Background check em prestadores de serviço de TI

O background check em prestadores de serviço não deve seguir uma regra igual para todos. Antes de pedir a mesma checagem para cada terceirizado, classifique o acesso que a função exige e transforme essa classificação em uma regra objetiva de contratação, autorização e acompanhamento.

Background check em prestadores de serviço de TI começa pelo risco de acesso

A pergunta central não é se o profissional é terceirizado, contratado por uma grande fornecedora ou alocado em um squad. A pergunta é o que ele poderá consultar, modificar, exportar ou interromper. Cargo, senioridade e vínculo contratual ajudam a descrever a função, mas não determinam sozinhos o risco da atividade.

Um desenvolvedor pode trabalhar apenas em um ambiente local ou ter acesso a repositórios privados e pipelines de implantação. Um analista de suporte pode consultar dados pessoais, enquanto outro atende chamados sem visualizar informações sensíveis. Até profissionais da mesma fornecedora podem exigir decisões diferentes quando atuam em projetos distintos.

O escopo da checagem deve considerar dados pessoais, propriedade intelectual, código-fonte, credenciais, cloud e produção, além da capacidade de alterar controles. Também importa o impacto de uma ação indevida. Uma permissão de leitura em documentação interna não produz o mesmo risco que uma chave capaz de alterar backups ou publicar código em produção.

Classifique quatro níveis de acesso antes de definir a checagem

Uma matriz simples ajuda procurement, segurança e tecnologia a tomar a mesma decisão diante de funções diferentes. Descreva o acesso previsto, estime o impacto de um uso indevido e relacione o resultado à evidência necessária. A classificação evita que a exigência dependa apenas do cargo ou da preferência de cada gestor.

Anexe a matriz ao fluxo de contratação. Assim, você consegue justificar por que uma pessoa do nível 1 precisa de confirmação básica, enquanto uma pessoa do nível 4 depende de validação formal antes de receber uma chave de produção. O mesmo critério orienta a revisão quando o escopo muda.

Defina o escopo da verificação para cada nível de risco

Todos os níveis podem exigir confirmação de identidade e vínculo profissional. No nível 1, isso pode ser suficiente quando a pessoa acessa apenas ferramentas de colaboração. No nível 2, referências profissionais e histórico de atuação ajudam a verificar se a experiência é compatível com o contato com dados pessoais, atendimento ou suporte. Essa é a base para uma verificação de antecedentes de prestadores de TI proporcional à função.

Para código, pipelines e repositórios privados, a fornecedora deve apresentar evidências profissionais mais completas, e o cliente deve aprovar o acesso antes da concessão. Em funções com cloud, produção, chaves ou dados regulados, consultas permitidas precisam ter relação direta com o objetivo da contratação.

Antecedentes criminais não devem ser o único critério nem gerar rejeição automática. Avalie pertinência, atualidade, contexto, confiabilidade da fonte e relação com a função. Defina também gatilhos para nova verificação: ampliação de acesso, mudança de projeto, incidente relevante e substituição do profissional. A verificação de antecedentes com critérios adequados reduz decisões baseadas em conclusões isoladas.

Separe as responsabilidades do cliente e da fornecedora

A responsabilidade pelo background check de um fornecedor terceirizado não pertence automaticamente a uma única parte. O cliente conhece o risco dos próprios ambientes, define os acessos e toma a decisão final sobre a autorização. A fornecedora pode executar a checagem dos próprios profissionais, desde que tenha autorização adequada, finalidade definida, controles de privacidade e capacidade de apresentar evidências sem expor dados além do necessário.

O fluxo precisa tratar resultado inconclusivo, divergência entre documentos e recusa do profissional. Até uma decisão formal, o acesso deve permanecer bloqueado. Se a decisão não autorizar a continuidade, a fornecedora deve indicar substituto compatível. Um subcontratado só pode acessar o ambiente depois de aprovação expressa e verificação equivalente ao risco da função.

