Gestão da Continuidade de Negócios Fernando José Karl, AMBCI, CISSP, CISM fernando.karl@gmail.com 12/08/11 UNISINOS 2011-2 1
Competências da Disciplina Elaborar projetos e estratégias de continuidade de negócios; Executar projetos de gerenciamento da continuidade de negócios; Avaliar e testar planos de recuperação de desastres. 12/08/11 UNISINOS 2011-2 2
Disciplina Página da disciplina http://professor.unisinos.br/fkarl Arquivos Avisos E-mail para contato fkarl@unisinos.br Qualquer assunto da disciplina Dúvidas Sugestões Comentários Arquivos 12/08/11 UNISINOS 2011-2 3
Objetivos da Disciplina Objetivo Geral Oportunizar aos alunos o contato com as metodologias de desenvolvimento e gestão de planos de continuidade de negócios. Objetivos Específicos Compreender as metodologias Estudar o desenvolvimento um programa de continuidade de negócios Abordar todas as técnicas e práticas Desenvolver o conhecimento através da prática 12/08/11 UNISINOS 2011-2 4
Unidades Divisão da Disciplina: I Introdução à Continuidade de Negócio II Programa de Continuidade de Negócio III Entendendo a Organização IV Determinando as Estratégias V Desenvolvendo e Implementando Planos VI Testando, Mantendo e Revisando VII GCN na Cultura 12/08/11 UNISINOS 2011-2 5
Avaliações Itens de Avaliação Exercícios/Atividades Seminário Plano Final Prova 12/08/11 UNISINOS 2011-2 6
Avaliações Cálculo da nota final Grau A Seminário 20% Atividades 40% Prova 40% Grau B Atividades 50% Plano Final 30% Prova 20% 12/08/11 UNISINOS 2011-2 7
Presença A presença e participação em sala de aula será considerada para efeitos de aprovação. 12/08/11 UNISINOS 2011-2 8
Bibliografia Bibliografia básica MARINHO, F. Como proteger e manter seus negócios. São Paulo: Campus, 2002. BARNES, James C. A guide to business continuity planning. John Wiley, 2001. ABNT NBR 15999-1:2007. Gestão da Continuidade de Negócios Parte 1: Código de Prática. ABNT NBR 15999-2:2008. Gestão da Continuidade de Negócios Parte 2: Requisitos. Bibliografia complementar GRANCE, Tim; NOLAN, Tamara; BURKE, Kristin; DUDLEY, Rich; WHITE, Gregory; GOOD, Travis. Guide to test, training, and exercise programs for IT plans and capabilities. NIST, 2006. HILES, Andrew. Business continuity: best practices. Disaster Recovery Institute International, 2003. 12/08/11 UNISINOS 2011-2 9
Bibliografia Utilizem: Good Practice Guidelines Business Continuity Institute Disaster Recovery Institute Professional Guidelines 12/08/11 UNISINOS 2011-2 10
Normas Relacionadas BS 25999-1:2006, Business Continuity Management Part 1: Code of Practice BS 25999-2:2007, Business Continuity Management Part 2: Specification BS EN ISO 9001:2000, Quality management systems Requirements BS ISO/IEC 17799:2005, Information technology Security techniques Code of practice for information security management ISO Guide 73:2002, Risk management Vocabulary Guidelines for use in standards BS ISO/IEC 20000-1:2005, Information technology Service management Part 1: Specification BS ISO/IEC 20000-2:2005, Information technology Service management Part 2: Code of practice BS ISO/IEC 27001:2005, Information technology Security techniques Information security management systems Requirements 12/08/11 UNISINOS 2011-2 11
Normas Relacionadas NFPA 1600 Standard on Disaster/Emergency and Business Continuity Programs ISO/PAS 22399:2007 Business Continuity Management Handbook HB 221:2003 Business Continuity Management Prudential Standards GPS 222 & APS 232 with Guidance Notes AGN 222.1 & 232.1 Emergency Control Organisation & procedures for buildings, structures and workplaces AS 3745 12/08/11 UNISINOS 2011-2 12
Normas Relacionadas 12/08/11 UNISINOS 2011-2 13
Sites Úteis DRII http://www.drii.org The BCI http://www.thebci.org 12/08/11 UNISINOS 2011-2 14
Continuidade de Negócios O que é continuidade? 12/08/11 UNISINOS 2011-2 15
Termos e definições Termos e Definições 12/08/11 UNISINOS 2011-2 16
Termos e definições BCP Business Continuity Plan DRP Disaster Recovery Plan BIA Business Impact Analysis RTO Recovery Time Objective RPO Recovery Point Objective MTO Maximum Time Outage MTBF Mean Time Between Fail MTTR Mean Time To Repair WRT - Work Recovery Time 12/08/11 UNISINOS 2011-2 17
Termos e definições Programa de Administração de Crise Plano de Continuidade Operacional Período de Retorno a Normalidade EVENTO Processos Componentes PCN = PAC + PCO + PRD Fonte: Módulo Security Plano de Recuperação de Desastres 12/08/11 UNISINOS 2011-2 18
Termos e definições BCP = Business Continuity Plan = Plano de Continuidade de Negócios = PCN BIA = Business Impact Analysis = Análise de Impacto de Negócio = AIN PAC = Plano de Administração de Crise DRP = Disaster Recovery Plan = Plano de Recuperação de Desastres = PRD PCO = Plano de Continuidade Operacional 12/08/11 UNISINOS 2011-2 19
Termos e definições Maximum Tolerable Outage (MTO) - o tempo máximo de tempo que um negócio pode tolerar na falta ou indisponibilidade de uma função particular do negócio. Funções diferentes do negócio terão diferentes MTDs. Se uma função de negócio é categorizada como missão-crítica, ou Categoria 1, este terá o menor MTD. Há uma correlação entre a criticidade de uma função de negócio e seu tempo máximo de indisponibilidade. Indisponibilidade consiste em dois elementos, o tempo de recuperação do sistema e o tempo do trabalho de recuperação. 12/08/11 UNISINOS 2011-2 20
