TI em gestoras e family offices: o que você precisa conseguir responder quando alguém perguntar

A reunião estava indo bem. Números apresentados, tese defendida, histórico de retorno na mesa. E aí veio a pergunta que ninguém tinha ensaiado: "como vocês protegem os dados dos clientes, e o que acontece com a operação se o escritório ficar inacessível amanhã?".

O sócio, que responde com segurança sobre risco de mercado, liquidez e alocação, travou. Não por incompetência. Ele sabia, mais ou menos, que existia um antivírus, que alguém fazia backup e que a TI era cuidada por um fornecedor. Só que "mais ou menos" não é resposta quando o assunto é o dinheiro de terceiros.

Se você administra patrimônio de outras pessoas, essa cena tende a aparecer mais de uma vez na vida da empresa. Investidor institucional faz diligência antes de alocar. Auditor pede evidência. Cliente grande, especialmente quando é uma família com patrimônio relevante, quer entender como as informações dele são tratadas.

Este artigo é uma lista das perguntas que costumam aparecer e do que cada uma delas está realmente investigando. Serve para você conferir se conseguiria responder todas hoje, com segurança, sem precisar ligar para alguém.

Por que gestoras e family offices são um caso à parte

Todo negócio precisa de uma TI que funcione. A diferença aqui é o padrão de prova.

Numa empresa comum, o dono responde pela própria operação. Se ele decide conviver com um risco, o problema é dele. Numa gestora ou num family office, você administra o que não é seu, e a confiança é o produto. Isso cria três exigências que os outros segmentos não têm na mesma intensidade.

A confidencialidade é absoluta. Posições, movimentações, estrutura patrimonial de famílias, estratégia. Um vazamento não gera só prejuízo financeiro, gera um dano de reputação que às vezes não tem volta.

A disponibilidade tem hora marcada. Existem janelas em que estar fora do ar não é inconveniente, é perda. Uma indisponibilidade de duas horas numa manhã de decisão custa mais do que um dia inteiro parado em muitos outros negócios.

Você precisa conseguir provar. E aqui está o ponto que mais pega. Não basta estar seguro. É preciso demonstrar, com documento e evidência, que está. Segurança sem prova, para quem audita, é a mesma coisa que ausência de segurança.

As perguntas que você precisa saber responder

Separei em quatro blocos. Não são perguntas técnicas, são perguntas de negócio, e é exatamente assim que elas chegam.

Bloco 1: confidencialidade e acesso

Quem tem acesso a quê, hoje, e quem decidiu isso?

Esta é a mais reveladora de todas. Na maioria dos ambientes que encontramos, a resposta honesta é "todo mundo tem acesso a quase tudo", porque as permissões foram sendo dadas conforme a necessidade do dia e nunca foram revisadas.

O que a pergunta investiga: se existe um critério, ou se o acesso é fruto do acúmulo.

O que acontece com os acessos quando alguém sai da empresa?

Desligamento é o momento de maior exposição, e o que mais costuma ser feito no improviso. Contas de e-mail que continuam ativas por meses, acesso a nuvem que ninguém lembrou de revogar, arquivos que saíram no notebook pessoal.

O que a pergunta investiga: se existe processo de saída ou se depende de alguém lembrar.

Existe segundo fator de autenticação em tudo que é crítico?

Senha sozinha não protege mais nada. Se a resposta for "na maioria das coisas", vale mapear exatamente onde não tem, porque é justamente ali que o problema vai nascer. Já escrevemos sobre isso em a tranca barata que evita o prejuízo caro.

Bloco 2: continuidade e backup

Existe backup, ele foi testado, e em quanto tempo vocês voltam?

Repare que são três perguntas em uma, e a maioria das empresas só sabe responder a primeira. Backup que nunca foi restaurado em teste é uma suposição, não uma garantia. E o tempo de retorno costuma ser uma surpresa desagradável quando medido pela primeira vez, no pior dia possível. Tratamos desse tema em quanto tempo sua empresa leva para se recuperar de um ataque.

Se o escritório ficar inacessível amanhã, a operação continua?

Incêndio, alagamento, falta de energia prolongada, um problema no prédio. A pergunta não é sobre catástrofe improvável, é sobre quanto da sua operação depende de estar fisicamente naquele endereço.

O que a pergunta investiga: se existe plano, ou se a resposta é improvisar na hora.

Bloco 3: rastreabilidade

Vocês conseguem saber quem acessou qual informação e quando?

