Empresa de suporte de TI: 7 critérios para escolher antes de assinar

Para escolher uma empresa de suporte de TI, avalie sete pontos antes de assinar: escopo escrito, SLA por prioridade, relatórios mensais, regras de acesso ao seu ambiente, aviso de incidentes, tratamento de dados conforme a LGPD e plano de saída. Preço vem depois. Um contrato sem esses itens transfere o problema, não resolve.

Por que a escolha da empresa de suporte de TI virou uma decisão de segurança?

Quem presta suporte tem senha de administrador, acesso remoto às máquinas e, muitas vezes, ao servidor e à nuvem. Se o fornecedor for invadido, o atacante chega até você pelo mesmo caminho.

O relatório de violações de dados da Verizon de 2026 mostra o tamanho disso. Segundo o Verizon DBIR 2026, as violações com envolvimento de terceiros cresceram 60% em relação ao ano anterior e chegaram a 48% do total. O mesmo relatório aponta que a exploração de falhas de software passou a ser a principal porta de entrada, com 31% dos casos.

Por isso, a pergunta certa não é só "quem atende mais rápido". É "quem atende bem sem virar o elo fraco da sua empresa".

O que precisa estar escrito no escopo do contrato de suporte de TI?

Escopo é a lista do que está incluído. Sem ela, cada chamado vira negociação. Peça por escrito:

• Quais itens são cobertos: computadores, celulares, servidores, rede, e-mail, sistemas de terceiros.
• Quantos usuários e dispositivos entram no contrato e como funciona quando a empresa cresce.
• O que é atendimento remoto e o que exige visita.
• O que fica de fora e como é cobrado à parte.
• Quem responde pela atualização de sistemas (patches) e pelo antivírus: o fornecedor ou a sua equipe.

A CISA, agência de cibersegurança dos Estados Unidos, recomenda definir papéis e responsabilidades no contrato usando um modelo de responsabilidade compartilhada. Na prática: cada tarefa tem um dono com nome.

Como avaliar o SLA de uma empresa de suporte de TI?

SLA (acordo de nível de serviço) é o prazo que o fornecedor se compromete a cumprir. Dois prazos importam: o de primeira resposta e o de solução. Um SLA útil separa os chamados por prioridade. Um sistema parado que impede a empresa de faturar não pode ter o mesmo prazo de um mouse com defeito.

Pergunte também:

• Qual o horário de cobertura e o que acontece fora dele.
• Como o prazo é medido e quem mede.
• O que acontece quando o SLA não é cumprido.

A CISA recomenda que o contrato traga acordos de nível de serviço específicos de desempenho e separe com clareza os serviços de operação dos serviços de segurança. Se a mesma linha do contrato mistura "suporte" e "segurança", peça para desmembrar.

Para entender quanto uma parada custa e calibrar o SLA de cada sistema, veja o custo real do downtime de TI.

Quais relatórios o suporte de TI deve entregar todo mês?

Sem relatório, você não sabe se está pagando por um serviço bom ou por um serviço silencioso. O mínimo mensal:

• Chamados abertos e fechados, por prioridade e por setor.
• Percentual dentro do SLA.
• Problemas que se repetem e o que foi feito para eliminá-los.
• Situação das atualizações de segurança nas máquinas.
• Equipamentos fora de garantia ou com sistema sem suporte.

Esse dado sai de um sistema de chamados, não de planilha. Se a empresa atende por WhatsApp, e-mail e telefone, os canais precisam cair no mesmo lugar. Explicamos como fazer isso em centralizar os canais de atendimento do service desk.

A atualização de sistemas merece atenção no relatório. Segundo o Verizon DBIR 2026, o tempo mediano para corrigir por completo vulnerabilidades críticas subiu para 43 dias, contra 32 no ano anterior, e só 26% delas foram totalmente corrigidas em 2025.

Que acesso a empresa de suporte deve ter ao seu ambiente?

O suporte precisa de acesso para trabalhar. Mas esse acesso deve ser o menor possível. A CISA orienta conceder ao prestador "os direitos mínimos necessários pelo menor tempo necessário", não colocar as contas do fornecedor em grupos de administrador e desativar essas contas quando não estiverem em uso.

Pergunte ao fornecedor:

• Cada técnico tem conta própria ou todos usam a mesma senha?
• O acesso de administrador é liberado só na hora do atendimento?
• Há registro de quem acessou o quê e quando? Você tem acesso a esse registro?
• O acesso remoto usa autenticação em dois fatores (MFA)?

