Uma organização que conta com um Plano de Recuperação de Desastres bem estruturado consegue, muitas vezes, se restabelecer com mais agilidade após um ataque cibernético, minimizando os efeitos à sua saúde financeira e à sua imagem.
Porém, dados recentes indicam um cenário perigoso para as empresas: segundo a Pesquisa Setorial em Cibersegurança 2024, apenas 45% das companhias brasileiras possuem PRD. A pesquisa, desenvolvida pelo Markets, Innovation & Technology Institute (MiTi) e pelo Security Design Lab (SDL) ouviu 181 empresas de setores como Saúde, Indústria, Serviços, Telecomunicações, dentre outros.
Garantir a operação e a continuidade do negócio mesmo em situações complexas é fundamental para todas as organizações. Por isso, reunimos neste artigo informações importantes sobre como estruturar um Plano de Recuperação de Desastres focado em cibersegurança.
O que um PRD deve incluir?
Um Plano de Recuperação de Desastres (PRD) é um documento formal que descreve como uma companhia deve responder a qualquer situação que comprometa a normalidade da sua operação, considerando todas as necessidades e particularidades do negócio.
Apesar de ser bastante específico, existem alguns pontos fundamentais que todo PRD deve considerar. O site Security Intelligence listou 8 desses pontos, que são:
- Gestão de Ativos
- RTO e RPO
- Conformidade com acordos de SLA
- Local de recuperação de desastres
- Atribuições individuais
- Plano de comunicação
- Protocolos de recuperação
- Testes e auditorias regulares
1.Gestão de Ativos
A elaboração de um Plano de Recuperação de Desastres (PRD) exige um levantamento detalhado dos hardwares e softwares críticos para o negócio. Esse processo inclui todas as camadas da infraestrutura de TI, como redes, bancos de dados e componentes essenciais. Além de ser um requisito para o PRD, a auditoria e a documentação de ativos contribuem para a escalabilidade e o controle das despesas operacionais
2. RTO e RPO
Definir o Recovery Time Objective (RTO) e do Recovery Point Objective (RPO) é fundamental para a estratégia de recuperação. O RTO indica o tempo máximo que um sistema pode permanecer indisponível, antes que haja um impacto considerável no negócio. Já o RPO representa o ponto no tempo, antes de uma interrupção ou paralisação do sistema, onde os dados do processo devem ser recuperados após a ocorrência de um desastre. Basicamente, esse último item determina como deverá ser realizada a política de backup.
3. Conformidade com acordos de SLA
Empresas que dependem de provedores terceirizados devem documentar e revisar os Acordos de Nível de Serviço (SLA) para garantir clareza sobre responsabilidades em caso de falhas. Esses acordos devem estar alinhados aos padrões de RTO e RPO, evitando inconsistências que possam comprometer a recuperação dos sistemas, seja em infraestrutura local ou na nuvem.
4. Local de recuperação de desastres
A definição de um local de recuperação de desastres garante a segurança de backups e a continuidade da infraestrutura crítica da empresa. Esse local deve ser escolhido com base nas necessidades do negócio e pode variar de data centers remotos a soluções baseadas em nuvem, oferecendo suporte adequado às operações em caso de incidentes graves.
5. Atribuições individuais
Atribuir funções específicas dentro da equipe responsável pelo PRD é essencial para garantir uma resposta eficiente a emergências. É necessário designar profissionais responsáveis por acionar protocolos e gerenciar as etapas do plano, além de treinar as equipes envolvidas para garantir uma comunicação eficaz durante o processo de recuperação.
6. Plano de comunicação
Uma comunicação estruturada é fundamental para a execução do PRD. O plano deve incluir a identificação dos responsáveis e os procedimentos de contato entre funcionários, fornecedores, parceiros e clientes. Essa organização reduz o tempo de resposta e facilita a coordenação das ações durante a recuperação.
7. Protocolos de recuperação
Os protocolos de recuperação documentam as ações necessárias para restaurar sistemas e processos de acordo com as metas de RTO e RPO. Esses procedimentos devem ser claros e organizados em etapas sequenciais para orientar a retomada das operações com rapidez e eficiência.
8. Testes e auditorias regulares
A realização periódica de testes e auditorias do PRD garante sua efetividade ao longo do tempo. Mudanças na infraestrutura e nos contratos de serviço podem impactar a recuperação, tornando essencial a revisão contínua das estratégias. A manutenção de um PRD atualizado contribui para a resiliência e a continuidade dos negócios diante de possíveis incidentes.
O PRD é a próxima etapa do Plano de Continuidade de Negócios
É importante destacar que o PRD deve ser uma etapa do Plano de Continuidade de Negócios (PCN) da empresa, e não um documento isolado. A integração com o PCN garante que a organização não só se recupere rapidamente de um cenário de desastre, como mantenha a continuidade das suas operações essenciais depois do incidente.
Além disso, tanto o PCN quanto o PRD devem atender ao negócio em suas necessidades. Esse, inclusive, é um assunto que aprofundamos em um dos nossos RedTalks, disponível no YouTube.Assista aqui:
A Redbelt Security está pronta para apoiar o seu negócio
A Redbelt Security pode auxiliar no desenvolvimento de um plano de cibersegurança de acordo com as necessidades da sua empresa. Fale com um de nossos consultores para saber mais.
