PLANO DE CONTINGÊNCIA DE TI: PREPARANDO SUA EMPRESA PARA REAGIR A DESASTRES E MANTER A CONTINUIDADE DO NEGÓCIO Daniel Andrade², Eric Vinicius 2, Gabriel Mafra 2, Lúcio Flávio², Marcos Henrique² e Ulisses Sepulvedo², Edilberto Silva 2 2 Pós-Graduação em Segurança da Informação, FACSENAC-DF, Brasília-DF 1 daniel.tecnologia.ti@gmail.com; ericovis@gmail.com; gabriel_d.m@hotmail.com; lucioflavio@live.com; marcoshhenrique@gmail.com; sepulvedo@hotmail.com; edilms@yahoo.com Resumo. Não há uma empresa que não precise de um sistema de informação seja para auxiliar na gerência dos negócios, para tratamento dos dados, a fim de gerar informação e/ou para auxiliar na tomada de decisão. Com a dependência cada vez maior destes sistemas, as empresas se veem obrigadas a garantir a sua disponibilidade, tanto para prestação de um serviço crítico quanto para manter os negócios sempre disponíveis não importa o porte da empresa um plano de contingência é fundamental para garantir disponibilidade a estes sistemas. A combinação do Plano de Administração de Crise, do Plano de Continuidade Operacional e do Plano de Recuperação de Desastre perfazem o plano de contingência o qual trata os riscos de um sistema de informação ficar indisponível, preservando assim a qualidade dos negócios ou do serviço prestado. Abstract: There not a company that does not need an information system for to help run the business for data processing in order to generate information and / or to assist in decision making. With the increasing reliance of these systems, companies find themselves obliged to ensure their availability, for to provide a critical service or to keep your business always available no matter the size of the company a contingency plan is essential to ensure the availability these systems. The combination of the of Plans Crisis Management Plan, Business Continuity Plan and the Disaster Recovery Plan make up of the Contingency Plan which seeks to address the risk of an information system becomes unavailable thus preserving the quality of business or service. Palavras-chave: Sistema de Informação, Disponibilidade, Plano de Contingência.
2 1 INTRODUÇÃO A informação tornou-se um dos ativos mais importantes para a sobrevivência e sucesso de uma organização. Independente do porte da empresa, o sistema de informação utilizado é a chave principal para seu funcionamento. Ele contribui com a qualidade (do atendimento, da entrega, do produto, da prestação do serviço), proporciona a visão para negócios futuros, dá presteza à busca da informação desejada e é indispensável para a continuidade do negócio. Sem um sistema de informação adequado, a empresa demoraria dias para realizar seus processos. Imagine uma empresa que possui um site para venda de seus produtos na internet. Se este ficar fora do ar por dez minutos, certamente ela perderá um grande volume de vendas. Num outro caso, uma empresa provedora de internet, com hospedagem e outros serviços, sua indisponibilidade por algumas horas causaria um grande transtorno para outras empresas e seus clientes. Toda essa importância dada às informações, aos sistemas e ativos da empresa leva à reflexão do quanto se está preparada para a ocorrência de um incidente. Tendo em vista tais fatores e muitos outros que poderiam ser mencionados, fazse importante adotar um plano de contingenciamento, não só em razão dos equipamentos e os processos em tecnologia da informação ser falhos como também pelo fato de estarem sujeitos a inúmeros riscos dentro ou fora da organização. O intuito deste artigo é apresentar o desenvolvimento de um plano de contingência a fim de garantir a continuidade do negócio, abordando seus conceitos, fases e melhores práticas que compõem o plano de contingência (GUINDANI, 2008). Com plano de contingência, que tem por objetivo descrever os passos a seguir para restabelecer os serviços caso haja uma paralisação nos sistemas de informação ou nos serviços prestados, bem elaborado, testado e principalmente incorporado à cultura da organização é possível mitigar ao máximo o impacto da concretização de um risco. É importante assim conscientizar os profissionais, principalmente de TI, a importância de estarem preparados para desastres de modo a criarem medidas para que os impactos sejam os mínimos possíveis. A estruturação deste documento permitirá saber, em primeiro lugar, a importância do Gerenciamento de Continuidade do Negócio e sua ligação com a Segurança da