Senha de administrador compartilhada e sem registro é o sinal mais claro de risco. Ferramentas de acesso privilegiado, como o Senha Segura 360° PAM, guardam essas senhas, liberam o acesso por tempo limitado e gravam a sessão.

O que o contrato deve dizer sobre incidentes de segurança?

Um incidente pode começar no seu ambiente ou no do fornecedor. Nos dois casos, você precisa saber rápido. A CISA recomenda que o contrato preveja diretrizes detalhadas de gestão de incidentes e aviso de eventos de segurança confirmados ou suspeitos, inclusive os que ocorrem na infraestrutura do próprio prestador.

Defina no contrato: em quanto tempo o fornecedor avisa, por qual canal, quem decide o que fazer e quem fala com clientes e autoridades.

Como a LGPD entra na contratação do suporte de TI?

Quem dá suporte vê e-mails, arquivos e sistemas com dados de clientes e funcionários. Pela LGPD (Lei 13.709/2018), sua empresa costuma ser a controladora desses dados e o prestador atua como operador. O artigo 39 diz que o operador deve tratar os dados segundo as instruções do controlador, que verifica se essas instruções são seguidas. O artigo 46 exige medidas de segurança técnicas e administrativas dos agentes de tratamento.

Na prática, o contrato precisa ter cláusula de proteção de dados, dizer o que o fornecedor pode e não pode fazer com eles e prever o que acontece com as cópias no fim do contrato. A análise jurídica fica com o seu advogado.

Quando trocar de empresa de suporte de TI não resolve?

Trocar de fornecedor não corrige problemas que estão do lado de dentro. Antes de mudar, confira:

• Não há inventário. Se ninguém sabe quantas máquinas e licenças a empresa tem, qualquer fornecedor vai começar no escuro.
• Não há dono interno. Alguém da empresa precisa aprovar acessos, priorizar chamados e cobrar o SLA.
• O orçamento não cobre o escopo. Exigir atendimento 24 horas com contrato de horário comercial gera frustração com qualquer prestador.
• O problema é de sistema, não de suporte. Equipamento antigo ou sistema operacional sem suporte do fabricante continuam falhando, seja quem for o técnico.

Outro ponto: inclua no contrato um plano de saída. Senhas, documentação, inventário e registros precisam voltar para você no fim do contrato. Sem isso, a empresa fica presa ao fornecedor.

Como a Lenanzo Tech ajuda na gestão de TI e suporte ao usuário

A Lenanzo Tech, de Campinas/SP, atende empresas com gestão de TI e suporte ao usuário, com service desk sobre Freshservice e Freshdesk para registrar chamados e acompanhar indicadores. O suporte se conecta a outras frentes que respondem aos critérios acima: gestão de endpoints e sistemas, para inventário e atualizações; segurança e identidade, com SSO e MFA; e o Senha Segura 360° PAM, para controlar o acesso privilegiado.

Se você está avaliando como estruturar o suporte da sua empresa, fale com a equipe da Lenanzo Tech e leve esta lista para a conversa.

Perguntas frequentes

Qual a diferença entre suporte de TI e terceirização de TI?

Suporte de TI é o atendimento aos usuários e aos equipamentos. Terceirização de TI pode incluir também infraestrutura, segurança e gestão de projetos. Confira no escopo o que está incluído.

Preciso de SLA se a empresa é pequena?

Sim. Sem prazo escrito, não há como cobrar. O SLA pode ser simples, com duas ou três prioridades.

O fornecedor de suporte pode usar uma senha única para todos os técnicos?

Não é recomendável. Senha compartilhada impede saber quem fez o quê. Peça contas individuais com MFA e registro de acesso.

Quem é responsável pelos dados se o fornecedor de suporte vazar informações?

A LGPD prevê responsabilidade para controlador e operador. Por isso o contrato precisa ter cláusula de proteção de dados. Consulte seu advogado para o caso concreto.

Com que frequência devo revisar o contrato de suporte?

Revise os indicadores todo mês e o contrato pelo menos uma vez por ano, ou quando a empresa mudar de tamanho ou de sistemas.

Fontes

• CISA (Cybersecurity and Infrastructure Security Agency). CISA Insights: Risk Considerations for Managed Service Provider Customers. Consultado em 12/10/2026.
• Verizon. 2026 Data Breach Investigations Report: Executive Summary. Consultado em 12/10/2026.
• Verizon. Vulnerability exploitation top breach entry point, 2026 industry-wide DBIR finds. Consultado em 12/10/2026.
• Presidência da República. Lei nº 13.709/2018 — Lei Geral de Proteção de Dados Pessoais (LGPD). Consultado em 12/10/2026.