MSP vs MSSP: qual provedor sua empresa precisa?

O que faz um MSP e onde ele para

MSP significa Managed Service Provider — provedor de serviços gerenciados de TI. É a empresa que assume a operação do seu ambiente tecnológico de forma contínua e proativa, em vez de aparecer só quando algo quebra. O contrato típico cobre monitoramento de servidores e estações, gestão de backup, administração de rede, suporte ao usuário final, atualização de sistemas, controle de licenças e planejamento de capacidade. O modelo comercial é recorrente: você paga um valor mensal previsível por ativo, por usuário ou por escopo definido, e o provedor tem incentivo econômico para que nada dê errado — quanto menos incidente, menor o custo de atendimento dele.

O ponto de diferença em relação ao antigo "técnico de confiança" é a estrutura. Um MSP maduro opera com NOC (Network Operations Center), ferramentas de RMM (Remote Monitoring and Management), inventário automatizado de ativos, base de conhecimento documentada e SLA formal com tempos de resposta e resolução acordados. Se o disco de um servidor passar de 85% de uso, o alerta chega antes do usuário reclamar. Se um switch cair às 3h da manhã, alguém é acionado. Essa camada de processo é o que separa manutenção reativa de TI gerenciada de verdade.

Onde o MSP para: profundidade em segurança ofensiva e defensiva especializada. Um bom MSP entrega higiene de segurança — antivírus corporativo gerenciado, patches em dia, firewall configurado, backup testado, MFA habilitado, contas de ex-funcionários desativadas. Isso já bloqueia a maioria absoluta dos ataques oportunistas. Mas ele não costuma manter analistas dedicados caçando ameaças 24 horas por dia, correlacionando eventos de dezenas de fontes ou respondendo a um incidente de ransomware em curso com equipe de resposta forense. Esse é outro escopo, outro custo e outro perfil de profissional.

O que faz um MSSP e por que ele existe

MSSP é Managed Security Service Provider — provedor de segurança gerenciada. Nasceu porque montar uma operação de segurança interna ficou economicamente inviável para a maioria das empresas. Um SOC (Security Operations Center) próprio exige turnos 24x7, o que na prática significa no mínimo seis a oito analistas, mais ferramentas de SIEM, licenças de threat intelligence, playbooks de resposta e treinamento contínuo. Poucas empresas fora do setor financeiro ou de infraestrutura crítica conseguem justificar essa folha.

O MSSP entrega esse aparato como serviço compartilhado. O escopo típico inclui:

• Monitoramento 24x7 de eventos de segurança — coleta de logs de firewall, endpoints, servidores, identidade e nuvem em uma plataforma central de SIEM, com correlação e triagem por analistas.
• EDR/XDR gerenciado — detecção e resposta em endpoint com isolamento automático de máquina comprometida, não apenas antivírus com assinatura.
• Threat hunting — busca ativa por indícios de comprometimento que passaram pelas defesas automáticas, baseada em hipóteses e inteligência de ameaças.
• Resposta a incidentes — contenção, erradicação, recuperação e relatório pós-incidente, com procedimento definido antes de o problema acontecer.
• Gestão de vulnerabilidades — varredura recorrente, priorização por risco real de exploração e acompanhamento da correção.
• Suporte a conformidade — evidências e relatórios para LGPD, ISO 27001, auditorias de cliente e exigências contratuais.

A distinção prática é de intenção. O MSP responde à pergunta "o ambiente está funcionando?". O MSSP responde a "alguém está tentando entrar, já entrou, ou vai conseguir entrar?". São perguntas diferentes, com ferramentas, métricas e ritmos de trabalho diferentes. O MSP mede uptime e tempo de resolução de chamado; o MSSP mede MTTD (tempo médio de detecção) e MTTR (tempo médio de resposta a incidente) — e um MTTD de horas já é considerado ruim.

Diferenças que importam na hora de decidir

Comparações genéricas de MSP versus MSSP costumam listar dez itens que na prática não mudam decisão nenhuma. Os pontos que realmente pesam são quatro: escopo de responsabilidade, perfil da equipe, natureza do SLA e modelo de custo.

Escopo de responsabilidade. O MSP responde pela disponibilidade e pelo funcionamento. Se o e-mail parou, é com ele. O MSSP responde pela detecção e pela resposta a ameaças. Se houve exfiltração de dados, é com ele. Quando os dois serviços estão em fornecedores diferentes, a fronteira precisa estar escrita em contrato — porque incidentes reais quase sempre caem exatamente em cima da linha. Um servidor que reinicia sozinho é falha de hardware ou é atacante instalando persistência? Sem responsabilidade clara, os dois fornecedores apontam um para o outro enquanto o problema continua.

Perfil da equipe. Analista de infraestrutura e analista de segurança são carreiras distintas. O primeiro é excelente em virtualização, Active Directory, redes e recuperação de backup. O segundo lê log de autenticação procurando padrão anômalo, entende técnicas de movimentação lateral e sabe o que fazer nos primeiros trinta minutos de um ransomware. Contratar um MSP e esperar competência de SOC é confundir as duas coisas — e vice-versa: um MSSP puro geralmente não vai configurar seu servidor de arquivos nem migrar sua caixa postal.

Natureza do SLA. SLA de MSP é operacional e previsível: atendimento em X minutos, resolução em Y horas por severidade, disponibilidade contratada. SLA de MSSP é sobre eventos que você não controla: tempo até notificar um alerta crítico, tempo até isolar um endpoint comprometido, disponibilidade de equipe de resposta fora do horário comercial. Vale ler com atenção o que o MSSP promete fazer em um incidente e o que ele apenas promete avisar — a diferença entre "notificamos você" e "contemos a ameaça" é enorme, e muitos contratos param no primeiro.

