Managed security services no Brasil são contratos de operação contínua de segurança, e propostas com a mesma capa escondem diferenças decisivas em cláusula. Este guia mostra como ler escopo, SLA, fronteira de resposta automática, retenção de log, prazos da LGPD e condições de saída antes de assinar, na perspectiva de quem opera um NOC próprio.
Managed security services no Brasil é o mercado de contratos em que uma empresa terceiriza a operação contínua da própria segurança. Três propostas chegam à mesa do CEO com a mesma capa: stack Microsoft, promessa de 24×7, linguagem de detecção e resposta. Parecem equivalentes. Não são.
A diferença está enterrada em cláusula, e é ali que mora o risco. Escopo que não diz o que fica de fora, SLA sem gatilho, resposta automática sem fronteira definida, retenção de log insuficiente para responder à ANPD em três dias úteis. Nada disso aparece na apresentação comercial, e todo item vira custo ou exposição depois da assinatura.
Este texto ensina a ler o contrato que você vai assinar. A Qualiserve virou a chave de break-fix para serviços gerenciados em 2019, e quem passa por essa transição aprende quais cláusulas doem, porque teve de escrevê-las. Hoje operamos um NOC próprio com mais de 20.000 dispositivos. Uma ressalva: isto é leitura comercial, não análise jurídica.
O que você está comprando de fato ao contratar managed security services
A diferença entre comprar ferramenta e comprar resultado operacional
Serviços de segurança gerenciada são a contratação continuada de operação por um terceiro, o MSSP, que assume monitoramento, detecção, análise e uma parcela contratualmente definida da resposta a incidentes, sobre inventário de ativos acordado e sob níveis de serviço mensuráveis.
Três expressões concentram a divergência entre propostas. “Inventário acordado”: não existe cobertura genérica, existe cobertura de uma lista. “Parcela definida da resposta”: o fornecedor quase nunca responde a tudo, e o resto volta para você. “Níveis mensuráveis”: SLA sem início de contagem, severidade e consequência é peça de marketing. Para o CFO, deixa de ser ativo de tecnologia e vira serviço recorrente com obrigação exigível.
Por que o contrato, e não a stack, separa fornecedor bom de fornecedor ruim
A stack é praticamente a mesma no mercado brasileiro: Microsoft Sentinel, Microsoft Defender, Microsoft Entra ID, Intune, Microsoft Purview. Se todos usam o mesmo conjunto, sobra o contrato como critério de decisão.
Aqui está a tensão que poucos enxergam a tempo: você acha que está terceirizando o risco, e não está. Está terceirizando execução. O contrato define qual pedaço da operação mudou de mão, e fronteira não escrita é descoberta no meio do incidente.
Anatomia do escopo: o que o contrato cobre e o que deixa de fora
Inventário de ativos cobertos, a cláusula que define todas as outras
Escopo é inventário, nunca adjetivo. O contrato precisa nomear categorias e quantidades: estações e notebooks, servidores físicos e virtuais, identidades no Microsoft Entra ID, caixas postais, subscriptions do Azure, firewalls e aplicações SaaS conectadas.
Três perguntas resolvem a maioria das disputas futuras. Se o número de ativos crescer, há faixa de tolerância ou o excedente é cobrado de imediato? Ativo desligado por 60 dias continua faturado? Filial, homologação e máquina de terceiro entram?
Escopo mal definido é a origem número um de disputa de fatura, e o ativo que ninguém colocou na lista é o que não está sendo monitorado.
Janela de cobertura: 8×5, 12×5 e 24×7
| Modelo | O que significa na prática |
|---|---|
| 8×5 ou 12×5 | Alerta das 22h de sexta é triado na segunda de manhã. |
| 24×7 com plantão | Fora do horário comercial há sobreaviso, com prazo próprio e maior. |
| 24×7 pleno | Turno contínuo, sem diferença de SLA entre dia útil e madrugada. |
Muitos contratos anunciam 24×7 e entregam sobreaviso. A pergunta que desfaz a ambiguidade é “o SLA às 3h de domingo é o mesmo das 14h de terça?”. Ransomware não respeita horário comercial, e a janela é decisão de risco do CFO.
