BANCO CENTRAL DO BRASILBANCO CENTRAL DO BRASIL2009/20102009/2010

CONTINUIDADE DE NEGÓCIOS CONTINUIDADE DE NEGÓCIOS E E

PLANOS DE CONTINGÊNCIAPLANOS DE CONTINGÊNCIA

Professor: HêlbertProfessor: Hêlbert

A A Continuidade de Negócios Continuidade de Negócios tem como tem como base a base a Segurança Organizacional Segurança Organizacional e tem por objeto e tem por objeto promover a proteção pessoal, de bens e promover a proteção pessoal, de bens e instalações, com atuação instalações, com atuação proativaproativa e e reativareativa, , garantindo por meio de suas técnicas, garantindo por meio de suas técnicas, conhecimentos e sistemas os meios protetivos a conhecimentos e sistemas os meios protetivos a continuidade dos negócios.continuidade dos negócios.

A A Segurança Organizacional Segurança Organizacional é composta é composta pela segurança eletrônica, segurança física, pela segurança eletrônica, segurança física, segurança de instalações, vigilância, proteção segurança de instalações, vigilância, proteção contra incêndios, segurança patrimonial, contra incêndios, segurança patrimonial, segurança lógica, que se complementam segurança lógica, que se complementam formando assim a política de segurança formando assim a política de segurança organizacional.organizacional.

ObjetivosObjetivos

O objetivo da O objetivo da Segurança Organizacional Segurança Organizacional é a é a total proteção de pessoas, bens e instalações, total proteção de pessoas, bens e instalações, assegurando através de técnicas, conhecimentos, assegurando através de técnicas, conhecimentos, sistemas, processos, produtos ou meios, a sistemas, processos, produtos ou meios, a integridade e a continuidade dos negócios, das integridade e a continuidade dos negócios, das pessoas e dos bens existentes.pessoas e dos bens existentes.

A A Gestão de Continuidade de Negócios Gestão de Continuidade de Negócios tem tem por objetivo definir planos e procedimentos por objetivo definir planos e procedimentos alternativos a serem acionados em caso de alternativos a serem acionados em caso de ataques ou desastres sobre os ativos de ataques ou desastres sobre os ativos de informação da empresa ou instituição. informação da empresa ou instituição.

O resultado do plano de continuidade é a O resultado do plano de continuidade é a não paralisaçãonão paralisação, ou a , ou a rápida retomadarápida retomada das das atividades da empresa ou instituição em caso de atividades da empresa ou instituição em caso de ataque ou desastre.ataque ou desastre.  

DescriçãoDescrição

No plano de continuidade são definidos No plano de continuidade são definidos procedimentos para a proteção dos principais procedimentos para a proteção dos principais ativos da instituição. ativos da instituição.

O plano apresenta procedimentos diários O plano apresenta procedimentos diários que devem ser seguidos para que, em caso de um que devem ser seguidos para que, em caso de um ataque ou desastre, as informações não sejam ataque ou desastre, as informações não sejam perdidas e os serviços a serem fornecidos sejam perdidas e os serviços a serem fornecidos sejam retomados no menor tempo possível. retomados no menor tempo possível.

Além de procedimentos diários, o plano de Além de procedimentos diários, o plano de continuidade também fornece a definição de uma continuidade também fornece a definição de uma infra-estrutura e procedimentos previamente infra-estrutura e procedimentos previamente analisados, a serem aplicados em caso de analisados, a serem aplicados em caso de desastre.desastre.

BenefíciosBenefícios  - Prevenção contra perda de ativos de Prevenção contra perda de ativos de informação;informação; - Prevenção contra interrupção de serviços Prevenção contra interrupção de serviços prestados pela empresa ou instituição; prestados pela empresa ou instituição;

- Redução do risco de multas por interrupção ou Redução do risco de multas por interrupção ou perda de dados; perda de dados;

 - Redução de risco sobre a imagem da empresa Redução de risco sobre a imagem da empresa ou instituição, por interrupção ou perda de dados; ou instituição, por interrupção ou perda de dados;

- Em caso de interrupção, redução no tempo de - Em caso de interrupção, redução no tempo de retomada dos serviços. retomada dos serviços.

ProdutosProdutos - Reunião de conclusão do Plano de Reunião de conclusão do Plano de Continuidade; Continuidade;

- Relatório do Plano de Recuperação de Relatório do Plano de Recuperação de Desastres; Desastres;

- Relatório do Plano de Continuidade de Relatório do Plano de Continuidade de Negócios; Negócios;

- Resumo Estratégico do Plano de Continuidade Resumo Estratégico do Plano de Continuidade de Negócios; ede Negócios; e

- Plano de Ação para curto, médio e longo prazo.- Plano de Ação para curto, médio e longo prazo.

