Exemplo de relatório de diagnóstico de TI
É assim que se parece o relatório entregue ao final do diagnóstico de TI: os achados em ordem de prioridade, o mapa de fornecedores e contratos, as recomendações por prazo e um roadmap inicial para a diretoria decidir onde investir primeiro.
O hotel, os fornecedores e os números desta página são fictícios. Montamos o exemplo para mostrar o formato e o nível de detalhe do relatório, não para descrever um cliente. Os fornecedores aparecem como A, B, C, e não há valores em reais: o custo de cada recomendação depende do hotel e das propostas que ele receber.
O hotel do exemplo
Um hotel independente de 140 quartos no interior de São Paulo, com restaurante, salas de eventos e um escritório administrativo no próprio prédio. A TI do dia a dia fica com uma empresa de suporte terceirizada, e não há gerente de TI. A diretoria pediu o diagnóstico depois de duas falhas no motor de reservas em um trimestre e porque três contratos de tecnologia vencem nos próximos seis meses.
O diagnóstico levou três semanas: levantamento com a diretoria e a equipe, revisão de documentos e contratos, verificações por amostragem no hotel e a apresentação final.
Resumo para a diretoria
O relatório registrou 10 achados: 3 de prioridade alta, 4 de prioridade média e 3 de prioridade baixa. Os três de prioridade alta aumentam a chance ou o estrago de um incidente de segurança, e dois deles se resolvem em poucas semanas sem compra de equipamento.
- O servidor do escritório, com o financeiro e as pastas da equipe, tem backup, mas ninguém testou uma restauração nos últimos 12 meses. No PMS, que é em nuvem, o contrato não diz em quanto tempo o Fornecedor A recupera os dados depois de uma falha.
- Seis ex-colaboradores ainda têm acesso ao PMS ou ao e-mail, e o e-mail não usa autenticação em dois fatores (MFA).
- No restaurante, os terminais do POS estão na mesma rede do Wi-Fi de hóspedes. Isso expõe o POS e amplia o escopo de PCI DSS.
- O contrato de suporte de TI renova sozinho em março e não tem SLA mensurável. É o contrato com mais margem para negociar nos próximos meses.
Achados priorizados
Cada achado indica a área do diagnóstico, o que pode acontecer se nada mudar, a prioridade e o esforço estimado para resolver. Esforço baixo significa semanas e pouca ou nenhuma compra; esforço alto significa projeto, orçamento e fornecedor envolvido.
| Achado | Área | Risco se nada mudar | Prioridade | Esforço |
|---|---|---|---|---|
| Backup sem teste de restauração e prazo de recuperação do PMS indefinido | Segurança e conformidade | Depois de um ransomware, o hotel pode descobrir que o backup do servidor não serve; se o PMS falhar, não sabe quando volta a ter reservas e contas | Alta | Baixo |
| Contas de ex-colaboradores ativas e e-mail sem MFA | Acessos e dados | Acesso indevido a dados de hóspedes e e-mails usados para golpes de pagamento a fornecedores | Alta | Baixo |
| POS do restaurante na rede do Wi-Fi de hóspedes | Padrões de rede | Um dispositivo de hóspede pode alcançar os terminais de cartão, e o escopo de PCI DSS passa a incluir a rede de hóspedes | Alta | Médio |
| Integração PMS e motor de reservas falha sem alerta | Sistemas centrais e nuvem | Disponibilidade errada nos canais e overbooking, como nas duas falhas do último trimestre | Média | Médio |
| Contrato de suporte sem SLA mensurável e com renovação automática | Contratos, fornecedores e custos | Mais um ano sem prazo de atendimento definido e sem base para cobrar o fornecedor | Média | Baixo |
| Sem plano de resposta a incidentes | Segurança e conformidade | Em um ataque, a equipe não sabe quem acionar nem o que desligar, e o prazo de 3 dias úteis para comunicar a ANPD corre | Média | Médio |
| 11 dos 38 computadores com sistema sem atualizações de segurança | Ativos, atualizações e hardening | Falhas conhecidas sem correção, inclusive no computador da recepção que gerencia as fechaduras | Média | Alto |
| Cópias de documentos de hóspedes em pasta compartilhada | Segurança e conformidade | Dados pessoais guardados por tempo indefinido e abertos a toda a equipe, quando a LGPD pede controle de acesso e descarte ao fim da finalidade | Baixa | Baixo |
| Licenças de software pagas sem usuário | Contratos, fornecedores e custos | Nove licenças de escritório pagas todo mês para contas que ninguém usa | Baixa | Baixo |
| Sem plano nem orçamento de TI separados | Estratégia e governança de TI | As compras de tecnologia continuam reagindo a falhas, sem ligação com o plano do hotel | Baixa | Médio |
Mapa de fornecedores e contratos
Todos os fornecedores de tecnologia ativos, com a data de renovação e o que o contrato diz sobre prazo de atendimento. No relatório real os fornecedores aparecem com o nome.
