Como um prestador de TI acessa a rede da sua empresa remotamente com segurança

Por que o acesso de um prestador exige atenção especial?

O prestador pode precisar de permissões técnicas elevadas; por isso, sua entrada deve ter finalidade definida e ser rastreável.

Uma pessoa da equipe normalmente usa os sistemas para executar seu trabalho. Já o técnico pode alterar contas, instalar programas ou administrar servidores. Essa diferença torna importante separar o acesso de suporte das permissões comuns de usuário. Autorizar uma sessão para resolver uma falha não deve significar liberar todos os dados e configurações da empresa.

Imagine um fornecedor que recebe uma conta administrativa para configurar um aplicativo e continua usando a mesma credencial após terminar a tarefa. Sem responsável por revisar acessos, a empresa perde visibilidade sobre esse caminho de entrada. A solução começa por governança: quem autoriza, para qual atividade e como se confirma o encerramento. Entenda a modalidade de suporte remoto de TI sem confundir conectividade com autorização irrestrita.

Quais acessos e ferramentas representam riscos?

Contas compartilhadas, ferramentas sem inventário e acessos permanentes sem justificativa dificultam identificar e limitar intervenções.

Uma ferramenta de acesso remoto pode ser legítima e, ainda assim, estar mal administrada. O problema surge quando ninguém sabe quem a instalou, quem administra sua conta ou quais dispositivos ela alcança. Aplicativos esquecidos após uma troca de prestador também podem manter caminhos de entrada que o gestor acredita ter encerrado.

Faça um inventário das ferramentas e dos usuários autorizados. Verifique se a empresa controla a conta principal ou consegue acompanhar as configurações relevantes. Acesso externo diretamente a serviços internos aumenta a exposição e precisa de avaliação técnica, não de uma abertura improvisada no roteador. Se surgirem conexões desconhecidas, consulte os sinais de que a empresa foi invadida e preserve registros. Não conclua que todo acesso estranho é ataque, mas também não ignore uma autorização que ninguém reconhece.

Como usar contas nominais e autenticação em dois fatores?

Cada técnico deve ser identificável; a autenticação deve combinar a senha com outra confirmação quando a ferramenta permitir.

Uma conta nominal permite relacionar a intervenção à pessoa que a realizou. Evite que vários profissionais usem o mesmo administrador sem um mecanismo confiável de responsabilização. Quando uma tarefa exige privilégio elevado, avalie uma conta separada e aprovada para esse fim, em vez de aumentar permanentemente os poderes de todas as contas de suporte.

MFA significa autenticação multifator: usar mais de um fator de confirmação para entrar. Verifique sua disponibilidade e os recursos atuais do plano contratado. Defina também como recuperar o acesso sem depender exclusivamente do aparelho pessoal de um fornecedor. Não aprove solicitações de autenticação que não correspondam a uma entrada esperada. Os princípios de VPN e MFA no acesso remoto seguro ajudam a planejar a conexão, mas precisam ser combinados com a identificação de cada prestador.

O que significa conceder privilégio mínimo?

É dar somente as permissões necessárias à atividade, no conjunto de sistemas e dados que realmente precisa ser acessado.

Quem configura uma impressora não precisa, por esse motivo, consultar arquivos financeiros ou administrar o banco de dados. O privilégio mínimo reduz os efeitos de uma conta comprometida e limita erros de operação. Para aplicar esse princípio, descreva a tarefa e identifique quais ações ela exige antes de liberar o acesso.

Algumas atividades precisam de elevação temporária de permissões. Nesse caso, registre a justificativa, a aprovação e a retirada do privilégio após o trabalho. A segmentação de rede também pode impedir que uma sessão destinada a um sistema alcance ambientes não relacionados. Confira essas possibilidades no serviço de firewall e segurança de rede. Não use limitações arbitrárias que impeçam o suporte, mas exija que permissões abrangentes tenham uma necessidade demonstrada e um responsável pela revisão.

Como proteger senhas e registrar as intervenções?

Use armazenamento protegido de credenciais e registros que mostrem acesso, atividade autorizada e resultado, sem expor segredos.

Um cofre de senhas é uma solução para guardar e compartilhar credenciais com controle. Avalie identificação dos usuários, permissões de consulta, histórico e mecanismos de recuperação, conforme os recursos atuais do produto contratado. A empresa precisa conservar acesso administrativo ao próprio ambiente; não deve depender de uma planilha particular do técnico.

Registros de acesso, também chamados de logs, ajudam a acompanhar entradas, tentativas de autenticação e alterações. Defina quem os consulta e como dados sensíveis serão protegidos. Não coloque senhas, códigos de autenticação ou conteúdo desnecessário de clientes dentro do chamado. O relatório deve descrever o necessário para compreender a intervenção. Se gravações de sessões forem consideradas, avalie finalidade, privacidade e orientação jurídica. Registrar tudo indiscriminadamente pode criar outro repositório de informações sensíveis, sem melhorar a fiscalização.