Termos e definições Recovery Time Objective (RTO) - O tempo disponível recuperar sistemas e recursos (tempo de recuperação dos sistemas). É um dos componentes do MTD. Por exemplo, se um processo crítico de negócio tem um MTD de três dias, o RTO pode ser um dia (Dia 1). Este é o tempo que você levará para colocar os sistemas no ar e rodando. Os dois dias restantes serão usados para o trabalho de recuperação (Work Recovery Time). 12/08/11 UNISINOS 2011-2 21
Termos e definições Recovery Point Objective (RPO) É o ponto requerido pelo negócio para a recuperação dos dados contidos nos sistemas. 12/08/11 UNISINOS 2011-2 22
Termos e definições Work Recovery Time (WRT) - O segundo segmento que exprime o MTD. Se o seu MTD é três dias, o Dia 1 pode ser o seu RTO e os Dias 2 e 3 podem ser o seu WRT. Este toma tempo para colocar funções criticas de negócio no ar e rodando uma vez que os sistemas (hardware, software, e configurações) estão restaurados. 12/08/11 UNISINOS 2011-2 23
Termos e definições Desde uma perspectiva de negócios, há passos adicionais que precisam ser dados antes de retornar ao negócio. Estes passos críticos e o tempo precisa estar dentro do MTD. De outra maneira, você perderá seus requisitos de MTD e potencialmente colocará seu negócio em risco. 12/08/11 UNISINOS 2011-2 24
Unidade UNIDADE I INTRODUÇÃO 12/08/11 UNISINOS 2011-2 25
BCM Pelo BCI, BCM é: Gestão da Continuidade de Negócios é um processo holístico de gestão que identifica potenciais impactos que ameaçam a organização e fornece um framework para construir resiliência e a capacidade de uma resposta efetiva que protege os interesses de suas partes interessadas chaves, reputação, marca e atividades de criação de valor. 12/08/11 UNISINOS 2011-2 26
Introdução Fonte: BS25999-2 12/08/11 UNISINOS 2011-2 27
Introdução Gestão do Programa de GCN Possibilita que a capacidade de CN seja estabelecida (se necessário) e manida de forma apropriada ao tamanho e complexidade da organização 12/08/11 UNISINOS 2011-2 28
Introdução Entendendo a Organização Permite a priorização dos produtos e serviços da organização e a urgência das aividades que são necessárias para fornecê- los. Estabelece os requisitos que irão definir a seleção das estratégias de GCN apropriadas 12/08/11 UNISINOS 2011-2 29
Introdução Determinando a Estratégia Permite que uma resposta apropriada seja escolhida para cada produto ou serviço, considerando um nível de operação e o tempo aceitável. As escolhas levarão em conta a resiliência e as opções de contramedidas já existentes. 12/08/11 UNISINOS 2011-2 30
Introdução Desenvolvendo e Implementando Resulta na estrutura de gerenciamento de incidentes, con7nuidade de negócios e planos de recuperação de negócios que detalhem os passos a serem tomados durante e depois de um incidente, para se manter ou restaurar as operações 12/08/11 UNISINOS 2011-2 31
Introdução Testando, Mantendo e Revisando Testar, manter, rever e auditar o GCN faz com que a organização seja capaz de: demonstrar a que ponto suas estratégias e planos estão completos, atualizados e precisos; e iden7ficar oportunidades de melhoria. 12/08/11 UNISINOS 2011-2 32
Introdução GCN na Cultura da Organização A inclusão da GCN na cultura da organização permite que ela se torne parte dos valores da organização, dando confiança às partes interessadas quanto à capacidade da organização de sobreviver a interrupções. Conscien7zar e Treinar 12/08/11 UNISINOS 2011-2 33
DRII Divide o conhecimento em 10 áreas: 1. Project initiation and management 2. Risk evaluation and control 3. Business Impact Analysis 4. Developing Business Continuity Strategies 5. Emergency Response and Operations 6. Developing and Implementing Business Continuity Plans 7. Awareness and Training programs 8. Exercising and Maintaining Business Continuity Plans 9. Public Relations and Crisis Coordination 10. Coordination with External Agencies 12/08/11 UNISINOS 2011-2 34
BCI Divide as boas práticas em: 1. BCM Policy & Programme Management 2. Understanding the Organisation 3. Determining Business Continuity Strategy 4. Developing & Implementing a BCM Response 5. Exercising, Maintaining & Reviewing BCM Arrangements 6. Embedding BCM in the Organisation s Culture 12/08/11 UNISINOS 2011-2 35
Introdução 12/08/11 UNISINOS 2011-2 36
Atividade para Próxima Aula Entrega da descritivo da organização Apresentando: Principal atividade da organização Canais de venda Produtos ou serviços oferecidos Faturamento por produto Estrutura interna organizacional 12/08/11 UNISINOS 2011-2 37
Seminário Será realizado um seminário com 1 hora de apresentação para cada grupo, tendo como objetivo apresentar um dos seguintes tópicos: Área 2 do DRII - RISK EVALUATION and CONTROL Área 3 do DRII - BUSINESS IMPACT ANALYSIS Seção 2 do GPG 2008 - UNDERSTANDING THE ORGANISATION Seção 4 da BS 25999-1:2006 12/08/11 UNISINOS 2011-2 38