Primeira contratação de TI: o que uma PME deve exigir no início

Por que a primeira contratação de TI define os cinco anos seguintes

Toda empresa pequena chega a um ponto em que o "primo que entende de computador" não dá mais conta. Normalmente esse ponto tem nome: um ransomware que criptografou a pasta compartilhada, um notebook roubado com a planilha de comissões, um e-mail de cobrança que caiu no spam do cliente e derrubou o fluxo de caixa do mês. A contratação de TI raramente nasce de um plano estratégico — nasce de um susto.

O problema é que decisões tomadas no susto tendem a resolver o sintoma e ignorar a causa. A empresa compra um antivírus caro, contrata um técnico avulso para "dar um jeito" e volta ao normal em duas semanas. Seis meses depois o próximo incidente chega, e a estrutura continua exatamente igual: ninguém sabe quantos computadores existem, ninguém sabe se o backup roda, ninguém sabe quem tem acesso a quê.

Uma PME que está estruturando TI pela primeira vez tem uma vantagem real sobre uma empresa média com dez anos de gambiarra acumulada: não há dívida técnica para pagar. Não existe servidor legado que ninguém pode desligar, nem sistema em Delphi que só um fornecedor sabe mexer. A ordem em que os itens são implantados importa mais do que a marca de cada produto — e é essa ordem que a maioria erra.

Passo 1 — Inventário: você não protege o que não sabe que existe

Antes de comprar qualquer licença, exija do fornecedor um levantamento completo do que a empresa tem. Isso não é burocracia: é a base de todo o resto. Sem inventário, o backup vai deixar de fora a máquina do financeiro, o antivírus vai cobrir 14 de 19 estações, e ninguém vai perceber até o dia em que precisar.

Um inventário mínimo aceitável cobre:

• Estações e notebooks — modelo, idade, sistema operacional, se está no suporte do fabricante, quem usa
• Servidores e NAS — físicos ou virtuais, o que roda em cada um, capacidade usada versus total
• Rede — link de internet contratado (velocidade real, não a de folheto), roteador, switches, pontos de acesso Wi-Fi, se existe firewall de verdade ou só o modem da operadora
• Sistemas e assinaturas — ERP, sistema fiscal, e-mail, antivírus, armazenamento em nuvem, com data de renovação e quem é o responsável pelo pagamento
• Contas e acessos — quem é administrador de quê, quais contas de ex-funcionários continuam ativas
• Dados críticos — onde ficam os arquivos que, se sumissem hoje, parariam a operação

Esse último item é o mais negligenciado e o mais importante. Em boa parte das PMEs, os dados críticos estão espalhados entre uma pasta de rede, o desktop de três pessoas, um Google Drive pessoal criado por um estagiário e anexos de WhatsApp. Mapear isso costuma ser desconfortável, porque revela o tamanho real do risco. É exatamente por isso que precisa vir primeiro.

Peça o inventário como documento entregável, não como "a gente já sabe de cabeça". Documento você audita; cabeça de técnico pede demissão.

Passo 2 — Backup antes de qualquer outra coisa

Se houvesse orçamento para um único item, seria backup. Antivírus falha, firewall falha, funcionário clica no link errado — backup bom é o que transforma um desastre em um transtorno de meio período. Sem ele, um ransomware bem-sucedido pode simplesmente encerrar as atividades da empresa.

A regra de referência do mercado é o 3-2-1: três cópias dos dados, em dois tipos de mídia diferentes, com uma cópia fora do local físico da empresa. Na prática, para uma PME, isso costuma significar os dados em produção, uma cópia local para restauração rápida e uma cópia em nuvem para o caso de incêndio, furto ou criptografia em massa.

Backup que ninguém testa não é backup — é esperança com nome técnico. Exija teste de restauração documentado, com data e resultado, pelo menos uma vez por trimestre.

Ao contratar, verifique quatro pontos que separam backup real de backup de fachada:

1. Cobertura — servidores, estações e também os dados que estão em nuvem. Microsoft 365 e Google Workspace não fazem backup no sentido que você precisa: eles têm lixeira com prazo, o que não protege contra exclusão maliciosa descoberta 90 dias depois
2. Retenção — quanto tempo cada ponto de restauração fica disponível. Ransomware moderno fica dormente semanas antes de disparar; retenção de sete dias é insuficiente
3. Imutabilidade — a cópia externa precisa ser impossível de apagar, inclusive por quem tem a senha de administrador. É o que impede o invasor de destruir o backup antes de criptografar a produção
4. RPO e RTO — quanto de dado a empresa aceita perder (horas de trabalho) e em quanto tempo precisa voltar a operar. São números de negócio, decididos pelo dono, não pelo técnico

Traduza sempre para linguagem de operação: "se o servidor morrer às 14h de terça, perdemos o trabalho desde as 8h e voltamos até as 18h" é uma frase que o dono da empresa consegue avaliar. "RPO de 6 horas" não é.

Passo 3 — Antivírus, atualização e o mínimo de segurança que não é opcional

Com inventário e backup no lugar, a próxima camada é impedir que o incidente aconteça. Aqui vale um alerta: antivírus gratuito de consumidor em ambiente corporativo é uma economia falsa. O que a empresa precisa é de uma solução gerenciada — com console central, onde alguém consegue ver, de um lugar só, quais máquinas estão desatualizadas, quais tiveram detecção e qual está há três semanas sem se reportar.

Essa visibilidade central é o ponto. Antivírus instalado máquina a máquina, sem console, cria a ilusão de proteção: quando o técnico descobre que a licença do notebook do comercial venceu há oito meses, a infecção já rodou. O termo de mercado atual é EDR (detecção e resposta em endpoint), e a diferença prática é que ele registra o comportamento — permite descobrir como a máquina foi comprometida, não só limpar o arquivo.