Essa é a pergunta que separa o ambiente organizado do ambiente que apenas ainda não teve problema. Sem registro de acesso, você não tem como investigar nada depois que acontece. Fica sabendo que houve um vazamento e não consegue determinar a origem, o tamanho nem o período.

O que a pergunta investiga: se você teria como responder a um incidente com fato, ou só com suposição.

Se um cliente perguntar como os dados dele são tratados, existe um documento para mostrar?

Ou a resposta é uma explicação verbal, diferente a cada vez que alguém explica?

Bloco 4: dependência de pessoas

Se a pessoa que cuida da TI de vocês sumisse hoje, quanto tempo levaria para outra assumir?

Muita gestora é atendida por um profissional que conhece o ambiente de cabeça e nunca documentou nada. Funciona bem, até o dia em que ele sai, adoece ou simplesmente decide mudar de vida. O conhecimento vai junto, e você paga alguém para redescobrir a estrutura da sua própria empresa.

O ambiente está documentado em algum lugar que não seja a cabeça de alguém?

É a mesma pergunta por outro ângulo, e ela é a chave de quase todas as anteriores.

O que costuma estar faltando na prática

Nos ambientes desse perfil que a Hype assume, o padrão se repete com uma constância impressionante.

Quase sempre existe alguma proteção instalada. Antivírus tem. Backup, na maioria das vezes, tem. O que não existe é gestão: ninguém confere se o backup rodou ontem, ninguém revisa quem tem acesso a quê, ninguém testa a restauração, ninguém documenta.

A consequência é um ambiente que parece protegido e não está. O antivírus desatualizado em três máquinas ninguém viu. O backup que falha silenciosamente há semanas ninguém viu. O ex-colaborador que continua com acesso ninguém viu.

E vale dizer com todas as letras: isso não é falha de caráter de quem cuidava. É a diferença entre um modelo reativo, em que alguém conserta quando quebra, e um modelo gerenciado, em que existe monitoramento contínuo e rotina de revisão. Escrevemos sobre essa diferença em MSP, suporte avulso ou técnico de confiança.

Ter o controle e conseguir provar são coisas diferentes

Aqui está o ponto que mais surpreende os sócios quando conversamos.

Uma gestora pode estar razoavelmente bem protegida e ainda assim se sair mal numa diligência, porque não consegue evidenciar nada. Não tem política escrita, não tem registro de que os acessos são revisados, não tem relatório mostrando que o backup foi testado, não tem histórico do que foi feito no ambiente ao longo do ano.

Quem avalia você de fora não pode acreditar na sua palavra. Ele precisa de evidência. Por isso a documentação, que parece a parte mais burocrática e chata da TI, é justamente a que mais vale nesse segmento. Ela transforma o que você faz em algo demonstrável.

É por isso que a reunião trimestral de resultados, a QBR, deixa de ser um detalhe e vira um instrumento. Ela produz o registro periódico do que foi feito, do que está em risco e do que está planejado, exatamente o tipo de material que um auditor pede. Se você não conhece o formato, explicamos em o que é uma QBR e por que sua empresa precisa de uma.

Um exemplo real

Uma empresa de investimentos que hoje é cliente da Hype chegou até nós com esse retrato: ambiente sensível, exigência alta de disponibilidade, e nenhuma dessas perguntas com resposta pronta. Não havia monitoramento proativo nem proteção adequada dos dados, apesar do volume e da criticidade do que era tratado ali dentro.

O trabalho não começou pela ferramenta, começou pelo mapeamento. Depois vieram a reestruturação da segurança, a proteção avançada nas estações, o backup gerenciado com verificação, o monitoramento contínuo e, tão importante quanto o resto, a documentação e os processos organizados de forma compatível com auditoria.

O resultado: operação rodando sem interrupção, controles aprovados em auditoria e nenhum incidente relevante desde a virada. A diferença não foi ter comprado tecnologia melhor. Foi passar a ter método e registro.

O que fazer com essas perguntas

Pegue a lista dos quatro blocos e responda cada pergunta sobre o seu ambiente hoje, sinceramente. Onde a resposta for "acho que sim" ou "preciso perguntar para alguém", você encontrou uma lacuna. Não necessariamente uma falha grave, mas uma lacuna que vai aparecer no pior momento, que é quando alguém de fora perguntar.

Se quiser entender como a Hype estrutura TI para gestoras e family offices, com o nível de segurança e disponibilidade que esse tipo de operação exige, veja a página do segmento.

Quem administra patrimônio dos outros não pode ser o último a saber do próprio risco.