Como escolher um MSSP ou serviço gerenciado de segurança

Uma pequena empresa pode ter firewall, proteção nos computadores e backup. Mas não ter pessoas disponíveis para acompanhar todas essas frentes.

Um serviço gerenciado de segurança pode ajudar a organizar a operação. A contratação, porém, só funciona quando cliente e fornecedor entendem as mesmas responsabilidades.

Um contrato que diz apenas “monitoramento de segurança” deixa muitas perguntas abertas. Quais ambientes são acompanhados?

Quem analisa os alertas? O que acontece fora do horário comercial?

Antes de comparar preços, transforme essas perguntas em critérios de avaliação.

O que é um MSSP

MSSP é a sigla para provedor de serviços gerenciados de segurança. Dependendo do contrato, esse fornecedor pode administrar ferramentas, acompanhar eventos, investigar alertas e apoiar a resposta a incidentes.

O conjunto de atividades varia muito entre empresas e planos.

Não presuma que todo serviço inclui uma central funcionando continuamente ou resposta completa a qualquer incidente. Um fornecedor pode oferecer administração de firewall em horário comercial.

Outro pode acompanhar uma plataforma de detecção com uma cobertura diferente. Ambos precisam explicar claramente o que fazem e o que fica sob responsabilidade do cliente.

Para uma PME, a questão central é combinar o nível de serviço com a importância dos sistemas, o orçamento e a capacidade da equipe interna. A tecnologia escolhida deve servir a esse desenho de operação, e não determinar sozinha a contratação.

Defina os problemas antes de pedir propostas

Liste os sistemas que precisam de atenção e as dificuldades atuais. Pode ser um firewall sem revisão, alertas de endpoint sem responsável ou uma rotina de backup que falha sem ser percebida.

Identifique também pessoas e fornecedores que já atuam no ambiente.

Pergunte ao gestor de cada área quais interrupções causariam maior impacto e quem pode autorizar mudanças. Esse levantamento ajuda a separar necessidades imediatas de melhorias posteriores.

Uma empresa não precisa contratar todos os serviços de uma vez para começar a reduzir lacunas.

Informações para a proposta

Na solicitação de proposta, informe a quantidade aproximada de dispositivos, os produtos utilizados, os locais e as necessidades de horário. Evite compartilhar credenciais ou informações sensíveis antes de estabelecer um processo seguro e apropriado para a avaliação.

Avalie escopo e cobertura

Uma proposta útil identifica tecnologias, ambientes, unidades e atividades cobertas. Procure descrições específicas: revisão de regras, análise de alertas, acompanhamento de agentes ou apoio a testes de recuperação.

Peça que o fornecedor indique o que está fora do serviço.

Verifique se a cobertura inclui todos os dispositivos relevantes ou apenas um grupo definido. Pergunte como novos equipamentos entram no contrato e como a empresa será avisada quando um agente estiver sem comunicação.

Um serviço não pode acompanhar algo que não foi integrado ou que deixou de enviar informações.

O contrato deve distinguir implantação inicial de operação recorrente. Inventário, integração de ferramentas e revisão de políticas podem exigir uma etapa de entrada.

Entenda o que precisa estar pronto antes do início do acompanhamento e quem será responsável por cada acesso.

Entenda horários e níveis de serviço

Peça os horários de acompanhamento, os canais de abertura de chamados e os critérios de prioridade. Um plantão para incidentes críticos pode ter regras distintas do atendimento para dúvidas e mudanças de configuração.

Os termos precisam explicar como acionar o serviço e quais situações entram em cada categoria.

Ao avaliar um prazo, identifique o marco inicial e o significado da promessa. Tempo de resposta pode ser o intervalo até o primeiro contato, e não o tempo necessário para resolver o problema.

A solução de um incidente depende de diagnóstico, acessos, terceiros e condições do ambiente.

Pergunte também o que acontece em feriados, mudanças de equipe e indisponibilidade do canal principal. O processo precisa ser compreensível para quem terá de usá-lo sob pressão.

Um número de contato sem procedimento ou responsável definido não resolve sozinho o problema de escalonamento.

Combine quem decide e quem executa

Um alerta pode exigir bloqueio de acesso, isolamento de computador ou mudança em uma regra de rede. Essas ações podem reduzir o impacto de um incidente.

Mas também afetar a operação. Defina quais medidas o fornecedor pode executar diretamente e quais precisam de autorização.

Registre quem representa a empresa, como será contatado e quem atua quando essa pessoa estiver indisponível. Combine quais evidências e informações serão compartilhadas, como serão protegidas e como as decisões serão documentadas.

O cliente continua responsável por decisões importantes, mesmo ao terceirizar atividades técnicas. O fornecedor também deve ter responsabilidades explícitas.

Uma matriz simples com atividade, responsável e substituto ajuda a evitar lacunas entre equipes.

Acesse evidências e relatórios úteis

Um bom relatório ajuda o gestor a decidir. Ele pode apresentar cobertura dos ativos, incidentes relevantes, alterações realizadas, falhas pendentes e recomendações priorizadas.

A frequência e o conteúdo devem fazer sentido para o tamanho da operação e o serviço contratado.

Peça exemplos de entregáveis sem dados de outros clientes. Pergunte como a equipe comprova que uma rotina foi executada e como trata problemas repetidos.

Quantidade de alertas, isoladamente, não demonstra qualidade: é necessário entender gravidade, contexto e o que foi feito.

Confira ainda como serão feitas reuniões de revisão e como novas prioridades entrarão no plano. Um contrato útil precisa permitir que o gestor veja tanto o andamento quanto as pendências que dependem da própria empresa.

Segurança do próprio fornecedor

O provedor pode receber acesso privilegiado ao ambiente. Pergunte como protege suas contas, registra acessos, limita permissões e remove credenciais quando pessoas deixam a equipe.

Verifique como são tratadas informações do cliente e como incidentes que afetem o fornecedor serão comunicados.

Sempre que possível, use contas individuais, autenticação multifator e acesso limitado ao necessário. Combine o procedimento para encerrar o contrato, devolver documentação, revogar acessos e transferir a operação.

Esses pontos precisam ser discutidos antes de surgir uma necessidade urgente.

Compare preço com responsabilidades

Solicite propostas com escopo semelhante. Uma oferta pontual para corrigir falhas não equivale a um serviço recorrente de gestão.

Compare implantação, licenças, quantidade de ativos, horários, relatórios e custos de atividades fora do contrato.

Não escolha apenas pelo maior número de ferramentas ou pela promessa mais ampla. A proposta adequada é aquela que explica como a empresa será atendida e permite avaliar se a cobertura é suficiente.

Conheça os serviços de segurança da AETRI para entender as frentes de consultoria, implantação, suporte e gestão.