Terceirização de TI é a contratação de uma empresa especializada para operar parte ou a totalidade da tecnologia de uma organização, como o suporte aos usuários, a infraestrutura, a nuvem e a segurança da informação, sob um contrato com níveis de serviço definidos. Quando o foco é a segurança, o formato mais comum é o de serviços gerenciados: o fornecedor monitora, administra e responde aos incidentes, enquanto a empresa contratante mantém as decisões de negócio e a responsabilidade pelos dados.
Na prática, a divisão mais comum deixa com o fornecedor o monitoramento de segurança 24x7, as atualizações e o backup, e mantém dentro da empresa a política de risco, a gestão dos fornecedores e a comunicação oficial sobre incidentes. Neste artigo, mostramos como traçar essa linha antes de assinar qualquer contrato.
Por que a terceirização de TI voltou à pauta das empresas
Um bom restaurante raramente lava as próprias toalhas. A lavanderia, a manutenção da câmara fria e a dedetização ficam com empresas especializadas, porque fazer tudo isso dentro de casa custaria caro e tiraria a equipe da cozinha. A receita, a escolha dos ingredientes e a decisão de tirar um prato do cardápio, porém, nunca saem das mãos do chef.
A TI de uma empresa média segue a mesma divisão. Há tarefas que exigem atenção contínua e conhecimento muito específico, como acompanhar alertas de segurança de madrugada ou manter centenas de computadores atualizados. E há decisões que dependem de conhecer o negócio por dentro. Quatro mudanças empurraram mais empresas a separar uma coisa da outra:
- Falta de especialistas. A escassez de profissionais de cibersegurança aparece como um dos motivos que levam empresas da América Latina a terceirizar mão de obra especializada, segundo a DatacenterDynamics (DCD).
- Operação em tempo integral. Sistemas em nuvem, vendas on-line e trabalho remoto funcionam fora do horário comercial, e o monitoramento precisa acompanhar esse ritmo.
- Custo previsível. Uma mensalidade por serviço substitui o custo de contratar, treinar e manter analistas em turnos, que é o item mais difícil de sustentar em uma equipe pequena.
- Necessidade de comprovar controles. Clientes e seguradoras pedem evidências, e a LGPD, pelo princípio da prestação de contas, exige que a empresa consiga demonstrar as medidas de segurança que adota. Os relatórios de um fornecedor sério ajudam a montar essa evidência.
Os três modelos de terceirização de TI e quando cada um faz sentido
Antes de decidir o que terceirizar, vale escolher o formato do contrato. Os três modelos abaixo aparecem com nomes diferentes em cada proposta, mas a diferença real está em quem gerencia o trabalho no dia a dia.
| Modelo | Como funciona | Quem gerencia o dia a dia | Faz sentido quando |
|---|---|---|---|
| Alocação de profissionais | O fornecedor disponibiliza técnicos que trabalham nas prioridades definidas pela sua empresa | A sua empresa define as prioridades; o fornecedor gerencia as pessoas | Você precisa de reforço em um projeto com prazo e já tem quem coordene |
| Serviços gerenciados | O fornecedor assume um serviço completo, como monitoramento ou backup, e responde por um resultado medido no SLA | O fornecedor | Você quer pagar por um resultado medido, em vez de horas de trabalho |
| Co-sourcing | A equipe interna e o fornecedor dividem o mesmo serviço, com papéis definidos por escrito | Os dois, cada um na sua parte | Você já tem equipe de TI e quer cobrir o que ela não alcança, como noites ou especialidades |
Na segurança, o fornecedor de serviços gerenciados recebe o nome de MSSP (Managed Security Service Provider, ou provedor de serviços de segurança gerenciados). É ele quem opera as ferramentas de proteção, acompanha os alertas e aciona a sua equipe quando algo exige uma decisão.
Um caso muito comum: uma indústria com três analistas de TI mantém o suporte aos usuários e os projetos com a equipe própria e contrata um MSSP para o monitoramento de segurança. Ninguém foi substituído. A equipe deixou de revezar plantões e passou a dedicar o tempo aos projetos que a diretoria cobrava havia meses.