Serviços tipicamente incluídos
Monitoramento e ingestão de log, detecção, resposta, gestão de vulnerabilidade, política de endpoint e acesso condicional, relatório executivo. Threat intelligence e caça proativa costumam ser vendidos à parte.
Um verbo merece atenção: em gestão de vulnerabilidade, recomendar não é corrigir. Se o contrato não diz que o fornecedor aplica o patch, ele não aplica. Se você ainda precisa da definição de base, vale ler o que é um SOC gerenciado antes de voltar ao contrato.
O que quase sempre é cobrado à parte
Onboarding e conectores customizados. Ingestão de log acima do volume contratado, o item que mais surpreende no primeiro trimestre. Retenção estendida. Forense e incidente maior, quase sempre vendidos como bolsa de horas. Suporte a auditoria externa.
O custo total é a mensalidade mais o que a operação consome nesses itens. Proposta que não lista o que ficou fora não é mais barata, é menos transparente.
SLA: como ler de verdade
Tempo de resposta não é tempo de resolução
Resposta é o intervalo até a primeira ação humana qualificada. Resolução vai até o incidente ser encerrado. A maioria garante o primeiro e não o segundo, por razão legítima: resolução depende de ações do seu lado, como aprovar uma parada. O problema não é a ausência da garantia, é o comprador achar que ela existe.
Quando o relógio começa a contar
Ponto criticamente mal definido. As opções usuais são quatro: quando o evento ocorre no ativo, quando é ingerido na plataforma, quando a regra gera o alerta e quando o ticket é aberto. Entre a primeira e a última pode haver horas. Ancoramos a contagem na geração do alerta e medimos latência de ingestão à parte, para que atraso de coleta não se esconda dentro do SLA.
Matriz de severidade e o que cada nível obriga
O contrato deve trazer matriz explícita, de três a quatro níveis, cruzando criticidade do ativo e natureza do evento. Cada nível amarra três coisas: tempo de resposta, canal de acionamento (ticket, e-mail ou chamada nominal a um responsável seu) e senioridade de quem assume o caso. Alerta crítico que chega por e-mail às 2h não é acionamento. É registro.
O que acontece quando o SLA é descumprido
A medição é por incidente ou por média mensal? Média mensal dilui a falha grave. Existe crédito de serviço, quem apura, é automático ou precisa ser solicitado? Existe gatilho de rescisão por descumprimento reiterado? SLA é o que converte promessa comercial em obrigação exigível, e por isso ler SLA é ler risco.
Modelo de responsabilidade compartilhada: a fronteira que mais gera conflito
A Microsoft documenta o conceito formalmente: em IaaS, PaaS ou SaaS, o cliente sempre retém responsabilidade sobre dados, endpoints, contas e gestão de acesso, enquanto infraestrutura física e plataforma migram para o provedor (Shared responsibility in the cloud). Contratar MSS acrescenta uma terceira coluna, e é essa do meio que o contrato define.
| Item | Cliente | MSSP | Plataforma |
|---|---|---|---|
| Propriedade do dado | Sim | Não | Não |
| Parar sistema em produção | Decide | Executa se autorizado | Não |
| Aplicação de patch | Depende do contrato | Só se escrito | Não |
| Regra de detecção | Aprova | Configura | Dá o mecanismo |
| Falar com o regulador | Sim | Não | Não |
Conter, erradicar, recuperar: até onde vai o fornecedor
O NIST separa a resposta em fases distintas: conter o dano, remover artefato e persistência do atacante, restaurar a operação (SP 800-61 Rev. 3, de abril de 2025). Quase todo MSSP entrega contenção: isolar host, revogar sessão, desabilitar conta. Poucos entregam erradicação e recuperação, porque isso toca aplicação, backup e processo de negócio. Se o contrato diz apenas “resposta a incidente”, pergunte qual das três fases entra. Aí está a diferença entre horas e semanas de indisponibilidade.
