Segurança de Dados em TI Terceirizada: Checklist

Quando uma empresa terceiriza a TI, ela não terceiriza a responsabilidade pelos dados. Isso é o que muitos compradores esquecem na hora de fechar contrato. A segurança de dados em TI terceirizada continua sendo obrigação de quem contrata. Isso vale mesmo que a operação do dia a dia fique nas mãos do fornecedor. Neste artigo, você vai ver o que exigir de um parceiro de TI antes de assinar. Também vai entender por que isso pesa tanto quanto preço e prazo de atendimento.

Por que a responsabilidade não sai da sua empresa

A Lei Geral de Proteção de Dados trata a empresa contratante como responsável pelo tratamento dos dados. Isso vale mesmo quando um terceiro cuida da infraestrutura. Ou seja, se o fornecedor sofrer um incidente de segurança, quem responde perante a Autoridade Nacional de Proteção de Dados é a empresa dona dos dados. Não é só o prestador de serviço. Por isso, contratar segurança de dados em TI terceirizada exige mais do que confiar na reputação do fornecedor. Exige provas.

O que pedir antes de assinar qualquer contrato

Primeiro, peça para o fornecedor mostrar, não apenas descrever, como os dados são protegidos. Em seguida, avalie a criptografia em trânsito e em repouso. Verifique também o controle de acesso por perfil de usuário e o registro de logs de quem acessou o quê. Além disso, pergunte onde os dados ficam armazenados fisicamente. Isso muda a jurisdição aplicável em caso de disputa. Por fim, exija um plano de resposta a incidentes por escrito. Esse plano precisa ter prazo definido para notificar sua empresa caso algo aconteça.

A diferença entre um fornecedor maduro e um que só promete

Um fornecedor de TI maduro consegue explicar essas práticas em detalhes, sem enrolação. Já um fornecedor que só promete costuma responder com frases genéricas, do tipo “temos segurança de ponta”. Portanto, desconfie de respostas vagas. Peça, por exemplo, um relatório de teste de vulnerabilidade recente. Uma certificação reconhecida no mercado também ajuda a comprovar o discurso. Dessa forma, fica mais fácil separar quem realmente investe em segurança de quem só usa a palavra como argumento de venda.

Vale um cuidado extra aqui. Muitos compradores param de perguntar assim que veem o nome de uma certificação conhecida. No entanto, ter o selo não significa que ele se aplica a todo o serviço contratado. Por isso, sempre peça o escopo exato da certificação antes de considerar o assunto resolvido.

O que isso tem a ver com o restante do contrato

A segurança de dados não é uma cláusula isolada. Ela conversa com o resto do contrato. Por exemplo, um plano de backup imutável contra ransomware é parte da estratégia de proteção de dados. Da mesma forma, as cláusulas que todo contrato de TI deveria ter definem o que acontece se algo sair do combinado. Consequentemente, revisar segurança separado do restante do contrato é um erro comum. O ideal é tratar tudo como uma coisa só, já desde a fase de cotação. Isso já mostramos no artigo sobre RFP de TI em São Paulo.

Checklist rápido de segurança de dados em TI terceirizada antes de assinar

Antes de fechar com um fornecedor de TI, vale confirmar:

• Os dados são criptografados tanto em trânsito quanto quando armazenados?
• Existe controle de acesso por perfil, e não uma senha genérica compartilhada pela equipe?
• O fornecedor sabe dizer onde os dados ficam armazenados fisicamente?
• Existe um plano de resposta a incidentes com prazo definido para notificação?
• O fornecedor consegue apresentar prova de auditoria ou teste de segurança recente?

Se alguma dessas respostas vier vaga ou incompleta, então vale continuar procurando antes de assinar.

Como a SYNA IT trata a segurança dos dados dos clientes

Na SYNA IT, cada cliente recebe, por escrito, como os dados são protegidos, armazenados e auditados. Isso inclui controle de acesso, criptografia e um plano de resposta a incidentes documentado. Se sua empresa está avaliando trocar de fornecedor de TI, vale começar justamente por essa conversa. Preço vem depois.