não consegue fornecer evidência técnica de atribuição individual de acesso e revogação instantânea representa uma exposição regulatória para seus clientes do setor financeiro.
As multas do GDPR são aplicadas ao controlador de dados — o cliente corporativo. O BPO cujo atraso na detecção ou notificação causa uma violação regulatória para o cliente terá uma conversa de renovação de contrato muito difícil.