Quem autoriza desligar um sistema em produção
Não pode ser decisão unilateral do fornecedor, nem depender de aprovação que leva quatro horas. O desenho correto é uma matriz de ação pré-autorizada, assinada antes do incidente, com três faixas: o que o MSSP executa sem consultar ninguém (isolar endpoint, revogar token, bloquear IP), o que exige aprovação de um nome designado e o que jamais é feito sem o CEO. Insisto nela em toda proposta que assino: sem a matriz, o fornecedor paralisa quando velocidade vale dinheiro.
Quem fala com a ANPD
O controlador. Nunca o fornecedor.
Compliance e LGPD dentro do contrato de MSS
Comunicação de incidente: prazo e quem dispara o processo
A Resolução CD/ANPD nº 15, de 24 de abril de 2024, aprovou o Regulamento de Comunicação de Incidente de Segurança. A comunicação à ANPD cabe ao controlador, em três dias úteis contados do conhecimento de que o incidente afetou dados pessoais, e não do conhecimento do incidente em si. O prazo é contado em dobro para agentes de tratamento de pequeno porte, conforme a Resolução CD/ANPD nº 2/2022, mas nem toda PME se enquadra nessa definição. A obrigação existe quando o incidente pode acarretar risco ou dano relevante aos titulares (página oficial da ANPD).
O dever legal é seu. O MSSP costuma ser operador. O contrato precisa amarrar quatro pontos:
- Prazo em que o fornecedor notifica você sobre incidente com potencial envolvimento de dado pessoal. Se a norma dá três dias úteis ao controlador, quem avisa em 48 horas já consumiu a maior parte da sua janela.
- Formato do que ele entrega: descrição técnica, dados afetados, volume estimado, medidas de contenção e linha do tempo.
- Dever de cooperação na apuração e depois dela, inclusive se o regulador pedir esclarecimento meses adiante.
- Vedação expressa de o fornecedor comunicar regulador ou titulares por conta própria.
Se a sua empresa ainda está estruturando essa base, a adequação à LGPD vem antes da assinatura do MSS.
Trilha de auditoria e retenção de log
Um workspace do Log Analytics mantém dados em dois estados: retenção analítica, com consulta quase em tempo real, e retenção de longo prazo, de custo menor e acesso via search job. O padrão das tabelas é de 30 dias, 90 em algumas, extensível até dois anos na retenção analítica e até 12 anos no total (Manage data retention in a Log Analytics workspace).
Trinta dias é insuficiente para investigar comprometimento que ficou meses latente. Em jurídico, financeiro e saúde, o seu próprio cliente audita os seus fornecedores. Retenção vira condição comercial, com prazo, estado e responsável pelo custo escritos.
O fornecedor também trata dado pessoal
Log contém endereço IP, nome de usuário e, às vezes, conteúdo de e-mail. O contrato precisa dizer onde o dado fica e sob que jurisdição, quem no fornecedor acessa, se há sub-operador e como se dá o descarte ao fim da relação.
Reversibilidade e saída: a cláusula que quase ninguém escreve
De quem são o tenant, o workspace e o dado
Na arquitetura recomendada pela Microsoft para MSSPs, os recursos permanecem no tenant do cliente e o provedor opera por delegação, via Azure Lighthouse, GDAP ou colaboração B2B (Manage multiple tenants in Microsoft Sentinel as an MSSP). Isso preserva propriedade, residência do dado e conformidade do seu lado, e o contrato deve dizer sem ambiguidade: tenant, subscription, workspace e dado são do cliente, com acesso do fornecedor delegado e revogável.
Existe o arranjo oposto, em que o fornecedor hospeda tudo no próprio tenant e você não acessa o dado. Pode ser legítimo, mas cria dependência. A pergunta é: se eu encerrar amanhã, o que sai comigo?
Regras customizadas, playbooks e transferência de conhecimento
Um contrato maduro gera ativo intelectual: regras ajustadas ao seu ambiente, supressões calibradas, playbooks e watchlists. O guia da Microsoft para MSSPs trata esse conteúdo como código versionado (playbook de segurança gerenciada). Se é versionável, é transferível, e o contrato deve dizer se é. Parte disso pode ser propriedade intelectual do fornecedor. O que não pode é você descobrir na saída.
