Terceirização de TI: quando vale a pena e o que manter dentro de casa

A terceirização de TI vale a pena quando a operação do dia a dia (chamados, atualizações, monitoramento, cuidado com os equipamentos) consome a equipe interna ou simplesmente não tem dono. Terceirize a execução repetitiva e especializada. Mantenha dentro de casa as decisões, a política de acessos, o inventário do que é crítico e a responsabilidade pelos dados.

O que é terceirização de TI?

Terceirizar a TI é contratar uma empresa especializada para executar, de forma contínua, serviços que a sua equipe faria. Os mais comuns são o suporte ao usuário (service desk), a gestão de computadores e celulares, a aplicação de atualizações, o monitoramento da rede e a gestão de identidades e acessos.

Ela pode ser total, quando o fornecedor assume quase toda a operação, ou parcial, quando cobre só algumas frentes e trabalha ao lado de um gestor ou de uma equipe interna. Em PMEs, o modelo parcial é comum: um responsável interno decide, e o parceiro executa e reporta.

Quando vale a pena terceirizar a TI?

Não existe um tamanho de empresa a partir do qual a terceirização passa a valer. O que conta são sinais da operação. Se três ou mais destes aparecem, vale fazer a conta:

• A TI só age quando algo quebra. Não há rotina de atualização, revisão de acessos ou checagem de backup, só atendimento a urgências.
• Uma pessoa concentra tudo. Se ela sai de férias ou deixa a empresa, ninguém sabe as senhas de administrador nem como o ambiente está montado.
• Não há registro de chamados. Os pedidos chegam por corredor e WhatsApp, e ninguém consegue dizer quanto tempo leva para resolver um problema.
• Faltam competências específicas. Segurança, nuvem, gestão de identidades e migração de ambientes Microsoft exigem conhecimento que uma equipe pequena raramente cobre.
• Não há cobertura fora do horário comercial. Um incidente na sexta à noite espera até segunda.

O custo de não agir costuma aparecer como horas paradas. O artigo sobre quanto custa para uma empresa parar ajuda a estimar esse valor antes de comparar com o custo de um contrato.

O que faz sentido terceirizar?

Faz sentido terceirizar o que é repetitivo, mensurável e exige ferramenta ou especialização que não compensa manter sozinho:

• Suporte ao usuário (service desk): abertura, triagem e resolução de chamados, com prazos combinados e relatório. Veja como funciona um service desk estruturado.
• Gestão de endpoints: inventário de computadores e celulares, aplicação de atualizações, distribuição de softwares e padronização das máquinas.
• Proteção de endpoint e firewall: configuração, atualização das regras e resposta a alertas.
• Monitoramento e observabilidade: acompanhar rede, servidores e aplicações para agir antes de a falha chegar ao usuário.
• Projetos pontuais: migração para Microsoft 365 ou Azure, implantação de autenticação multifator.

O que a empresa nunca deve terceirizar?

A execução pode sair de casa. A responsabilidade, não. A CISA, agência de cibersegurança do governo dos Estados Unidos, afirma em seu guia para clientes de provedores de serviços gerenciados que terceirizar não isenta a organização das suas responsabilidades de gestão de risco. O mesmo guia diz que as políticas e os controles de acesso à rede continuam sendo responsabilidade da própria organização.

Na prática, ficam dentro da empresa:

• As decisões sobre o ambiente: o que é prioridade, o que pode parar e por quanto tempo, quais sistemas são críticos.
• A política de acessos: quem aprova acesso, quem revisa e quem revoga no desligamento. O fornecedor executa; a empresa decide.
• As credenciais mestras: as senhas de administrador e as contas de recuperação precisam estar sob controle da empresa, não só na cabeça ou no cofre do fornecedor.
• Um inventário próprio: a lista dos sistemas, dados e equipamentos críticos, que a CISA recomenda manter como base para cobrar o fornecedor.
• Uma pessoa responsável: alguém da empresa que acompanha o contrato, lê os relatórios e responde pelo resultado.

Há também um ponto legal. Pela LGPD, o controlador é quem toma as decisões sobre o tratamento dos dados pessoais, e o operador é quem trata os dados em nome dele. O artigo 39 determina que o operador siga as instruções do controlador, e o artigo 48 diz que cabe ao controlador comunicar incidentes de segurança à ANPD e aos titulares. Ou seja: quando um fornecedor de TI acessa dados de clientes ou funcionários, a sua empresa continua sendo a responsável perante a lei.

Como reduzir o risco de dar acesso a um fornecedor?

O fornecedor de TI tem acesso privilegiado ao ambiente, e isso precisa de cuidado. O Verizon Data Breach Investigations Report de 2025, que analisou mais de 22 mil incidentes de segurança e 12.195 violações de dados confirmadas, aponta que a participação de terceiros nas violações dobrou e chegou a 30%.

