Um prestador de serviços de TI não deve ser avaliado pelo seu folheto comercial. O critério mais fiável continua a ser a análise técnica do contrato, a verificação do âmbito real das certificações e a capacidade do candidato para documentar os seus compromissos de segurança face às obrigações regulamentares do cliente.
Âmbito das certificações: o que o certificado de um prestador de serviços de TI realmente abrange
Uma certificação ISO 27001 ou uma qualificação SecNumCloud apresentada por um fornecedor de alojamento não garante nada em relação ao prestador de serviços de gestão de TI que administra o sistema no dia a dia. Cada certificado abrange um âmbito específico: entidades, instalações e serviços. Se o prestador subcontratar o alojamento a um terceiro certificado, mas gerir ele próprio a administração, a certificação desse terceiro não se estende às práticas do próprio prestador.
Antes de assinar, peça o certificado original e leia o anexo que define o âmbito. Verifique se os serviços incluídos na proposta correspondem aos serviços indicados no certificado. Um prestador sério fornece esta informação sem hesitar.
Empresas como a ProInfo Services estruturam a sua oferta em torno desta transparência, detalhando os componentes técnicos abrangidos pelas suas próprias qualificações e pelas dos seus parceiros de alojamento.
Perguntas a fazer sobre as certificações
- Que instalações e serviços estão incluídos no âmbito auditado da sua certificação?
- O alojamento é operado internamente ou subcontratado? Nesse caso, o subcontratado tem certificação para o mesmo âmbito?
- Com que frequência é realizada a auditoria de renovação e é possível consultar o relatório mais recente?
Obrigações NIS2 e RGPD: responsabilidades que a externalização não transfere
A externalização dos serviços de TI não transfere a responsabilidade jurídica do cliente. No âmbito do RGPD, a empresa continua a ser responsável pelo tratamento dos dados pessoais, mesmo que seja o prestador a manipulá-los tecnicamente. Em caso de violação, é o cliente que tem de notificar a CNIL dentro de um prazo limitado.
Por isso, o contrato de subcontratação deve definir a cadeia de alerta. O prestador compromete-se a comunicar qualquer violação ao cliente dentro de um prazo definido e com um nível de detalhe suficiente para que este possa cumprir as suas próprias obrigações de notificação.
Impacto da diretiva NIS2 na escolha do prestador
Um prestador de serviços de TI pode ser afetado indiretamente pela NIS2. Se a empresa cliente estiver abrangida por esta diretiva, deve obter dos seus fornecedores garantias sobre a gestão dos acessos de administração, a manutenção dos registos de atividade, o tratamento das vulnerabilidades e a comunicação de incidentes.
Na prática, faça três perguntas ao candidato: qual é a sua política de registo dos acessos privilegiados, qual é o seu procedimento de gestão de vulnerabilidades (frequência das análises, prazo de correção) e como funciona o seu processo de notificação de incidentes. Um prestador que não saiba responder a estas perguntas não está preparado para apoiar uma empresa sujeita a requisitos setoriais de cibersegurança.
SLA e compromissos de serviço: analisar o contrato de gestão de TI para além da taxa de disponibilidade
A taxa de disponibilidade apresentada (geralmente expressa em percentagem) diz muito pouco se não vier acompanhada de três elementos: o método de cálculo, as exclusões e as penalizações efetivas.
- O método de cálculo: o tempo de manutenção programada é excluído do cálculo? Se for, um prestador pode apresentar uma taxa elevada e, ao mesmo tempo, programar períodos frequentes de indisponibilidade.
- As exclusões: os incidentes relacionados com um fornecedor terceiro (operador de telecomunicações, fabricante de software) são contabilizados ou excluídos do SLA?
- As penalizações: um crédito de alguns pontos percentuais na fatura mensal não compensa uma perda de exploração. Verifique se o contrato prevê um mecanismo de compensação proporcional ao impacto real.
- O GTI (garantia do tempo de intervenção) e o GTR (garantia do tempo de recuperação): são dois indicadores distintos. O primeiro mede o prazo até um técnico assumir o pedido; o segundo, o prazo até à resolução efetiva. Um GTI curto com um GTR pouco claro não tem valor operacional.
Constatamos que os contratos mais sólidos distinguem claramente os níveis de criticidade (P1 a P4), com GTI e GTR diferentes para cada nível e penalizações progressivas.
Reversibilidade e dependência técnica: antecipar a saída desde a assinatura
A cláusula de reversibilidade condiciona a sua liberdade para mudar de prestador. Um contrato de gestão de TI sem um plano de reversibilidade detalhado cria uma dependência técnica que pode sair cara em caso de rescisão.
A reversibilidade abrange três aspetos. O primeiro é a restituição dos dados num formato utilizável, e não num formato proprietário que só o prestador cessante consegue ler. O segundo diz respeito à documentação técnica: diagramas de rede, inventário das configurações e procedimentos operacionais. O terceiro é o período de transição, durante o qual o prestador cessante coopera com o novo para garantir a continuidade do serviço.
Pontos a verificar na cláusula de reversibilidade
Verifique se o contrato especifica o formato de restituição dos dados, o prazo máximo de transferência e o eventual custo do serviço de reversibilidade. Alguns prestadores cobram a reversibilidade com base no tempo despendido, sem limite máximo, o que pode servir como instrumento de pressão em caso de desacordo.
Um prestador de serviços de TI fiável inclui a reversibilidade como um compromisso contratual padrão, e não como uma opção negociável no final das conversações. O plano de reversibilidade deve ser negociado antes da assinatura, quando o poder de negociação ainda está equilibrado.
A escolha de um prestador de serviços de TI para apoiar uma empresa no dia a dia depende menos das promessas apresentadas do que da análise atenta do contrato, da verificação concreta do âmbito das certificações e da capacidade do candidato para responder aos requisitos regulamentares do cliente. Um bom prestador documenta os seus compromissos, é transparente quanto às suas limitações e prevê a saída desde o primeiro dia.
