Fase 1
Análise de impacto no negócio (BIA)
Identificamos processos críticos, dependências e tempos máximos toleráveis de interrupção, e determinamos os objetivos de recuperação (RTO e RPO) acordados com as áreas de negócio.
Segurança da informação
Continuidade de negócios e recuperação de desastres
Agir de forma coerente e eficaz diante de eventos imprevistos que afetam a operação normal do negócio não se improvisa: se desenha, se documenta e —sobretudo— se testa.
- Duração típica
- 3 a 6 meses
- Entregáveis
- BIA · BCP · DRP · relatório de testes
- Marco
- ISO/IEC 27001 A.5.29–A.5.30 · ISO 22301
- Inclui
- Teste documentado dos planos
Objetivo e escopo
Estabelecemos as necessidades de redundância de equipamentos e recursos, desenvolvemos a análise de impacto no negócio dos incidentes graves que derrubam serviços e elaboramos o plano de continuidade de negócios (BCP) e o plano de recuperação de desastres (DRP). O trabalho se encerra com testes reais de ambos os planos: um plano não testado é uma hipótese, não um controle.
As fases do projeto
Fase 2
Estratégias de continuidade
Avaliamos alternativas de redundância, backup, sites alternativos e acordos com terceiros, contrastando o custo de cada estratégia com o impacto que ela evita.
Fase 3
Desenho dos planos
Documentamos o BCP e o DRP: papéis e responsabilidades, critérios de acionamento, procedimentos de recuperação, árvore de comunicação e protocolos de crise.
Fase 4
Testes e melhoria
Executamos testes —de mesa, de restauração ou de failover— documentamos os resultados e ajustamos os planos com as lições aprendidas.
O que inclui a implantação
- Inventário de processos críticos
- Análise de impacto no negócio (BIA)
- Definição de RTO e RPO por processo
- Estratégias de continuidade e redundância
- Plano de continuidade de negócios (BCP)
- Plano de recuperação de desastres (DRP)
- Árvore de comunicação e gestão de crise
- Testes de restauração documentados
Perguntas frequentes
Qual é a diferença entre BCP e DRP?
O BCP responde a como o negócio segue operando durante a interrupção, incluindo as alternativas manuais. O DRP é mais restrito: como a infraestrutura e os sistemas são recuperados. O DRP é parte do BCP, não um sinônimo.
Basta ter backups?
Não. Um backup cuja restauração nunca foi testada não é um controle de continuidade. O teste de restauração —com tempos medidos contra o RTO comprometido— é o que transforma o backup em uma capacidade real.
É possível fazer sem implantar um SGSI inteiro?
Sim. É um projeto autônomo, ainda que se encaixe naturalmente como parte do SGSI se mais adiante a implantação da ISO/IEC 27001 for encarada.