| Serviço | Fornecedor | Renovação | SLA no contrato | Observação |
|---|---|---|---|---|
| PMS (em nuvem) | Fornecedor A | Agosto de 2027 | Disponibilidade definida; prazo de recuperação de dados não definido | Suporte só em horário comercial, sem atendimento noturno para a recepção |
| Motor de reservas e channel manager | Fornecedor B | Mensal | Não definido | A integração com o PMS falhou duas vezes no trimestre |
| Suporte de TI | Fornecedor C | Março, automática | Não definido | Aviso prévio de 60 dias para não renovar |
| Internet | Fornecedor D | Maio | Prazo de reparo definido | Único link; sem contingência |
| Wi-Fi de hóspedes | Fornecedor E | Junho | Não definido | Contrato inclui a rede onde estão os terminais do POS |
| POS do restaurante | Fornecedor F | Anual, automática | Atendimento em horário comercial | Integrado ao PMS para lançar consumo na conta do quarto |
| Fechaduras eletrônicas | Fornecedor G | Sem contrato de manutenção | Não há | O software roda em um computador da recepção desatualizado |
Recomendações por prazo
Curto prazo: até 3 meses
- Testar a restauração do backup do servidor com o Fornecedor C e repetir o teste a cada trimestre.
- Pedir ao Fornecedor A, por escrito, o prazo de recuperação dos dados do PMS depois de uma falha.
- Remover as seis contas de ex-colaboradores, ativar MFA no e-mail e criar um roteiro de desligamento com o RH.
- Separar os terminais do POS da rede de hóspedes, com o Fornecedor E.
- Enviar ao Fornecedor C, antes do prazo de aviso prévio, a intenção de renegociar o suporte com SLA.
- Cancelar as nove licenças sem usuário.
Médio prazo: 3 a 12 meses
- Renegociar ou trocar o suporte de TI com prazos de atendimento por gravidade e relatório mensal.
- Escrever um plano de resposta a incidentes de uma página por cenário e testá-lo com a equipe em um exercício de mesa.
- Pedir ao Fornecedor B um alerta quando a integração com o PMS parar.
- Substituir ou atualizar os 11 computadores, começando pelo da recepção que gerencia as fechaduras.
- Definir quais dados de hóspedes o hotel guarda, onde e por quanto tempo, e descartar as cópias de documentos que não têm mais finalidade. Com a FNRH digital, o hotel não precisa mais guardar cópias para a ficha.
Longo prazo: mais de 12 meses
- Um plano de TI de três anos ligado ao plano do hotel, com orçamento próprio.
- Avaliar um segundo link de internet e a troca do Wi-Fi na próxima reforma de andares.
- Uma revisão anual dos fornecedores e contratos, antes das datas de renovação.
Roadmap inicial de investimentos
O roadmap ordena o que exige dinheiro ou contrato novo. Os valores entram depois, com as propostas dos fornecedores; nesta etapa a diretoria vê o que precisa de orçamento, quando e de que tipo.
| Item | Quando | Tipo de custo | Depende de |
|---|---|---|---|
| Teste de restauração, MFA e remoção de contas | Mês 1 | Sem compra; horas dos fornecedores atuais | Agenda dos Fornecedores A e C |
| Separação da rede do POS | Meses 1 a 2 | Serviço avulso, talvez com troca de um switch | Proposta do Fornecedor E |
| Novo contrato de suporte com SLA | Até março | Recorrente; pode substituir o valor atual | Renegociação ou cotação de outros fornecedores |
| Troca ou atualização de 11 computadores | Meses 3 a 9 | Compra única, que pode ser escalonada | Orçamento do ano |
| Plano de resposta a incidentes e exercício | Meses 4 a 6 | Horas de consultoria | Disponibilidade da equipe |
| Segundo link de internet | A partir do mês 12 | Recorrente | Viabilidade técnica no endereço |
A reunião com a diretoria
O relatório é apresentado à diretoria em uma reunião, e a conversa termina com decisões. Neste exemplo, a diretoria precisaria decidir:
- Se aprova as ações de curto prazo que não exigem compra.
- Se o hotel renegocia o suporte com o Fornecedor C ou cota outros fornecedores antes da renovação de março.
- Quanto reservar no orçamento do ano para os computadores e para a rede do POS.
Depois disso, o hotel pode executar o plano com a própria equipe e os fornecedores atuais ou contratar a HotelTI para conduzir a execução, por exemplo como Gerente de TI Virtual. O diagnóstico não depende dessa escolha.
O que este exemplo não mostra
Um relatório real é mais longo. Ele traz os nomes dos sistemas e fornecedores, o que foi verificado em cada achado e os documentos que sustentam cada recomendação. O diagnóstico também não é uma auditoria formal de certificação, e não fazemos alterações nos sistemas do hotel durante o trabalho.
Quer um relatório como este sobre o seu hotel?
Fale com a nossa equipe e agende a conversa inicial do diagnóstico.