Informação. Em seguida será apresentado o conceito, as fases e melhores práticas para um Plano de Contingência incluindo os planos de Recuperação de Desastres, Plano de Administração de Crises e Plano de Continuidade Operacional. As melhores práticas, ou boas práticas, mais difundidas serão avaliadas e apresentadas, neste trabalho, de modo a auxiliar na elaboração de um plano de contingência de TI que atenda a qualquer empresa independente do ramo de atividade e da configuração do ambiente, será abordado tópicos que são essenciais a qualquer empresa que utilize um sistema de informação em sua estrutura. 2 PLANO DE CONTINGÊNCIA 3 Segundo AMARO (2004), o plano de contingência deve ser parte da política de segurança de uma organização complementando assim o planejamento estratégico desta. Nele são especificados procedimentos pré-estabelecidos a serem observados nas tarefas de recuperação do ambiente de sistemas e negócios, de modo a diminuir o impacto causado por incidentes que não poderão ser evitados pelas medidas de segurança em vigor. Para SILVA et al. (2009), mais de um plano é necessário para complementar o plano de contingência, para cada processo do negócio um escopo de procedimentos é detalhado para atender o estado de contingência. Os planos de continuidade operacional (PCO), de administração de crises (PAC) e de recuperação de desastres (PRD) cumprem esse propósito. Os autores afirmam ainda que o sucesso na execução desses planos depende do estabelecimento adequado de rotinas de acionamento para cada um dos planos de continuidade, ou seja, são necessários parâmetros de tolerância para sinalizar o início da operacionalização da contingência de modo a evitar acionamentos prematuros ou tardios. SILVA et al. (2009), apresentam o plano de administração de crises como um documento que define as responsabilidades dos membros das equipes envolvidas com o acionamento da contingência antes, durante e depois da ocorrência do incidente, além de definir os procedimentos a serem executados pela mesma equipe no período de retorno à normalidade. Afirmam que o plano de continuidade operacional definiu os procedimentos para contingenciamento dos ativos que suportam cada processo de negócio com objetivo de diminuir o tempo de
indisponibilidade e os impactos ao negócio. Para os autores, o plano de recuperação de desastres tem o propósito de definir um plano de recuperação e restauração das funcionalidades dos ativos afetados que suportam os processos de negócio, buscando restabelecer o ambiente e as condições originais de operação, no menor tempo possível. A metodologia proposta neste trabalho é com o objetivo de orientar as empresas em como elaborar um plano de contingência dentro de seu ambiente, abordando os três planos que integram o plano de contingência que são: Plano de Administração de Crise, Plano de Continuidade Operacional e Plano de Recuperação de Desastre. Na apresentação do mapeamento (figura 1), que é o mapeamento de processos e atividades necessárias para elaboração e implantação de Plano de Contingência, é abordado de maneira bem singular a necessidade de se ter, previamente, uma política de segurança publicada e um ciclo de tratamento de risco na qual envolve a identificação dos ativos, as vulnerabilidades destes ativos, quais os riscos identificados e quais os riscos que serão de fato tratados. 2.1 Plano de Administração de Crise Para GUINDANI (2008), a administração de crises trata-se de algo contínuo, abrangente e integrado que as organizações executam procurando ao mesmo tempo entender o que se passa e se proteger evitando um impacto ainda maior na empresa. O principal objetivo do Plano de Administração de Crises (PAC) é definir os procedimentos a serem executados até o retorno normal das atividades da organização. Esse plano define os passo a passo o funcionamento das equipes antes, durante e depois da ocorrência do incidente. De acordo com GEHRKE (2008), as empresas devem elaborar um manual para Administração de Crises. O autor fala também que cada empresa necessita criar um comitê gestor de crise, que se reúna pelo menos uma vez por semestre e a cada novo evento significativo, para analisar os planos e os cenários adversos que podem influenciar a empresa. Entre as atribuições desse comitê destacam-se, entre outras: a) Saber quais as partes da estrutura da empresa são essenciais e não podem parar; 4
