Jornalismo útil para compreender, gerir e fazer crescer uma empresa.
PesquisarUma avaliação útil vai além de pedir certificados: verifica como os dados são protegidos, o que acontece em caso de incidente e se a recuperação do serviço é compatível com a criticidade dos seus processos.
Incorporar um serviço SaaS a um processo crítico significa depender de um fornecedor externo para gerir dados e manter uma operação disponível. Antes de contratá-lo, convém comparar seus controles e compromissos com as necessidades reais da empresa. Uma apresentação comercial ou uma certificação, por si só, não explicam o que acontecerá durante uma interrupção nem quanto tempo a recuperação levará.
Este checklist ajuda a organizar a avaliação. Não substitui uma análise jurídica ou técnica específica: os requisitos aplicáveis dependem do setor, dos dados tratados e da jurisdição, aspectos que não estão definidos aqui.
Comece pelo uso que será feito do serviço. Identifique os processos que dependem dele, os dados que serão inseridos e as áreas da empresa que seriam afetadas se o sistema ficasse indisponível ou se as informações fossem perdidas.
A profundidade da avaliação deve ser proporcional a essa dependência. Um SaaS que gerencia uma tarefa secundária pode exigir uma análise diferente daquela necessária para um serviço que concentra informações sensíveis ou interrompe uma função essencial quando falha. Anote também se existem alternativas temporárias, como procedimentos manuais ou ferramentas de contingência, e quem poderia ativá-las.
Solicite informações concretas sobre o ciclo de vida dos dados: onde são armazenados e processados, quem pode acessá-los, como esse acesso é limitado e quais medidas são aplicadas para proteger as informações durante a transmissão e o armazenamento. Esclareça também o que acontece com os dados no fim do contrato, incluindo os prazos e mecanismos de devolução ou eliminação documentados pelo fornecedor.
Quanto ao acesso, pergunte se são oferecidos autenticação multifator, permissões baseadas em funções e registros de atividade. Não basta que uma funcionalidade exista: é importante saber se ela se aplica ao serviço contratado, quem a administra e quais evidências o fornecedor pode fornecer. Se a ferramenta se integrar a outros sistemas, inclua essas conexões na análise.
Peça o procedimento escrito para detectar, investigar e gerenciar incidentes de segurança. Verifique se ele identifica responsáveis, canais de contato e etapas de escalonamento, e se explica como um incidente é comunicado aos clientes.
Esclareça as condições e os prazos de notificação que o fornecedor se compromete a cumprir. Não presuma que uma resposta genérica atende a qualquer obrigação da empresa: o escopo depende do contrato, do tipo de incidente e das normas aplicáveis. Se o fornecedor apresentar métricas ou exemplos de incidentes anteriores, diferencie esses dados de seus objetivos futuros e pergunte a que período e serviço se referem.
Uma política de backups não demonstra, por si só, que os dados possam ser restaurados dentro do prazo de que a empresa precisa. Pergunte:
Peça ao fornecedor que explique seus objetivos de recuperação. O RTO descreve o tempo-alvo para restabelecer um serviço; o RPO expressa o ponto-alvo de recuperação dos dados, ou seja, quanta informação poderia não ser recuperada, dependendo do cenário. Compare ambos com o que a empresa pode tolerar e confirme se são compromissos contratuais, objetivos operacionais ou estimativas sujeitas a condições.
Analise o acordo de nível de serviço (SLA) e identifique como ele define a disponibilidade, o período de medição, as exclusões e o mecanismo de comunicação ou compensação em caso de descumprimento. Um índice de disponibilidade isolado não permite avaliar o impacto: é importante saber como ele é medido e quais situações ficam fora do cálculo.
A continuidade dos negócios e a recuperação tecnológica são aspectos relacionados, mas distintos. A primeira diz respeito a manter funções essenciais durante a interrupção; a segunda, a restaurar sistemas e dados. Pergunte se o fornecedor tem procedimentos documentados para ambas, quem assume as responsabilidades e quando foram testados. Também convém identificar quais tarefas continuarão dependendo da empresa durante um incidente, como informar suas equipes ou ativar processos alternativos.
Para cada garantia importante, solicite documentação atualizada e aplicável ao produto que será contratado. Conforme o caso, ela pode incluir políticas de segurança, relatórios de auditoria ou certificações, resultados de testes de recuperação, registros de alterações e procedimentos para incidentes. Verifique o escopo, a data e quaisquer ressalvas do documento: uma evidência relativa a outra plataforma ou entidade do fornecedor pode não abranger o serviço avaliado.
Registre as respostas e os documentos recebidos. Se uma resposta estiver incompleta, for contraditória ou não puder ser verificada, anote-a como uma incerteza pendente, em vez de tratá-la como uma garantia.
Resuma as conclusões em uma matriz simples: requisito, resposta do fornecedor, evidência, impacto para a empresa e ação pendente. Priorize as lacunas que poderiam expor dados importantes, interromper processos essenciais ou dificultar a recuperação. Essa classificação permite comparar fornecedores e decidir quais aspectos precisam ser resolvidos antes da contratação ou integração.
A análise não termina com a assinatura. Se o uso do serviço, os dados tratados ou as condições do fornecedor mudarem, verifique novamente se as garantias continuam adequadas. Para uma dependência crítica, combine também quem analisará as evidências e com que frequência.
Um guia prático para definir, medir e avaliar o desempenho de processos automatizados. Aprenda a estabelecer linhas de base, selecionar métricas de esforço, qualidade e custo, e calcular o ROI realista para decidir se deve manter, ajustar ou reverter a automação.
Ler artigo
Uma estratégia de backup útil começa por priorizar as informações e decidir quanta perda e quanto tempo de interrupção a empresa pode tolerar. Assim, definem-se a frequência, o armazenamento e os testes de restauração.
Ler artigo
Organize os acessos de funcionários e fornecedores em quatro etapas: identificar contas e responsáveis, reforçar a autenticação, limitar permissões e revogar acessos quando deixarem de ser necessários.
Ler artigo