Contrato e SLA de fornecedor de cibersegurança: o que exigir antes de assinar
Como avaliar escopo, SLA, responsabilidade, LGPD, subcontratação e saída em contratos de serviços de segurança gerenciados, com checklist de perguntas e tabela de cláusulas.
Ao contratar um fornecedor de serviços de cibersegurança, a proposta comercial costuma destacar tecnologia e preço, mas o que protege a empresa é o contrato: escopo claro, SLA mensurável, responsabilidades definidas, tratamento de dados conforme a LGPD, regras de subcontratação e condições de saída. Este guia lista o que perguntar e o que exigir em contratos de EDR, MDR, SOC, backup gerenciado, testes de intrusão e consultoria. Não é modelo contratual nem parecer jurídico: em contratos relevantes, peça revisão de advogado.
Defina o escopo com precisão
Contratos vagos geram frustração no primeiro incidente. Exija que o escopo descreva:
- O que é monitorado: quais estações, servidores, contas, aplicações, nuvens e redes.
- O que o fornecedor faz diante de um alerta: apenas notifica, investiga, contém (isola máquina, bloqueia conta) ou remedia?
- Quem autoriza ações: ações de contenção em sistemas críticos podem exigir autorização prévia; defina pré-autorizações para casos urgentes.
- Horários de cobertura: 8x5, 12x5, 24x7, e o que ocorre em feriados.
- Entregáveis: relatórios periódicos, reuniões, relatórios de incidentes, recomendações.
- Exclusões: o que não está incluído (resposta a incidentes complexos, perícia forense, correção de sistemas).
SLA: o que medir e como
SLA (acordo de nível de serviço) deve ser mensurável e vir com consequências.
| Indicador | Pergunta a fazer |
|---|---|
| Tempo de reconhecimento | Em quanto tempo o fornecedor confirma o alerta? |
| Tempo de resposta/ação | Em quanto tempo começa a investigação e a contenção? |
| Severidade | Como os incidentes são classificados e quem decide? |
| Disponibilidade da plataforma | Qual a meta de disponibilidade do serviço? |
| Canais | Telefone, e-mail, portal? Há atendimento fora do horário? |
| Relatórios | Frequência e conteúdo |
| Penalidades | Créditos ou multas por descumprimento? |
Desconfie de SLAs que só medem "tempo para abrir chamado" sem tempo para agir. Peça exemplos de relatórios e do fluxo de escalonamento.
Responsabilidade e limitação de danos
Quase todo fornecedor limita a responsabilidade a um valor (por exemplo, equivalente a certo número de mensalidades). Avalie:
- Teto de responsabilidade e se é compatível com o risco do seu negócio.
- Exceções ao teto: vazamento de dados por culpa do fornecedor, confidencialidade, dolo e culpa grave.
- Seguro do fornecedor: ele mantém seguro de responsabilidade profissional e cyber? Peça comprovação.
- Sub-rogação e seguro da empresa: cláusulas muito amplas de renúncia podem afetar o direito de sua seguradora de se sub-rogar. Veja como ler as cláusulas da apólice.
LGPD no contrato
Quando o fornecedor acessa dados pessoais (logs, e-mails, dispositivos, backups), ele geralmente atua como operador e você como controlador (Lei nº 13.709/2018). O contrato deve prever:
- Finalidade e instruções do tratamento.
- Medidas de segurança adotadas pelo fornecedor.
- Comunicação de incidentes: prazo curto para avisar a empresa, para que ela cumpra seus deveres perante a ANPD e os titulares. Veja LGPD e incidentes.
- Subcontratados e localização dos dados, inclusive eventual transferência internacional, que exige base legal e cuidados específicos.
- Devolução ou eliminação de dados ao término.
- Confidencialidade e acesso restrito por pessoas autorizadas.
Subcontratação e dependências
Muitos fornecedores usam plataformas de terceiros (nuvem, consoles, SOC de outro país). Pergunte quem realmente presta o serviço, onde fica a equipe, que dados saem da sua rede e o que acontece se o subcontratado falhar. Exija aviso e direito de objeção para trocas relevantes de subcontratados.
Prazo, preço e reajuste
- Vigência e renovação: evite renovação automática sem aviso e com longas multas de saída.
- Reajuste: índice previsto (por exemplo, índice de preços de ampla aceitação) e regras para licenças em dólar.
- Cobrança por volume: como o preço varia com o número de estações e usuários, e se há mínimo.
- Implantação e treinamento: estão inclusos ou cobrados à parte?
- Multas de rescisão: compatíveis com o prazo restante e com a possibilidade de rescindir por descumprimento de SLA.
Condições de saída
O fim do contrato é onde empresas mais se arrependem. Exija:
- Transição assistida por prazo razoável.
- Entrega de configurações, regras e logs em formato utilizável.
- Remoção de agentes e acessos, com confirmação.
- Eliminação de dados com declaração formal.
- Continuidade de suporte durante a migração.
Como avaliar o fornecedor antes de assinar
- Peça referências de clientes de porte semelhante e converse com elas.
- Verifique certificações relevantes (por exemplo, ISO/IEC 27001 do fornecedor), sem presumir que garantem qualidade do serviço.
- Peça uma prova de conceito ou período de avaliação em parte do ambiente.
- Entenda a equipe: quem atenderá, qualificação, rotatividade e idioma.
- Compare propostas com o mesmo escopo. Use a estimativa de serviços gerenciados para montar sua faixa de orçamento, e leia serviços gerenciados e como orçar.
Fornecedores e seguro cyber
Seguradoras podem exigir ou valorizar serviços como EDR/MDR e backup testado, e algumas mantêm redes de prestadores homologados para resposta a incidentes. Antes de contratar um fornecedor para resposta, verifique se ele é aceito pela sua apólice. Veja como acionar o seguro cyber.
Quando procurar ajuda profissional
Peça revisão jurídica do contrato antes de assinar, especialmente quanto a responsabilidade, LGPD e saída. Um consultor independente pode ajudar a validar o escopo técnico e comparar propostas.
Perguntas frequentes
MDR com 24x7 significa que alguém age a qualquer hora?
Depende do escopo. Alguns serviços apenas notificam; outros contêm incidentes. Verifique as ações autorizadas.
O fornecedor pode ser responsabilizado por um ataque?
Depende do contrato e da culpa. A maioria limita a responsabilidade, e o resultado depende do caso concreto.
Preciso de contrato específico de LGPD?
Cláusulas de proteção de dados no contrato principal ou em aditivo são recomendadas quando há tratamento de dados pessoais.
Posso trocar de fornecedor facilmente?
Se o contrato prever transição e entrega de dados e configurações, sim. Caso contrário, a troca pode ser custosa.
