Como escrever um plano de recuperação de desastres (e porque precisas de um)

Qualquer que seja a forma que um desastre assuma, a melhor maneira de lidar com ele é estar preparado, recorrendo a um plano de recuperação de desastres bem pensado. Manter a calma e a serenidade sob pressão é muito mais fácil quando tens alguém (ou algo) para te guiar numa situação má. As catástrofes assumem muitas formas, desde catástrofes naturais a ciberataques e acidentes.

Os ciberataques, como o ransomware, podem ser desastrosos para uma empresa, muitas vezes interrompendo completamente o trabalho. O impacto de perdas acidentais de documentos ou de uma violação maliciosa da segurança pode ser grave, incluindo a perda de reputação, multas regulamentares e tempo de inatividade do sistema e da empresa. A criação de um plano de continuidade do negócio acionável dá a uma organização a melhor hipótese possível de minimizar qualquer impacto de uma catástrofe, como uma inundação, um incêndio ou um ciberataque, e de reduzir o tempo de recuperação.

Aqui tens o nosso guia sobre o que é um plano de recuperação de desastres e como redigir um.

O que é um plano de recuperação de desastres?

No Guia do Mochileiro das Galáxias, a Enciclopédia Galáctica começa com as palavras “Não entres em pânico“. Um plano de recuperação de desastres (DR) eficaz não precisa de ter essas palavras estampadas na capa, porque é um guia fundamentado para lidar com um desastre. Um plano de recuperação de desastres é o guia de instruções documentado de uma organização para responder a incidentes, incluindo desastres naturais como inundações, falhas de energia, ciberataques, perda de dados, etc. O plano apresenta uma série de estratégias que ajudam a minimizar o impacto de uma catástrofe; o objetivo é manter as operações comerciais e retomar o trabalho o mais rapidamente possível.

Porque é que precisas de escrever um plano de recuperação de desastres?

As coisas más acontecem e, muitas vezes, sem aviso prévio, resultando em perturbações generalizadas. As tempestades de 2015-2016 no Reino Unido, por exemplo, tiveram um impacto económico de 1,6 mil milhões de libras, com as empresas a gastarem mais de 500 milhões de libras em danos causados pelas inundações. Os ciberataques são também um desastre à espera de acontecer: em 2020, 65% das empresas de média dimensão sofreram um ciberataque, de acordo com um inquérito do DCMS de 2021. As ameaças internas também podem ser desastrosas, com um aumento dos custos, de acordo com o The Ponemon Institute: nos últimos 12 meses, o custo médio anual de uma violação interna aumentou 31% para 11,45 milhões de dólares (8,27 milhões de libras).

As catástrofes são muitas vezes inevitáveis, mas podem ser geridas para minimizar o seu impacto – é aqui que entra o plano de recuperação de desastres. Um plano de recuperação de desastres foi concebido para:

• Limita o impacto da catástrofe na empresa
• Minimiza o impacto nos processos e operações comerciais
• Minimiza quaisquer danos físicos ou cibernéticos
• Reduzir os custos associados à catástrofe
• Dá formação ao pessoal, aos fornecedores e às partes interessadas sobre os processos identificados para atenuar as catástrofes
• Identifica formas de trabalhar enquanto a catástrofe está a ser tratada
• Procedimentos de recuperação pós-catástrofe

Como redigir um plano de recuperação de desastres

Os planos de recuperação de desastres são normalmente compostos por cinco componentes principais:

1. Funções e responsabilidades
2. Quais são as áreas de risco?
3. Efectua uma avaliação do impacto nas empresas (BIA)
4. Auditoria de activos
5. Cópias de segurança dos dados

Funções e responsabilidades

Cria uma equipa de recuperação de desastres que será responsável pelo desenvolvimento e manutenção do plano de recuperação de desastres. Identifica o pessoal-chave envolvido na execução das tarefas relacionadas com o tratamento e a recuperação de uma catástrofe. A divulgação eficaz de informações e canais de comunicação sólidos são essenciais para um plano de recuperação de desastres eficaz. Coloca os detalhes do pessoal, incluindo informações de contacto e de reserva, num registo facilmente acessível no plano de recuperação de desastres. Esta será a tua lista principal de contactos. Deves também criar uma equipa de contactos de reserva.

Todos os funcionários devem ser informados sobre o plano de recuperação de desastres e quem é responsável pela execução do plano em caso de desastre. Isto fará parte de um programa de formação mais vasto em planeamento de catástrofes para que todos os funcionários compreendam o que acontece em caso de catástrofe.

Quais são as áreas de risco?

Define as áreas de risco associadas a uma catástrofe. Normalmente, divide as catástrofes em tipos, por exemplo, naturais, criadas pelo homem, relacionadas com a tecnologia. Cada tipo de catástrofe tem normalmente as suas próprias estratégias de mitigação. Descreve quais são essas estratégias de mitigação e como cada uma é implementada.

Efectua uma avaliação do impacto nas empresas (BIA)

A gestão eficaz de uma catástrofe exige a definição de prioridades. Uma Avaliação de Impacto no Negócio (BIA) analisa os tipos de actividades comerciais e associa-os a níveis de risco em termos da sua importância para a continuidade das operações da empresa. Isto é mapeado para os requisitos de recursos das operações comerciais críticas que são necessárias para garantir a resiliência e a continuidade operacionais quando o negócio é interrompido. Em termos de planeamento de catástrofes, um plano de recuperação de catástrofes centra-se normalmente nas principais áreas de negócio, como a geração de receitas e os salários. O objetivo, no entanto, é colocar todas as operações em funcionamento o mais rapidamente possível.

Auditoria de activos

Como parte de uma avaliação de impacto mais ampla, o plano de recuperação de desastres deve fornecer uma auditoria das aplicações, documentos, hardware, etc. com maior impacto e a sua importância para as operações comerciais. Este é um processo contínuo, uma vez que estes itens podem mudar rapidamente.

Cópias de segurança

Ter cópias de segurança de dados de documentos importantes e sensíveis é uma segurança contra falhas. Os documentos essenciais para uma empresa podem ser perdidos ou danificados numa catástrofe ou encriptados em ataques de ransomware. Certifica-te de que a tua política inclui uma estratégia de cópia de segurança e recuperação que abranja a seguinte lista de verificação:

• Quem é responsável pelas cópias de segurança dos dados?
• O que guardar e com que frequência efetuar cópias de segurança
• Como o guardar (tipo de sistema de cópia de segurança utilizado – isto é especialmente importante para a resistência ao ransomware)
• Como testar o sistema de backup e com que frequência
• Como recuperar a partir de cópias de segurança

Também é importante lembrar que um plano de recuperação de dados é um documento vivo que deve ser atualizado regularmente. A criação de um plano de recuperação de dados robusto é um processo intensivo que se aprofunda na sua organização e na forma como irá lidar com o pior cenário possível. Tem muitas partes críticas para o negócio e a colaboração com especialistas terceiros deve ser considerada para garantir um plano mais adequado.

O teu plano de recuperação de desastres está pronto?

Todos os planos de recuperação de desastres são únicos para uma organização: um plano de recuperação de desastres aprofunda-se no núcleo do negócio de uma organização e na forma como esta funciona. Mas um plano de recuperação de desastres tem as pessoas no seu centro. A formação do pessoal sobre a implementação dos princípios de um plano de recuperação de desastres é vital para garantir que o plano é executado eficazmente. O nosso pessoal é o meio para evitar uma catástrofe, mas precisa de estar plenamente consciente do seu papel para evitar ou minimizar o impacto dessa catástrofe.