A empresa fecha um contrato maior — um cliente que fatura mais, atende mais gente ou trabalha num setor mais regulado — e junto com o contrato chega um formulário de oitenta perguntas sobre a TI de quem vai prestar serviço para ele: como funciona o backup, quem tem acesso a quê, se existe registro de acesso, quem avisa quem se acontecer um incidente. O prazo de resposta costuma ser de uma semana.
Segundo o resumo executivo do relatório anual de violações de dados da Verizon, referente a 2026, violações com participação de terceiro cresceram 60% em um ano e já respondem por 48% de tudo que foi registrado — quase metade. É por isso que cada vez mais empresas grandes tratam os próprios fornecedores, inclusive o provedor de TI, como parte do risco de segurança que precisam controlar, e não como um item terceirizado e esquecido.
Para quem recebe o questionário, o problema raramente é a pergunta em si. É não ter a resposta pronta: ninguém sabe quanto tempo o backup leva para restaurar, não existe uma lista de quem acessa o quê, e ninguém sabe dizer quem liga para quem se um sistema parar. Quem não responde a tempo não perde só um contrato — perde a chance de crescer com o cliente certo.
O questionário que decide o contrato
O formulário costuma cobrir sempre os mesmos pontos: como e onde os dados são guardados, quem tem acesso a cada sistema, se existe registro desse acesso, em quanto tempo a empresa volta a operar depois de um problema sério, se as atualizações de segurança estão em dia, e quem é avisado — e em que ordem — se algo der errado. Também é comum perguntar se a empresa terceiriza parte do trabalho, e para quem.
A distinção que explica essa cobrança está na Lei Geral de Proteção de Dados (LGPD). A lei separa quem decide o que fazer com os dados — o controlador, normalmente o próprio cliente — de quem trata esses dados em nome de outro — o operador, o papel que a empresa e o fornecedor de TI dela ocupam. Segundo a autoridade nacional de proteção de dados, cabe ao controlador comunicar um incidente de segurança, mas o operador tem a obrigação de avisar sem demora e repassar todas as informações necessárias. Na prática: se o incidente aconteceu no computador, no servidor ou na rede de quem presta o serviço, quem responde perante a lei é o cliente que contratou — e é exatamente por isso que ele quer saber, antes de assinar, se essa estrutura está cuidada.
Isso não é coisa só de empresa grande. Uma indústria com dois turnos que fornece para uma rede de varejo, um escritório de contabilidade que atende uma financeira, uma clínica que presta serviço para um plano de saúde — todos entram na cadeia de fornecedores de alguém maior, e alguém maior está de olho na própria cadeia. O tamanho de quem pergunta é que muda; a pergunta é a mesma.
Quem não responde bem raramente é informado do motivo. O mais comum é o silêncio: a proposta esfria, o contrato vai para quem respondeu com segurança, e a empresa nunca fica sabendo que foi um formulário de TI que decidiu a disputa.
Por que o jeito comum não resolve
O jeito comum de cuidar da TI numa empresa pequena ou média é chamar alguém quando quebra, confiar num backup que ninguém testou, e deixar o acesso aos sistemas ir se acumulando conforme funcionário entra e sai — sem ninguém tirando quem não precisa mais.
Esse jeito funciona até o dia em que alguém pergunta. Não existe uma lista escrita de quem acessa o quê porque nunca foi preciso ter uma. Ninguém testou o backup porque ele "sempre funcionou". Não existe um plano do que fazer se um sistema for invadido porque isso nunca aconteceu — até acontecer.
O problema desse jeito comum não é falta de cuidado. É falta de registro. A empresa pode estar fazendo backup direito, pode ter senhas fortes, pode até ter um bom antivírus — mas se nada disso está escrito em lugar nenhum, a resposta ao questionário vira "eu acho que sim", e "eu acho que sim" não fecha contrato.
Comprar mais uma ferramenta de segurança sem documentar o que ela faz é outra versão do mesmo problema: o cliente que audita não pergunta que produto a empresa usa, pergunta o que esse produto garante — e uma ferramenta sem processo em volta não garante nada que se escreva num formulário. É um padrão que a Skills IT vê se repetir: ferramenta comprada, processo não escrito, questionário reprovado.
O que precisa existir na prática
Responder ao questionário com segurança não depende de comprar algo novo. Depende de a TI da empresa ter, documentados, mecanismos básicos.
Um inventário de sistemas e equipamentos. Saber quais computadores, servidores e sistemas a empresa tem — e quem responde por cada um — é a base de qualquer resposta. Sem isso, cada pergunta do formulário vira uma investigação de última hora.
Registro de quem acessa o quê. Um cadastro de usuários e senhas que mostra quem tem acesso a cada sistema, e que é atualizado quando alguém sai da empresa, responde de cara boa parte de um questionário de segurança.
Backup testado, com prazo de recuperação conhecido. Não basta ter cópia de segurança: é preciso saber, por simulação real, em quanto tempo a empresa volta a operar depois de perder um sistema.
Um plano escrito de resposta a incidente. Quem avisa quem, em que ordem, e o que se faz primeiro se um computador for infectado ou uma conta for invadida — por escrito, não guardado na memória de uma pessoa só.
Atualização de segurança em dia. Sistema desatualizado é a porta mais comum de entrada, e "quando der tempo" não é uma resposta que convence quem está auditando.
Um único responsável pela TI. Quando o cliente pergunta "quem cuida disso na sua empresa", a resposta certa é um nome ou uma equipe — não uma lista de quatro fornecedores diferentes, cada um cuidando de um pedaço.
É assim que a Skills IT trabalha: com inventário e registro de acesso documentados, backup testado por simulação e todo chamado registrado com causa e solução — a base que qualquer questionário de segurança pede para ver.
O ganho para a empresa
O ganho de ter essas respostas prontas não aparece só no dia do questionário. Aparece antes, numa proposta que fecha mais rápido porque não precisa voltar duas vezes pedindo mais informação. E aparece depois, numa equipe que não larga o trabalho do dia para correr atrás de uma auditoria de última hora.
Tem um ganho financeiro direto nisso. Cada semana que o contrato demora por causa de uma pergunta sem resposta é receita que não entra. E cada vez que a empresa responde com segurança, ela se qualifica para o próximo cliente do mesmo porte — o tipo de cliente que, quase sempre, também audita.
Tem também um ganho que não aparece em número: decisão com informação. Quando o dono da empresa sabe, sem perguntar a ninguém, quanto tempo leva para recuperar um sistema ou quem tem acesso ao financeiro, ele para de depender da memória de uma pessoa só — e passa a decidir com o que está escrito.
Perguntas para levar à próxima reunião
Antes que o próximo questionário chegue, vale perguntar o que a empresa responderia hoje:
- Alguém sabe, agora, quanto tempo leva para restaurar o backup depois de um problema sério? Se a resposta é "não sei" ou "acho que rápido", essa já é a primeira pergunta do formulário que reprova.
- Existe uma lista de quem tem acesso a cada sistema da empresa? Sem essa lista, toda pergunta sobre controle de acesso vira suposição.
- Se um sistema parar hoje, está escrito quem avisa quem, e em que ordem? Combinar isso na hora do problema custa um tempo que o cliente auditando não perdoa.
- A empresa consegue listar os equipamentos e sistemas que usa sem contar de memória? Um inventário desatualizado vale quase tanto quanto não ter inventário nenhum.
- Quem assina o questionário de segurança sabe, de fato, o que está prometendo? Responder "sim" para uma pergunta que ninguém confirmou é o risco que aparece depois, quando o cliente descobre sozinho.