Definição de Cenários Definição de Cenários

Não é possível prever todos os tipos de Não é possível prever todos os tipos de cenários. cenários.

Uma das principais características de um Uma das principais características de um plano eficaz é a implementação de um ciclo plano eficaz é a implementação de um ciclo PDCA (Plan, Do, Check, Act), que irá realizar PDCA (Plan, Do, Check, Act), que irá realizar análises de riscos continuas que poderão análises de riscos continuas que poderão identificar e prospectar novos cenários. identificar e prospectar novos cenários.

Apesar disso, não é possível identificar Apesar disso, não é possível identificar todas as possibilidades.todas as possibilidades.

Baseado na Análise de Riscos que tem Baseado na Análise de Riscos que tem como principal objetivo identificar quais as como principal objetivo identificar quais as principais ameaças e sua probabilidade de principais ameaças e sua probabilidade de ocorrência e com base nestas informações e nos ocorrência e com base nestas informações e nos impactos que serão identificados é preciso adotar impactos que serão identificados é preciso adotar as seguintes medidas:as seguintes medidas:

1 - Quais riscos podem ser tratados? Se for 1 - Quais riscos podem ser tratados? Se for identificado que os custos e possibilidades para identificado que os custos e possibilidades para tratamento são viáveis o risco deve ser tratado;tratamento são viáveis o risco deve ser tratado;

2 - No caso dos riscos que não se consegue tratar, 2 - No caso dos riscos que não se consegue tratar, é necessário desenvolver um plano de respostas.é necessário desenvolver um plano de respostas.

  

Planos de respostas devem auxiliar a Planos de respostas devem auxiliar a organização a responder a todas as ameaças que organização a responder a todas as ameaças que não foram tratadas ou identificadas.não foram tratadas ou identificadas.  

Como é possível responder a qualquer Como é possível responder a qualquer incidente?incidente?  

- Tenha uma matriz de níveis de crise bem Tenha uma matriz de níveis de crise bem elaborada e alinhada com as necessidades da elaborada e alinhada com as necessidades da organização;organização;

- Tenha um plano de gerenciamento de crises e Tenha um plano de gerenciamento de crises e comunicação claro e de entendimento de toda comunicação claro e de entendimento de toda organização;organização;

- Conheça e mantenha uma documentação clara Conheça e mantenha uma documentação clara de toda sua arquitetura e principais características de toda sua arquitetura e principais características do ambiente;do ambiente;

- Planeje, teste, ajuste com frequência seus planos Planeje, teste, ajuste com frequência seus planos de respostas a incidentes; ede respostas a incidentes; e

- Faça um trabalho de lições aprendidas após Faça um trabalho de lições aprendidas após cada incidente.cada incidente.

- Outro aspecto importante é ter certeza que Outro aspecto importante é ter certeza que existam apenas as cópias atuais dos planos existam apenas as cópias atuais dos planos disponíveis. disponíveis.

O sucesso de um Plano de Continuidade de O sucesso de um Plano de Continuidade de Negócios está nas pessoas que o matem em Negócios está nas pessoas que o matem em constante funcionamento. constante funcionamento.

Para que as empresas e instituições Para que as empresas e instituições disponham de condições para enfrentar eventuais disponham de condições para enfrentar eventuais imprevistos é necessário que elas desenvolvam imprevistos é necessário que elas desenvolvam ações preventivas específicas: ações preventivas específicas:

• • plano de continuidade de negócio;plano de continuidade de negócio; • • plano de contingência; plano de contingência;

• • plano de recuperação de desastre;plano de recuperação de desastre; • • plano de resposta a incidentes; plano de resposta a incidentes;

• • análise de impacto nos negócios;análise de impacto nos negócios; • • análises críticas. análises críticas.

Ações preventivas sempre geram resultados Ações preventivas sempre geram resultados muito positivos. Toda empresa ou instituição, não muito positivos. Toda empresa ou instituição, não importa sua área de atuação, está sujeita à ação de importa sua área de atuação, está sujeita à ação de eventos externos. eventos externos.

Muitos deles são de natureza incerta e, Muitos deles são de natureza incerta e, portanto, não controláveis. portanto, não controláveis.

A robustez das informações é sempre um A robustez das informações é sempre um bom negócio. bom negócio.

Quanto mais a tecnologia avança, mais os Quanto mais a tecnologia avança, mais os parceiros comerciais, clientes e fornecedores, parceiros comerciais, clientes e fornecedores, exigem que as empresas e instituições tenham um exigem que as empresas e instituições tenham um ambiente confiável e robusto.ambiente confiável e robusto.