O que terceirizar e o que manter em casa
A regra prática é simples: terceirize o que é contínuo, especializado e fácil de medir; mantenha o que define o rumo do negócio e aquilo pelo qual a empresa responde diante de clientes e autoridades. Entre os dois extremos ficam as atividades compartilhadas, em que o fornecedor executa e a sua empresa aprova.
| Atividade | Recomendação | Por quê |
|---|---|---|
| Monitoramento de segurança 24x7 | Terceirizar | Exige analistas em turnos e ferramentas caras de manter; um SOC as a Service entrega essa estrutura pronta |
| Atualizações e patches | Terceirizar | É uma rotina repetitiva que melhora com automação e com quem faz isso todos os dias |
| Backup e testes de restauração | Terceirizar | Precisa ser verificado sempre, e o fornecedor documenta cada teste |
| Testes de intrusão (pentest) e análise de vulnerabilidades | Terceirizar | Um olhar externo e independente encontra o que a equipe interna já não enxerga |
| Suporte aos usuários | Terceirizar ou compartilhar | Depende do volume de chamados e de quanto o atendimento presencial pesa na sua operação |
| Resposta a incidentes | Compartilhar | O fornecedor contém e investiga; a sua empresa decide se tira um sistema do ar ou se avisa os clientes |
| Acessos privilegiados | Compartilhar | O fornecedor executa as mudanças; a aprovação de quem acessa o quê continua com a empresa |
| Política de segurança e nível de risco aceitável | Manter | Traduz as prioridades do negócio, e ninguém de fora conhece essas prioridades melhor que a diretoria |
| Gestão dos fornecedores | Manter | Alguém dentro de casa precisa saber o que foi contratado e cobrar o resultado |
| Comunicação com a diretoria, os titulares dos dados e a ANPD | Manter | Pela LGPD, a comunicação de incidentes à ANPD e aos titulares cabe ao controlador, ou seja, à sua empresa |
A linha do meio é a que mais gera atrito depois da assinatura. O motivo quase sempre é o mesmo: ninguém escreveu quem pode autorizar o fornecedor a isolar um servidor de produção às três da manhã. Sem essa regra, o analista contém o que pode e espera alguém atender o telefone. Com ela definida no contrato, ele age assim que confirma o problema e a sua equipe recebe o relatório ao começar o dia.
A operação muda de mãos, a responsabilidade não
Para a LGPD (Lei 13.709/2018), a sua empresa continua sendo a controladora dos dados pessoais: é ela quem decide para que e como esses dados são tratados. O fornecedor que opera a sua TI, na maioria dos contratos, atua como operador: trata os dados em nome da sua empresa e segundo as instruções dela. Ele também tem deveres próprios, como seguir essas instruções e manter medidas de segurança, mas isso não tira da sua empresa o papel de controladora.
Na prática, isso significa que o contrato precisa deixar claro como o fornecedor cuida do que é seu. Antes de assinar, confira se o contrato responde a cada ponto abaixo:
- ☐ Quem da equipe do fornecedor acessa os seus sistemas e sob quais regras de confidencialidade.
- ☐ Em quanto tempo e por qual canal ele avisa a sua empresa sobre um incidente.
- ☐ Onde os dados ficam armazenados e se algum serviço os leva para fora do Brasil.
- ☐ Que evidências ele entrega para auditoria, como certificações verificáveis e relatórios periódicos.
- ☐ Como os dados são devolvidos e eliminados quando o contrato termina.
- ☐ Qual é o plano de saída: documentação, senhas e configurações que passam para a sua equipe ou para um novo fornecedor.
Esta lista ajuda a organizar a conversa com o fornecedor, mas não substitui a orientação do seu jurídico. As cláusulas finais, principalmente as de proteção de dados, devem passar por ele.
Como ler um SLA de segurança antes de assinar
O SLA (Service Level Agreement, ou acordo de nível de serviço) é a parte do contrato que fixa, em números, o que o fornecedor se compromete a entregar. Dois SLAs com a mesma promessa no título podem entregar serviços muito diferentes, e a diferença costuma estar em três detalhes.