As recomendações da CISA para quem contrata um provedor incluem:

1. Menor privilégio: conceder ao fornecedor só os direitos mínimos necessários, pelo menor tempo necessário.
2. Contas separadas e limitadas: manter as contas do fornecedor fora dos grupos de administradores quando possível, restritas aos sistemas que ele gerencia, e desativadas quando não estão em uso.
3. Autenticação multifator em todos os acessos do fornecedor, sempre que possível.
4. Registros próprios: guardar logs e backups essenciais fora do controle do fornecedor, para verificar o que foi feito e se recuperar de um incidente.
5. Revisão periódica: reavaliar os níveis de acesso do fornecedor regularmente, e não só na assinatura do contrato.

Ferramentas de gestão de acesso privilegiado (PAM) ajudam a cumprir esses pontos: as senhas ficam em cofre, o acesso é liberado por tempo limitado e as sessões ficam gravadas.

O que o contrato de terceirização precisa ter?

Com base no guia da CISA, adaptado à PME:

• Acordos de nível de serviço (SLA) específicos , com prazos de resposta e de solução por prioridade.
• Divisão clara de responsabilidades: quem aplica atualizações, quem cuida do hardware, quem treina os usuários.
• Regras para incidentes: como e em quanto tempo o fornecedor avisa, quem autoriza cada ação e como o caso é relatado depois.
• Separação dos dados da sua empresa em relação aos de outros clientes do fornecedor, e aviso sobre subcontratados que possam acessá-los.
• Plano de transição: como a operação volta para a empresa ou passa para outro fornecedor ao fim do contrato, com entrega de documentação e credenciais.

Quando a terceirização de TI não resolve?

Terceirizar não corrige uma TI sem direção. Ela falha, com frequência, em quatro situações:

• Ninguém na empresa acompanha o contrato. Sem um responsável interno, os relatórios não são lidos e os desvios só aparecem na crise.
• O escopo é vago. "Cuidar da TI" não é escopo. Sem lista do que está incluído, cada pedido vira discussão.
• O ambiente não está documentado. O fornecedor herda o caos e passa os primeiros meses descobrindo o que existe.
• A expectativa é só cortar custo. O ganho mais comum é previsibilidade e cobertura, não necessariamente gastar menos. Se a decisão for só pelo preço, o contrato tende a cortar exatamente a prevenção.

Como a Lenanzo Tech ajuda na terceirização de TI

A Lenanzo Tech, de Campinas/SP, atua no modelo em que a empresa decide e o parceiro executa e reporta. As frentes que podem ser combinadas conforme o que a sua equipe precisa cobrir:

• Gestão de TI e suporte ao usuário , com service desk em Freshservice e Freshdesk para registrar chamados e acompanhar prazos.
• Gestão de endpoints e sistemas e MDM , para inventário, atualizações e padronização de computadores e celulares.
• Segurança e identidade (IGA, SSO e MFA) e Senha Segura 360° (PAM) , para controlar quem acessa o quê, inclusive o próprio fornecedor.
• Proteção de endpoint e firewall , observabilidade e gestão de riscos e migração de ambientes Microsoft .

Se você quer mapear o que faz sentido terceirizar na sua operação e o que deve ficar com a sua equipe, fale com a equipe da Lenanzo Tech.

Perguntas frequentes

Terceirizar a TI é mais barato?

Nem sempre. O ganho mais comum é previsibilidade, cobertura de competências e menos dependência de uma pessoa. Compare o contrato com o custo da equipe interna e com o custo das paradas.

Posso terceirizar só uma parte da TI?

Sim. É um modelo comum em PMEs: a empresa mantém um responsável interno e terceiriza frentes como service desk, gestão de endpoints ou monitoramento.

Quem responde pelos dados se o fornecedor sofrer um incidente?

Pela LGPD, a empresa que toma as decisões sobre os dados (o controlador) continua responsável e deve comunicar o incidente à ANPD e aos titulares. Por isso o contrato precisa definir prazos de aviso.

O fornecedor deve ter senha de administrador?

Ele pode precisar de acesso privilegiado, mas com conta própria, autenticação multifator, acesso limitado aos sistemas que gerencia e registro do que faz. As credenciais mestras ficam com a empresa.

Fontes

• CISA (Cybersecurity and Infrastructure Security Agency). CISA Insights: Risk Considerations for Managed Service Provider Customers. Consultado em 19/10/2026.
• Verizon. 2025 Data Breach Investigations Report. Consultado em 19/10/2026.
• Presidência da República. Lei nº 13.709/2018 — Lei Geral de Proteção de Dados Pessoais (LGPD). Consultado em 19/10/2026.