Junto com o antivírus, três itens costumam ficar de fora do escopo e não deveriam:

• Atualização de sistema e aplicativos — a maioria dos ataques bem-sucedidos explora falha antiga com correção disponível. Peça política de patch com janela definida, não "quando der"
• Múltiplo fator de autenticação (MFA) — em e-mail, VPN e qualquer sistema exposto à internet. É a medida isolada de maior retorno em segurança e custa perto de zero
• Contas administrativas separadas — ninguém deve trabalhar no dia a dia com conta de administrador. Se o usuário do financeiro é admin da máquina, o malware também é

Some a isso um firewall de verdade na borda da rede — não o roteador que veio da operadora — e uma segmentação básica que separe a rede de convidados e o Wi-Fi do celular pessoal da rede onde ficam os dados da empresa.

Passo 4 — E-mail profissional e identidade centralizada

E-mail é, ao mesmo tempo, o sistema mais crítico e o mais atacado de uma PME. É por onde chega o boleto falso, o pedido de alteração de conta bancária, o link que rouba credenciais. E é por onde a empresa fala com o cliente — quando cai, a operação comercial para.

Domínio próprio é o mínimo. E-mail corporativo em conta gratuita pessoal significa: sem controle administrativo, sem recuperação quando o funcionário sai, sem registro de acesso, e uma perda de credibilidade concreta na primeira negociação com empresa maior. Migrar isso depois, com dois anos de histórico espalhado, é muito mais caro do que fazer certo no início.

Na contratação, cobre os itens que fazem o e-mail funcionar de verdade:

• SPF, DKIM e DMARC configurados — são os registros que impedem terceiros de enviar mensagens se passando pelo seu domínio e que evitam que seus e-mails legítimos caiam no spam do cliente
• MFA obrigatório em todas as contas, sem exceção para diretoria
• Filtro anti-phishing além do padrão, com quarentena que alguém realmente revisa
• Provisionamento e desligamento documentados — como a conta do funcionário novo é criada e, principalmente, o que acontece com ela na demissão (bloqueio imediato, redirecionamento, retenção do histórico)

Se a empresa já vai adotar uma plataforma como Microsoft 365, aproveite para centralizar identidade: a mesma conta que abre o e-mail deve abrir o computador, o armazenamento de arquivos e as reuniões. Identidade única reduz senha em post-it, simplifica desligamento e dá rastreabilidade de acesso — três problemas resolvidos por uma decisão de arquitetura tomada no dia certo.

Passo 5 — Suporte: o que exigir no contrato

Com a base montada, resta definir quem cuida disso no dia a dia. É onde a maioria das PMEs contrata errado — pelo valor da hora, e não pelo modelo. Suporte cobrado por hora cria um incentivo perverso: o fornecedor ganha mais quando as coisas quebram. Suporte por contrato mensal (modelo gerenciado) inverte o incentivo: prevenir é o que dá margem ao prestador.

Independentemente do modelo, o contrato precisa responder por escrito:

• SLA por severidade — tempo de resposta e de solução para "empresa parada", "usuário parado" e "solicitação comum". Prazos diferentes para problemas diferentes
• Horário de cobertura — comercial, estendido ou 24/7 — e como funciona o acionamento fora do horário
• Escopo — o que está incluso e o que é cobrado à parte (projetos, mudança de endereço, novos servidores, hardware)
• Canal e registro — chamados devem entrar por sistema com número e histórico. Suporte que só existe no WhatsApp de um técnico é suporte que desaparece quando esse técnico sai de férias
• Relatório periódico — chamados abertos e fechados, status de backup, máquinas desatualizadas, incidentes de segurança. Sem relatório, você não tem como saber se está pagando por prevenção ou por sorte
• Cláusula de saída — na rescisão, o fornecedor entrega documentação, senhas e acessos em prazo definido. Empresa refém de fornecedor é problema comum e totalmente evitável no momento da assinatura

Pergunta que revela o fornecedor em cinco minutos: "me mostra o relatório mensal que vocês entregam para um cliente do meu porte". Quem trabalha de forma estruturada tem o modelo pronto. Quem improvisa muda de assunto.

Exija também que as senhas administrativas fiquem em cofre com acesso da empresa, e não apenas na cabeça ou no bloco de notas do técnico. Você está contratando um serviço, não terceirizando a propriedade da sua infraestrutura.

Como a Duk conduz uma primeira estruturação de TI

A Duk Informática & Cloud atua há mais de 18 anos com terceirização e suporte de TI, atendendo mais de 550 empresas — boa parte delas em processo idêntico ao descrito aqui: a primeira estrutura formal, montada depois de anos de improviso. Como Microsoft Gold Partner, cobrimos desde a migração de e-mail e identidade em Microsoft 365 até backup gerenciado com cópia imutável em data center próprio, em Alphaville.

O início de qualquer contrato segue exatamente a ordem deste artigo: levantamento documentado do parque, desenho e ativação do backup com teste de restauração comprovado, camada de proteção com console central, e-mail com domínio próprio e autenticação em ordem, e só então a operação de suporte no dia a dia — com chamados registrados em sistema, SLA por severidade e relatório mensal do que foi feito. Nada de caixa-preta: o cliente recebe documentação da própria infraestrutura e mantém acesso aos próprios cofres de senha.

Se a sua empresa está nesse momento — crescendo, com dados que já não cabem em improviso e nenhuma TI formal — o caminho mais barato é começar pela ordem certa. Fale com a Duk para um diagnóstico inicial do seu ambiente e uma proposta baseada no que você realmente tem, não em um pacote padrão.