Que responsabilidades precisam aparecer no contrato?

Confidencialidade, autorização de mudanças, guarda de credenciais e encerramento dos acessos precisam ser esclarecidos entre as partes.

Pergunte se o prestador utiliza outros profissionais e como esses acessos serão identificados e autorizados. Esclareça quem pode aprovar alterações que interrompam sistemas e como serão comunicadas falhas ou suspeitas de incidente. A empresa deve compreender quais informações o fornecedor pode consultar e para quais finalidades.

O contrato também deve tratar da devolução da documentação e da revogação de acessos no encerramento da relação. Não basta trocar uma senha se existem chaves, contas secundárias e ferramentas instaladas. Use os itens essenciais do contrato de suporte de TI como ponto de partida para perguntas. A avaliação jurídica é importante para confidencialidade e tratamento de dados; o controle técnico precisa transformar essas responsabilidades em contas, permissões e rotinas verificáveis.

Qual checklist aplicar ao acesso do prestador?

Confira identidade, autorização, alcance, registros e saída antes de considerar o acesso organizado.

• Identificar ferramentas remotas e dispositivos alcançados.

• Listar contas nominais e responsáveis por cada autorização.

• Confirmar autenticação adicional e recuperação controlada.

• Limitar permissões ao serviço que será executado.

• Definir registro das entradas e das alterações relevantes.

• Proteger credenciais em armazenamento com controle de acesso.

• Prever remoção de contas, chaves e ferramentas no encerramento.

• Revisar acessos quando pessoas e responsabilidades mudarem.

Use a lista em uma demonstração do ambiente, não apenas em uma resposta comercial. Peça ao responsável que mostre como a empresa identifica uma sessão e retira uma autorização. Quando algum recurso não estiver disponível, discuta uma alternativa proporcional ao risco. Não é necessário entregar senhas para responder ao checklist: o objetivo é conhecer o processo, as limitações e quem conserva o controle da rede.

Quais são os erros comuns no acesso de terceiros?

Erros comuns são compartilhar administradores e esquecer acessos antigos.

Outro erro é aprovar autenticações por hábito sem confirmar a atividade em andamento. Também é arriscado permitir que o fornecedor instale novas ferramentas sem documentação. Uma conexão pode continuar funcionando mesmo depois de a empresa acreditar que encerrou o contrato, especialmente se existem contas fora de seu inventário.

Quando chamar um especialista em acesso de terceiros?

Procure avaliação técnica se não houver inventário ou capacidade de revogar permissões.

Procure avaliação técnica quando não souber quais pessoas conseguem entrar ou quando uma autorização só pode ser removida pelo próprio prestador. Organize contratos, inventário, responsáveis internos e registros disponíveis antes da análise. Não desinstale indiscriminadamente ferramentas durante um incidente: uma mudança precipitada pode prejudicar a operação e apagar evidências. O especialista deve ajudar a mapear dependências e controlar acessos de maneira coordenada, com autorização e validação. A revisão precisa acontecer também quando muda a equipe do fornecedor.

Qual é o resumo para decidir sobre o acesso de terceiros?

Resumo para decidir: acesso de suporte deve ser identificado, justificado, limitado e revogável, com responsabilidades registradas.

• Saber quem acessa e qual ferramenta é usada.

• Separar acesso de suporte das permissões normais de usuário.

• Exigir autenticação adequada e proteger as credenciais.

• Relacionar intervenções a chamados e autorizações.

• Planejar a saída do fornecedor antes de conceder a entrada.

Nenhum controle isolado elimina o risco, mas a combinação torna o ambiente mais compreensível e reduz permissões sem finalidade. A empresa não precisa acompanhar cada clique para conservar o controle: precisa de responsáveis, registros proporcionais e capacidade real de interromper acessos que não sejam mais necessários. Isso vale tanto para uma tarefa pontual quanto para uma relação recorrente de suporte.

Perguntas frequentes

VPN torna qualquer acesso do prestador seguro?

Não. A VPN protege a conexão, mas ainda são necessários identificação, autenticação, permissões limitadas, registros e controle dos dispositivos e credenciais.

É seguro compartilhar uma conta administrativa?

O compartilhamento dificulta atribuir as ações. Prefira contas nominais e elevação controlada quando uma tarefa exigir administração.

Basta trocar a senha quando o contrato termina?

Não necessariamente. Revise contas, chaves, ferramentas instaladas, integrações e outras autorizações que possam manter caminhos de acesso.

O que perguntar sobre o cofre de senhas?

Pergunte quem controla a conta, quem pode consultar credenciais, quais registros existem e como a empresa recupera o acesso sem depender de uma pessoa externa.

Para saber mais

• Cartilha de Segurança para Internet — CERT.br