ISO 27001 & BS 25999

Você está pensando em implementar a gestão de continuidade de negócios/norma BS 25999-2? Mas você já ouvir falar que custará muito caro? Provavelmente irá custar, mas não necessariamente tanto quanto você imagina. Isso pode ser resolvido com uma boa estratégia de continuidade de negócios.

A estratégia de continuidade de negócios, conforme definido na norma BS 25999-2, é uma “abordagem de uma organização que garanta a sua recuperação e continuidade ao se defrontar com um desastre, ou outro incidente maior ou interrupção de negócios”. Portanto, a questão principal é se preparar da melhor maneira possível para neutralizar um desastre se isso ocorrer. Essa preparação pode incluir medidas organizacionais (elaboração de planos, assinatura de contratos com fornecedores/parceiros, treinamento, análise, trabalho de conscientização etc.) e medidas que incluem investimento em equipamentos, infraestrutura etc.

O tempo é um fator muito importante na recuperação. Se você não recuperar o seu negócio rapidamente, pode perder seus clientes e, consequentemente, perder seu negócio também. Assim, a estratégia de continuidade de negócios deve definir o objetivo de tempo de recuperação (OTR) para cada uma de suas atividades críticas, dado que o OTR pode ser diferente para cada uma delas.

Uma consideração importante: quanto mais curto for o OTR, maior será o investimento necessário. Por exemplo, se você quiser recuperar seu centro de processamento dados em menos de uma hora, terá de investir em um local alternativo com quase o mesmo equipamento do local principal; por outro lado, se você quiser recuperá-lo em duas semanas, o investimento será muito menor, porque armazenar as fitas de backup em um local alternativo seria o suficiente, dando-lhe duas semanas para obter o equipamento necessário. Isso significa que o OTR não deve ser muito longo, mas também não muito curto.

Depois que o OTR estiver definido, você ainda precisará fazer alguns investimentos, mas, com uma boa estratégia de continuidade de negócios, você poderá diminuir esse investimento, embora ainda consiga recuperar suas atividades críticas dentro do objetivo de tempo de recuperação. Aqui estão alguns exemplos:

• talvez não seja necessário ter seu próprio centro de processamento de dados em um local alternativo – na maioria dos países, é possível alugar esse tipo de local de uma empresa especializada, o que significa que você não precisa investir em infraestrutura, talvez nem mesmo em equipamentos ou softwares,
• talvez não seja necessário ter escritórios em um local alternativo – os funcionários que não precisam encontrar clientes pessoalmente podem trabalhar em suas casas,
• talvez não seja necessário ter um local alternativo, se você tem outras unidades de negócios em diferentes locais que possam assumir as atividades críticas afetadas pelo desastre,
• talvez não seja necessário adquirir equipamentos com antecedência, se você puder encontrar um fornecedor que garanta a entrega dos equipamentos dentro do seu OTR,
• etc.

Em todos esses exemplos, você precisará aumentar sua capacidade de organização, mas se você pretende economizar dinheiro, com certeza é algo para se pensar.

Você também pode conferir o webinar BS 25999-2 Foundations Part 2: Business Continuity Strategy (treinamento vendido comercialmente).

This post is also available in: Inglês, Alemão, Japonês, Espanhol, Croata