Segurança da informação em contratos de outsourcing de TI

O que todo contrato de outsourcing de TI deve incluir

Contrato insuficiente em segurança deixa empresa vulnerável. Cláusulas mínimas obrigatórias:

• Antimalware e patch management: Fornecedor mantém sistemas atualizados (patches de segurança aplicados em 30 dias de lançamento mínimo). Sem isso, vulnerabilidades conhecidas não são corrigidas.
• Backup automático com teste periódico: Backup é inútil se não é testado restaurar (teste trimensal mínimo). Contrato deve especificar RPO (Recovery Point Objective = quanto tempo de dados é aceitável perder) e RTO (Recovery Time Objective = quanto tempo leva restaurar).
• Acesso remoto seguro: VPN com certificado + MFA obrigatória (autenticador app, não SMS que é fraco). Sem MFA, credencial roubada abre acesso total.
• Logging de acesso a dados sensíveis: Quem acessou arquivo de clientes, quando, o quê. Log auditável, não deletável por operador.
• Criptografia: Em trânsito (HTTPS/TLS 1.2+), em repouso (dados em repouso encriptados). Sem isso, dados que vazam são legíveis.
• Segregação de redes: Dados do cliente isolado de dados de outros clientes / fornecedor. Um cliente não acessa estrutura de outro.
• Política de senhas: Complexidade mínima, expiração, proibição de reutilização. Força o operador a manter credenciais seguras.
• Treinamento de segurança: Equipe do fornecedor recebe treinamento anual em segurança (phishing, social engineering). Risco humano é maior que risco técnico.

ISO 27001: certificação ou ficção

Fornecedor diz "temos ISO 27001" — frequentemente é falso ou expirado. Validação correta:

1. Pedir certificado: Documento que lista empresa, escopo (quais processos estão certificados), data de expiração, auditor (deve ser credencial INMETRO no Brasil)
2. Verificar data: Certificados expiram. Se expiração é antes de hoje, não está válido.
3. Verificar auditor: Auditoria deve ser por órgão independente acreditado (DNV, EY, KPMG — não "certificado pela própria empresa")
4. Confirmar escopo: ISO 27001 pode cobrir "processo de TI" mas não incluir "outsourcing para clientes" (escopo é importante)

Cuidado: fornecedor pode ter ISO 27001 genuína mas escopo não inclui atividade que você contrata. Validar explicitamente.

LGPD em outsourcing: quem é responsável pelos dados

LGPD (Lei Geral de Proteção de Dados) quando dados vão para terceiro:

• Controlador de dados: Você (empresa) — responsável legalmente pelos dados. Se vaza, você responde à ANPD (multa até 2% do faturamento).
• Operador de dados: Fornecedor — processa dados em seu nome, segue instruções suas. Se vaza, responsabilidade compartilhada (você não avisou, fornecedor não protegeu).
• Cláusulas LGPD obrigatórias no contrato:
  • Localização de dados: onde dados residem fisicamente? (Brasil = simples; exterior = complexo e regulado)
  • Direito à auditoria: você pode auditar processamento de dados? (sim ou não deve estar explícito)
  • Direito ao esquecimento: dados podem ser deletados se você pedir? (retenção por quanto tempo?)
  • Notificação de incidente: se vaza, fornecedor avisa em quanto tempo? (LGPD exige "sem atraso").
  • Responsabilidade compartilhada: quem paga multa/indenização se vaza? (deve estar definido)

Acesso remoto seguro: MFA é mandatório

Cenário perigoso: fornecedor acessa seu sistema via VPN com username/password (sem MFA). Credencial vaza. Hacker acessa seu sistema. Você não sabe (sem logging).

Mitigação:

• VPN com certificado (não username/password): Identidade é chave privada (certificado), não password. Certificado = identidade máquina operador, não pessoa. Menos risco que credential compartilhada.
• MFA obrigatória: Mesmo com VPN segura, acesso a dados sensíveis requer segundo fator (autenticador app, não SMS). Reduz risco de acesso não autorizado mesmo se credencial vaza.
• Timeout de sessão: Após 30–60 min inativo, logout automático. Operador esquece notebook aberto em público, alguém acessa — timeout mitiga.
• Log de acesso detalhado: Quem acessou (identificação do operador), quando, de qual IP, o quê. Auditável para investigação se houver incidente.

Incidente de segurança: quem faz o quê

Se dados vazam (malware, roubo, erro operacional), contrato deve definir:

• Notificação em 24h: LGPD exige "sem atraso" — contrato deve especificar máximo 24h. Fornecedor deve avisar cliente, cliente avisa ANPD.
• Plano de ação: Como vai resolver? Isolamento de sistema afetado, investigação de causa, notificação de clientes (se dados pessoais vazaram).
• Análise de causa raiz: Por que aconteceu? Falta de patch? Acesso não autorizado? Erro humano? Sem causa raiz, risco de repetir.
• Medidas preventivas: Como evita de novo? Fechou vulnerability? Treinamento foi feito? Processo foi corrigido?

Contrato deve deixar claro: fornecedor está obrigado cooperar em investigação, fornecer logs, submeter sistema a análise forense.

Auditoria de fornecedor: como validar sem ser enganado

Audit de conformidade pode ser: (1) documental (você pede checklist, fornecedor responde), (2) visita presencial (você visita escritório), (3) independente (auditor externo).

• Audit documental: Rápido, barato. Fornecedor responde perguntas (antimalware: sim. Backup testado: sim. MFA: sim). Pode ser fabricado. Validade: baixa.
• Audit presencial: Você visita, tira print de tela (antimalware ligado), vê logs. Consome tempo. Válido se você sabe o que procurar. Validade: média.
• Audit independente: Auditor terceiro (KPMG, EY) valida. Caro (R$ 10–20k). Resultado é SOC 2 Type II (conformidade de segurança/operação). Validade: alta.

Para PME: comece com audit documental anual + visita 1x por ano. Para média/grande: audit independente anual.