Resposta não é resolução
Tempo de resposta é quanto o fornecedor demora para começar a tratar um alerta; tempo de resolução é quanto demora para resolvê-lo. Um contrato que só fixa o primeiro garante que alguém vai olhar o problema, mas deixa em aberto quando ele estará resolvido. Peça os dois, separados por prioridade, e peça também a definição de cada prioridade com exemplos: o que é um incidente crítico para a sua empresa pode ser apenas médio na tabela padrão do fornecedor.
24x7 para quem?
Monitoramento 24x7 e atendimento humano 24x7 são compromissos diferentes. O primeiro garante que as ferramentas e os analistas acompanham os alertas o tempo todo. O segundo define quando a sua equipe consegue falar com uma pessoa, em qual idioma e por qual canal. Qualquer um dos dois pode atender a sua empresa; o importante é que o contrato diga com clareza qual está sendo contratado.
Relatórios que a sua equipe consegue usar
Um relatório mensal útil mostra o que foi detectado, o que foi resolvido, o que ficou pendente e o que mudou desde o mês anterior. Se o documento só traz gráficos de volume de alertas, ele mede o esforço do fornecedor; peça indicadores sobre o que mudou na segurança da sua empresa. Combine o formato antes de começar e revise os indicadores a cada trimestre.
Como migrar para um fornecedor sem parar a operação
A troca de modelo funciona melhor em etapas curtas, com um ponto de controle no fim de cada uma. Esta é a sequência que recomendamos:
- Inventário. Liste sistemas, contas com privilégios, contratos vigentes e quem hoje responde por cada coisa. É a etapa mais longa e a que mais evita surpresas depois.
- Matriz de responsabilidades. A tabela de atividades deste artigo vira um anexo do contrato, com nomes e contatos em cada linha.
- Implantação assistida. O fornecedor instala as ferramentas e aprende o comportamento normal da sua rede antes de assumir os alertas. Em ambientes com muitos computadores, ferramentas de gestão remota como a NinjaOne aceleram essa fase.
- Operação com acompanhamento. No primeiro mês, reuniões semanais ajustam falsos positivos, prioridades e canais de contato.
- Revisão do contrato. Depois do primeiro trimestre, os números reais mostram se o SLA e o escopo estão certos para a sua empresa.
Na TecnetOne seguimos esse caminho com cada empresa que atendemos: o inventário e a matriz de responsabilidades vêm antes de qualquer ferramenta, e a operação dos nossos serviços gerenciados de cibersegurança só começa quando os dois estiverem aprovados pela sua equipe.
Perguntas frequentes sobre terceirização de TI
Terceirizar vem de “terceiro”: é passar uma atividade para outra empresa executar. Em inglês, o mesmo conceito se chama IT outsourcing, termo que também aparece em propostas e contratos no Brasil.
Sim. Os serviços gerenciados costumam ser cobrados por dispositivo, por usuário ou por pacote de serviços, então o custo acompanha o tamanho da empresa. Para uma equipe de TI de uma ou duas pessoas, o modelo permite começar por um serviço só, como o monitoramento, e ampliar o escopo conforme a empresa cresce.
A nuvem é um recurso: servidores, armazenamento e aplicações que você usa pela internet em vez de manter no próprio escritório. A terceirização define quem opera esse recurso. Uma empresa pode ter tudo na nuvem e administrar sozinha, ou manter servidores locais e terceirizar a operação deles.
Em geral, sim. Um bom fornecedor avalia as licenças e as ferramentas pelas quais você já paga antes de propor outras, para não cobrar duas vezes pela mesma função. Quando ele recomenda trocar uma ferramenta, deve explicar o motivo com base no que a atual não entrega.
Sim. Durante um incidente, a sua equipe precisa entender o que aconteceu e o que fazer sem depender de tradução, e os relatórios só são úteis se a diretoria consegue lê-los. Na hora de comparar propostas, peça um relatório de exemplo e confira se ele chega em português.
Scarlet é Marketing & Design Lead e designer na TecnetOne. Une criatividade e estratégia para transformar temas de cibersegurança e nuvem em conteúdos claros e visualmente atraentes.