Regra prática: se o contrato de segurança não define quem executa a contenção às 2h de uma madrugada de sábado, você não tem segurança gerenciada — tem monitoramento com relatório.

Modelo de custo. MSP costuma ser precificado por usuário ou por ativo gerenciado, com valor mensal estável. MSSP tende a variar conforme volume de dados ingeridos no SIEM, número de endpoints com EDR e nível de cobertura (horário comercial versus 24x7). Um erro comum é comparar propostas olhando só o valor de fechamento: um MSSP com preço muito abaixo da média normalmente cobre menos fontes de log ou não inclui resposta ativa, só alerta.

Como escolher: um roteiro de decisão

A escolha raramente é "um ou outro" no vácuo. Ela depende de três variáveis: maturidade atual da sua TI, exigência regulatória ou contratual, e impacto financeiro de uma parada ou vazamento. Um roteiro que funciona na prática:

1. Avalie o básico primeiro. Se você ainda não tem backup testado com restauração validada, MFA em todos os acessos, inventário de ativos e patches em dia, o problema não é falta de SOC — é falta de higiene operacional. Contratar MSSP antes disso é comprar detecção sofisticada para um ambiente que vai cair pelo caminho mais simples. Comece pelo MSP.
2. Meça sua exposição. Quantos dados pessoais você trata? Sua operação para se um sistema ficar 48 horas fora? Você tem cliente que exige comprovação de controles de segurança em contrato? Respostas afirmativas empurram a decisão na direção da segurança gerenciada, mesmo com TI enxuta.
3. Calcule o custo da hora parada. Some folha ociosa, faturamento não realizado, multa contratual e custo de recuperação. Empresas que descobrem um número alto aqui costumam concluir que a segunda camada se paga sozinha.
4. Verifique o que você já paga sem usar. Muitas empresas com Microsoft 365 Business Premium já têm Defender, Intune, Conditional Access e retenção de log incluídos na licença e desligados. Ativar e gerenciar o que já está pago costuma ser o melhor primeiro passo de segurança.
5. Decida o modelo de fornecimento. Fornecedor único cobrindo TI e segurança, ou dois fornecedores especializados com fronteira contratual explícita. Não existe resposta universal — existe resposta coerente com o tamanho do seu ambiente.

Para a maioria das empresas de pequeno e médio porte no Brasil, o caminho de menor atrito é começar com um MSP competente que já inclua segurança gerenciada no escopo, e escalar a camada de SOC conforme o negócio cresce, a exposição aumenta ou uma exigência de cliente força a barra. Empresas com mais de algumas centenas de usuários, dados regulados ou histórico de incidente costumam precisar das duas frentes formalizadas desde o início.

Modelo combinado: quando um fornecedor faz os dois

Há uma terceira via que vem crescendo e que resolve o problema da fronteira: o provedor que entrega operação e segurança sob o mesmo contrato. A vantagem principal não é comercial, é operacional. Quem monitora a ameaça é quem tem acesso ao ambiente, conhece a topologia, sabe qual servidor é crítico e pode agir sem abrir chamado para um terceiro. Em resposta a incidente, esse ganho de minutos é decisivo — ransomware moderno cifra um file server inteiro em bem menos de uma hora.

As armadilhas do modelo combinado também existem e merecem checagem antes da assinatura:

• Segurança como item de rodapé. Alguns provedores incluem "segurança gerenciada" no contrato e entregam apenas antivírus corporativo. Peça a lista concreta de fontes de log monitoradas e o procedimento de resposta.
• Ausência de segregação. Quem administra também audita? Em ambientes regulados, isso é problema. Verifique se existe separação de papéis e trilha de auditoria independente.
• Cobertura só em horário comercial. Ataque não respeita expediente — a maior parte das ações destrutivas acontece de madrugada e em feriados, justamente porque a resposta demora mais.
• Dependência total de um fornecedor. Exija documentação do ambiente e propriedade das suas próprias credenciais e backups, para que uma troca de provedor seja possível sem refém.

Feitas essas verificações, o modelo unificado costuma entregar o melhor custo-benefício para empresas que não vão manter time interno de TI nem de segurança. Você negocia um SLA, tem um ponto de contato, e a discussão sobre "de quem é a culpa" deixa de existir.

Como a Duk trabalha esse escopo

A Duk Informática & Cloud atua há mais de 18 anos como parceiro de TI de empresas brasileiras, com mais de 550 clientes atendidos e certificação Microsoft Gold Partner. O modelo de trabalho é justamente o combinado descrito acima: a mesma equipe que gerencia a operação — servidores, rede, estações, backup, Microsoft 365 — é a que cuida da camada de segurança, com monitoramento contínuo, gestão de endpoint, políticas de identidade e acesso condicional, e procedimento de resposta definido antes do incidente acontecer.

Na prática, isso significa que a análise começa pelo que já existe. Boa parte dos ambientes que avaliamos já paga por controles de segurança embutidos no licenciamento Microsoft que nunca foram configurados — Defender, Intune, MFA com Conditional Access, retenção de log e políticas de retenção de dados. Ativar e operar corretamente esse conjunto eleva o nível de proteção de forma imediata, sem custo adicional de licença, e serve de base sólida antes de qualquer discussão sobre camadas mais avançadas de detecção.

A infraestrutura de nuvem própria em Alphaville complementa esse desenho, permitindo backup e recuperação com dados em território nacional, dentro do escopo da LGPD, e com restauração testada em vez de apenas contratada. O suporte opera 24/7 com SLA formalizado, e o acompanhamento é feito por indicadores mensais de disponibilidade, chamados e postura de segurança — não por sensação. Se sua empresa está tentando decidir entre contratar operação, segurança, ou as duas coisas separadas, o caminho mais barato costuma ser começar por um diagnóstico do que já está em casa.