Aplique a LGPD ao background check profissional terceirizado

O background check profissional terceirizado LGPD exige planejamento antes da coleta. Defina a finalidade, a hipótese jurídica aplicável e o papel de cada parte com apoio das áreas responsáveis. Não reúna dados por conveniência ou curiosidade. Limite o resultado às pessoas que decidem sobre contratação, alocação ou autorização de acesso. A política de privacidade da Agence apresenta princípios sobre transparência, proteção e uso responsável de dados pessoais.

Mantenha o relatório completo em repositório protegido e informe ao cliente somente uma conclusão adequada à decisão, acompanhada da evidência mínima necessária. O contrato deve indicar prazo de retenção ou evento de descarte. Suboperadores precisam ser identificados, autorizados e submetidos a controles equivalentes.

• ✓Registre finalidade, hipótese jurídica, autorização quando aplicável e necessidade de cada consulta.
• ✓Limite a consulta do relatório completo às pessoas autorizadas na fornecedora e no cliente.
• ✓Compartilhe a decisão por canal protegido e evite documentos completos em mensagens informais.
• ✓Defina guarda, descarte, suboperadores e resposta às solicitações dos titulares.

Converta a política em cláusulas de segurança para terceiros

Uma política só orienta a operação quando o contrato transforma suas decisões em obrigações verificáveis. As cláusulas de segurança em contrato com empresa terceirizada devem diferenciar o que cabe à fornecedora na execução da checagem do que cabe ao cliente na gestão de identidades e permissões. Elas não podem autorizar coleta ou compartilhamento irrestrito de dados pessoais.

• Defina escopo, autorização, gatilhos de atualização, evidências e prazo de apresentação.
• Estabeleça confidencialidade, canal protegido, acesso aos relatórios, retenção e descarte.
• Exija comunicação sobre subcontratação, substituição, mudança de equipe ou novo profissional.
• Vincule a autorização de acesso ao cumprimento dos requisitos, sem criar permissão genérica para coletar dados.
• Separe a obrigação da fornecedora de verificar profissionais da obrigação do cliente de conceder e revogar acessos.
• Defina o tratamento de resultado inconclusivo, divergência ou recusa, bloqueando o acesso até decisão formal.

Controle o ciclo de vida de squads, staff augmentation e acessos privilegiados

Em squads e staff augmentation, pessoas entram, mudam de atividade e são substituídas com frequência. O padrão mínimo combina menor privilégio, contas individuais, autenticação forte, segregação de funções e expiração de acessos. Esse princípio impede que uma pessoa receba permissões amplas apenas porque a equipe precisa entregar rapidamente.

1. 1Entrada autorizadaConfirme a verificação, a função, o projeto e o conjunto mínimo de permissões.
2. 2Mudança controladaReavalie o risco quando o profissional assumir outro sistema, ambiente ou nível de privilégio.
3. 3Substituição temporáriaExija a mesma autorização para o substituto e limite o acesso ao período necessário.
4. 4Saída confirmadaRevogue VPN, SSO, cloud, repositórios, secrets, chaves, produção e ferramentas de colaboração.

Mantenha uma trilha com quem autorizou cada permissão, quando ela foi concedida, quais atividades ocorreram e quando o acesso foi revogado. A conferência final deve incluir contas, tokens, dispositivos e credenciais compartilhadas.

Leve profissionais verificados para ambientes que exigem confiança

A Agence executa a verificação de antecedentes de candidatos, parceiros e fornecedores. Isso inclui a busca, a consulta de fontes adequadas, a organização das evidências e a apresentação das informações necessárias para a decisão, sem transferir a você a tarefa de garimpar documentos ou validar cada registro por conta própria.

Quando você também precisa ampliar a capacidade técnica, a Agence aloca profissionais seniores em squads e modelos de staff augmentation. A combinação permite relacionar a pessoa alocada ao projeto, ao nível de acesso e aos gatilhos de substituição definidos na governança. O resultado não é uma promessa de risco zero. É um fluxo em que verificação, contrato, menor privilégio e rastreabilidade se reforçam.

Assim, você mantém a decisão sobre os ambientes corporativos, enquanto a execução da verificação e a alocação da capacidade técnica ficam organizadas em um fluxo compatível com o risco. Essa divisão reduz o trabalho operacional da sua equipe sem retirar dela o controle sobre identidades e permissões.

Fale com um especialista