ISO 27001 & BS 25999

Já aconteceu de sua gestão dar-lhe a responsabilidade de implementar a continuidade de negócios só porque você está no departamento de TI? Por que a continuidade de negócios normalmente está relacionada à tecnologia da informação?

Isto provavelmente acontece porque a continuidade de negócios tem suas raízes na recuperação de desastres, e a recuperação de desastres está totalmente ligada à tecnologia da informação. Vinte ou trinta anos atrás, a continuidade de negócios (CN) ainda não existia como um conceito, mas a recuperação de desastres (RD), sim – a principal preocupação era como salvar os dados caso ocorresse um desastre. Naquela época era muito comum adquirir equipamentos caros e colocá-los em um local remoto, de modo que todos os dados importantes de uma organização fossem preservados se, por exemplo, acontecesse um terremoto. O objetivo não era apenas preservar os dados, mas também processá-los mais ou menos com a mesma capacidade do local principal.

Mas depois de algum tempo, percebeu-se que esses dados seriam inúteis se não houve operações comerciais para utilizá-los. Foi assim que a ideia da continuidade de negócios nasceu – sua finalidade é permitir que a empresa continue funcionando, mesmo no caso de uma grande interrupção.

Definições

Vamos dar uma olhada nas definições: a continuidade de negócios é a “capacidade estratégica e tática da organização de se planejar e responder a incidentes e interrupções de negócios para conseguir continuar suas operações em um nível aceitável previamente definido” (BS 25999-2:2007), enquanto que a recuperação de desastres é “o processo, as políticas e os procedimentos relacionados à preparação para recuperação ou manutenção da infraestrutura tecnológica essencial para uma organização após um desastre natural ou induzido pelo homem” (Wikipedia.org).

Como você pode perceber a partir das definições, a ênfase na RD é a tecnologia, enquanto que na CN são as operações comerciais. Portanto, a recuperação de desastres é parte da continuidade de negócios. Você pode considerá-la como uma das principais possibilitadoras das operações comerciais, ou a parte tecnológica da continuidade de negócios.

No entanto, você deve ter notado outra coisa também: a definição de CN é uma citação da BS 25999-2, a principal norma em gestão da continuidade de negócios, enquanto que a definição da RD é citada da Wikipédia – na verdade, a “continuidade de negócios” é um termo oficial reconhecido nas normas, enquanto que a “recuperação de desastres” não é.

Implicações para a implementação

Então por que é uma má ideia o departamento de TI implementar a continuidade de negócios para toda a organização? Porque a continuidade de negócios é essencialmente uma questão comercial, não uma questão de TI. Se o departamento de TI fosse implementar a continuidade de negócios em toda a organização, ele não seria capaz de definir o grau de emergência das atividades comerciais, nem a importância das informações. Além disso, é uma questão de saber se iria conseguir obter o compromisso das partes comerciais da organização.

A melhor maneira de organizar a implementação da CN é a parte comercial liderar esse projeto. Assim você poderia conseguir uma maior consciência e aceitação de todas as partes da organização. O departamento de TI deve desempenhar seu papel nesse projeto – um papel fundamental – preparar os planos de recuperação de desastres.

Você também pode conferir o webinar BS 25999-2 Foundations Part 1: Business Impact Analysis (treinamento vendido comercialmente).

Se você começou a implementar uma gestão de continuidade de negócios, provavelmente o maior desafio que você está enfrentando é escrever os planos de continuidade de negócios.

Por que é tão difícil? Bem, você tem de pensar em vários cenários em que um desastre (ou outro tipo de interrupção das atividades comerciais) pode ocorrer e precisa elaborar uma maneira para lidar com esses incidentes excepcionalmente raros, mas possivelmente catastróficos.

Os problemas encontrados pelas pessoas que escrevem esses planos normalmente incluem o conteúdo do plano (quais são os principais elementos), o quão detalhado ele deve ser, quais etapas incluir, etc.

Uma das melhores soluções para todos esses dilemas é usar a norma BS 25999-2, que, juntamente com a BS 25999-1, define um modelo de como os planos devem ser escritos.

De acordo com essas normas, os planos de continuidade de negócios devem ser compostos de (1) plano de resposta a incidentes e (2) planos de recuperação. Um plano de resposta a incidentes geralmente é um único plano escrito para toda a organização e descreve o que deve ser feito imediatamente após um desastre – reduzir os efeitos do incidente, comunicar aos serviços de emergência, evacuar o edifício, reunir-se em pontos de concentração, organizar o transporte para locais alternativos etc.

Os planos de recuperação, em geral, são escritos separadamente para cada atividade crítica, e os passos a serem incluídos nos planos de recuperação geralmente são os seguintes: quando e como se comunicar com as várias partes interessadas (funcionários e seus familiares, acionistas, clientes, parceiros, entidades governamentais, meios de comunicação etc.), como reunir a equipe, como recuperar a infraestrutura, como verificar se os aplicativos estão funcionando e se os direitos de acesso são adequados, como verificar quais dados estão faltando ou foram corrompidos pelo desastre, como recuperar os dados e como decidir quando a recuperação está concluída, para que as operações normais possam recomeçar.

Os planos de recuperação de desastres (os planos de recuperação das infraestruturas TIC) devem ser escritos com muito cuidado, pois devem descrever como colocar cada sistema em funcionamento dentro do objetivo de tempo de recuperação de uma determinada atividade crítica. Isso geralmente é feito ao se escrever um plano detalhado de recuperação para cada sistema a ser recuperado.

A regra geral diz que o nível de detalhes em todos esses planos deve ser tal que outros funcionários (ou uma equipe externa) sejam capazes de executar o plano, se as pessoas que trabalham com essa atividade crítica não estiverem disponíveis. Portanto, use o bom senso ao escrever os planos, que devem ser compreensíveis para qualquer pessoa, não apenas para você.

Pela minha experiência, posso dizer que o maior desafio ao escrever esses planos é que os funcionários precisam enfrentar algo completamente diferente, algo sobre o qual eles nunca tiveram de pensar. Para superar esse problema, o melhor é organizar um workshop no qual, com ou sem um moderador, eles poderiam compartilhar suas opiniões sobre o que aconteceria se… , como reagir quando… etc.

A verdade é que o simples fato de seus funcionários começarem a pensar sobre continuidade de negócios é 50% do trabalho. Com essa abordagem, os resultados do plano de continuidade de negócios serão muito melhores.

Você também pode conferir o webinar BS 25999-2 Foundations Part 3: Business Continuity Planning (treinamento vendido comercialmente).