Plano de saída e período de transição assistida
Exija aviso prévio de parte a parte, transição assistida com escopo definido, exportação de log e de tickets em formato aberto, documentação de configuração e inventário, repasse ao próximo responsável, revogação programada de acesso e confirmação de descarte.
Reversibilidade escrita impede o contrato de virar refém. Para o CFO, toda renovação futura vira escolha, não condição.
Estrutura de precificação e como comparar propostas sem se enganar
Os fatores que realmente movem o preço
Os eixos são poucos: por ativo monitorado, por identidade, por volume de dado ingerido e retido, por janela, por nível de serviço, por bolsa de horas e modelos híbridos.
Empurram para cima: legado on-premises, alta diversidade de fontes de log, 24×7 pleno, retenção longa, setor regulado, residência de dado e SLA agressivo em severidade alta.
Empurram para baixo: ambiente padronizado e em nuvem, inventário estável, maturidade do time interno, resposta limitada à contenção e higiene prévia de identidade.
A armadilha do menor preço por ativo
Duas propostas só são comparáveis depois de normalizadas: mesmo inventário, mesma janela, mesmo escopo de resposta, mesma retenção, mesmo volume de ingestão presumido e mesma definição de início de contagem. Sem isso, você compara números que medem coisas diferentes. E o óbvio que ninguém diz: preço baixo por ativo com resposta restrita a “notificar o cliente” é serviço de alarme.
Checklist de perguntas antes de assinar
- Qual é a lista nominal de ativos e o que acontece com o excedente?
- O SLA de madrugada é igual ao de horário comercial?
- Em que evento o relógio começa a contar?
- A medição é por incidente ou por média mensal?
- Existe crédito de serviço e a apuração é automática?
- A resposta cobre contenção, erradicação ou recuperação?
- Qual é a matriz de ação pré-autorizada e quem são os nomes designados?
- Em quanto tempo sou notificado de incidente com dado pessoal?
- Qual é a retenção padrão e quanto custa estendê-la?
- Tenant, workspace, dado, regras e playbooks saem comigo no fim do contrato?
Essas dez perguntas separam proposta séria de proposta bonita.
Perguntas frequentes sobre contrato de managed security services
Qual a diferença entre tempo de resposta e tempo de resolução?
Resposta é o prazo até a primeira ação humana qualificada. Resolução vai até o encerramento do incidente. A maioria dos contratos garante apenas o primeiro.
O MSSP resolve o incidente ou só avisa?
Depende do que está escrito. A maioria entrega contenção; erradicação e recuperação costumam exigir escopo adicional.
Quem comunica um vazamento de dados à ANPD?
O controlador, isto é, a empresa contratante, em três dias úteis contados do conhecimento de que o incidente afetou dados pessoais, conforme a Resolução CD/ANPD nº 15/2024. O fornecedor apoia com informação técnica, mas não comunica pelo cliente.
De quem são os dados e as regras de detecção ao fim do contrato?
No desenho recomendado, tenant, workspace e dado permanecem do cliente. Regras e playbooks podem ter regime distinto, então defina isso antes de assinar.
Como a Qualiserve estrutura o contrato
Escrevemos a fronteira antes de vender a operação: inventário nominal, janela declarada sem eufemismo, contagem ancorada na geração do alerta, matriz de ação pré-autorizada assinada em tempo de paz, notificação compatível com o prazo da ANPD e cláusula de saída redigida no primeiro dia. Nosso SOC gerenciado para empresas opera dentro dessa moldura, e o restante do trabalho de segurança e governança segue a mesma lógica, como mostram os cases de sucesso que publicamos. Não prometemos segurança total, e desconfie de quem promete.
Traga o contrato que você tem hoje. A gente lê junto e aponta onde a fronteira não está escrita. Nosso assessment de segurança mapeia escopo, lacunas de cobertura e responsabilidade sem dono. Não é cotação. É a leitura que deveria ter sido feita antes da primeira assinatura.