Em um contexto de competição crescente, os Em um contexto de competição crescente, os resultados obtidos pela organização dependem resultados obtidos pela organização dependem diretamente de sua capacidade de dar continuidade diretamente de sua capacidade de dar continuidade ao dia-a-dia de suas operações, mesmo face aos ao dia-a-dia de suas operações, mesmo face aos imprevistos. imprevistos.

Assim, para garantir a continuidade dos Assim, para garantir a continuidade dos negócios de uma empresa ou instituição, é negócios de uma empresa ou instituição, é necessário se criar soluções adequadas a esse fim.necessário se criar soluções adequadas a esse fim.

Essas soluções precisam ser compostas por Essas soluções precisam ser compostas por um processo de gerenciamento holístico um processo de gerenciamento holístico (amplo/completo). (amplo/completo).

Como alguns incidentes são inevitáveis, essa Como alguns incidentes são inevitáveis, essa solução permite avaliar potenciais impactos que solução permite avaliar potenciais impactos que ameaçam a empresa, protegendo sua reputação, sua ameaçam a empresa, protegendo sua reputação, sua marca e suas atividades de valor com a garantia da marca e suas atividades de valor com a garantia da continuidade do negócio e de suas operações, continuidade do negócio e de suas operações, mesmo em situações imprevistas. mesmo em situações imprevistas.

Estabilidade para a organização significa Estabilidade para a organização significa confiança para os clientes e usuários. confiança para os clientes e usuários.

Por esse motivo, tais soluções devem Por esse motivo, tais soluções devem envolver análises de processos de negócios e de envolver análises de processos de negócios e de riscos, além do desenvolvimento de planos e riscos, além do desenvolvimento de planos e recomendações, com base em normas e padrões recomendações, com base em normas e padrões como ISO 27001, ISO 17799, Cobit, ITIL, como ISO 27001, ISO 17799, Cobit, ITIL, PAS56/BS25999 e TR19. PAS56/BS25999 e TR19.

Os benefícios são: Os benefícios são:   

• • Estabilidade na condução dos negócios;Estabilidade na condução dos negócios;

• • Aumento de disponibilidade;Aumento de disponibilidade;

• • Contingênciamento; Contingênciamento;

• • Eficiência na recuperação;Eficiência na recuperação;

• • Agilidade nas ações;Agilidade nas ações;

• • Respeito aos clientes, aumentando a Respeito aos clientes, aumentando a confiança na organização;confiança na organização;

• • Melhoria da reputação;Melhoria da reputação;

• • Melhor relação com investidores;Melhor relação com investidores;

• • Redução do espaço para ações diretas dos Redução do espaço para ações diretas dos concorrentes.concorrentes.

É preciso uma estrutura abrangente, É preciso uma estrutura abrangente, completa e integrada.completa e integrada.

Para garantir este conjunto de resultados e Para garantir este conjunto de resultados e benefícios às instituições e empresas, as soluções benefícios às instituições e empresas, as soluções devem abranger atividades de consultoria, devem abranger atividades de consultoria, prestação de serviços, sistema de gestão, prestação de serviços, sistema de gestão, indicadores e transferência de conhecimento, todas indicadores e transferência de conhecimento, todas apoiadas por ferramentas específicas. apoiadas por ferramentas específicas.

Além disso, sua implementação deve Além disso, sua implementação deve funcionar de forma integrada com as atividades, funcionar de forma integrada com as atividades, processos, com a segurança da informação e a processos, com a segurança da informação e a gestão de riscos.gestão de riscos.

Além disso, sua implementação deve Além disso, sua implementação deve funcionar de forma integrada com as atividades, funcionar de forma integrada com as atividades, processos, com a segurança da informação e a processos, com a segurança da informação e a gestão de riscos.gestão de riscos.

Componentes do planejamento de Componentes do planejamento de contingências ("4R“):contingências ("4R“):

I. I. RespostaResposta: : é a reação imediata, sendo o é a reação imediata, sendo o

componente mais importante, pois engloba todos componente mais importante, pois engloba todos os demais. os demais.

II. II. ReassunçãoReassunção: : consiste em manter ou fazer consiste em manter ou fazer operar as funções mais críticas, para evitar maiores operar as funções mais críticas, para evitar maiores danos. danos.

III. III. RecuperaçãoRecuperação: : trata-se de fazer operar as trata-se de fazer operar as funções menos críticas, buscando a normalidade de funções menos críticas, buscando a normalidade de operação para desativar as alternativas. operação para desativar as alternativas.

IV. IV. RestauraçãoRestauração: : é o retorno ao processo é o retorno ao processo normal por meio da desativação das equipes normal por meio da desativação das equipes emergenciais e volta à produção plena e ou emergenciais e volta à produção plena e ou restabelecimento total dos serviços. restabelecimento total dos serviços.