b) Conhecer bem as instalações e serviços da empresa, nas diversas unidades; c) Estabelecer a função principal de cada envolvido; d) Reunir-se para discutir e treinar, pelo menos semestralmente, uma eventual situação de risco da sua empresa ou uma notícia de outra empresa que possa servir de aprendizado; e) Ter autoridade e autonomia para falar e agir em nome da empresa; f) Ter sempre um plano B para cada procedimento de crise desse manual; 5 2.2 Plano de Continuidade Operacional O Plano de Continuidade Operacional tem como finalidade prover a organização de procedimentos, controles e regras que possibilitem a continuidade das operações, ou seja, manter as operações vitais de uma organização, mesmo na eventualidade de um desastre em suas instalações, minimizando perdas de negócios e impactos na entrega de produtos e serviços aos seus clientes e usuários. Para obtenção de sucesso nas ações dos planos, é necessário estabelecer adequadamente os gatilhos de acionamento para cada plano de continuidade. Estes gatilhos são parâmetros de tolerância usados para sinalizar o início da operacionalização da contingência, evitando acionamentos prematuros ou tardios. Ao ocorrer um desastre, a equipe do plano de administração de crises devera fazer contato com a equipe responsável pela administração do Plano de Continuidade Operacional, o qual entrara em ação para não deixar que os processos da empresa se prejudiquem por conta de ativos empresariais ficarem indisponíveis por longo tempo. Após o retorno à normalidade, relatórios deverão ser entregues pelas equipes que operacionalizaram o plano ao Gestor do plano, com informações sobre o evento, apontando características do objeto da contingência, percentual de recurso afetado, quantidade de recursos afetados, tempo de indisponibilidade e impactos financeiros. 2.3 Plano de Recuperação de Desastre Para assegurar a continuidade do negócio é necessário mitigar os riscos, porém é impossível eliminar todas as vulnerabilidades de um sistema, principalmente de um
sistema de grande porte, e, além disto, há situações que não podem ser facilmente previstas, o que justifica a criação de um plano de recuperação de desastres, este, deve oferecer a descrição das ações necessárias para a retomada dos serviços, ou ao menos os serviços críticos, descrevendo os passos para disponibilizar os ativos envolvidos no desastre. Resumidamente, um bom Plano de Recuperação de Desastres (PRD) precisa delimitar o que será mantido pelo plano, a analise deverá cobrir os efeitos das perdas de dados e o corte da comunicação com os funcionários, fornecedores e clientes. Além disso, é necessário identificar quais eventos denotam possíveis desastres, quais pessoas na empresa têm autorização para declarar um desastre e, consequentemente, colocar o plano em ação. O documento deve oferecer ainda a sequência de eventos necessária para preparar o local de backup, uma vez declarado o desastre, o plano deve declarar as funções e responsabilidades de todo o pessoal envolvido na execução do plano, deve ainda definir o inventário do hardware e software necessários para restaurar a produção. 6 3 MAPEAMENTO DE ATIVIDADES PARA ELABORAÇÃO DO PLANO DE CONTINGÊNCIA Na elaboração de um Plano de Contingência é necessário identificar quais eventos denotam possíveis desastres, quais pessoas na empresa têm autorização para declarar um desastre e, consequentemente, colocar o plano em ação. O documento deve oferecer ainda a sequência de eventos necessária para preparar o local de backup, uma vez declarado o desastre, o plano deve declarar as funções e responsabilidades de todo o pessoal envolvido na execução do plano, deve ainda definir o inventário do hardware e software necessários para restaurar a produção. [SILVA, 2011] A figura 1 mostra o mapeamento de atividades genéricas para elaboração de um o Plano de contingência. As atividades descritas neste modelo foram mapeadas de modo geral e a priori são direcionadas a quaisquer tipos de empresas ou ramos de atividade. Todavia, como todo plano, principalmente os relacionados à segurança, é cogente a devida especialização em tópicos e áreas específicas da organização
alvo, sendo assim necessário adequar às especificidades exigidas ao contexto da empresa e nível de segurança desejado. 7
8 Figura 1 - mapeamento de atividades para elaboração do plano de contingência.
9 3.1 Atividades do fluxo A seguir, é relacionada, de forma resumida, a descrição de cada atividade mostrada no mapeamento de atividades para elaboração do plano de contingência (figura 1). 1. A alta administração deverá solicitar a elaboração de uma política de seguraça. 2. A coordenação de segurança elabora a política de segurança na qual inclui as regras que a norteia. 3. A identificação e a classificação dos ativos será feita pela equipe de rede juntamente com a de segurança para identificar os ativos mais críticos. 4. A análise de risco consiste no uso das informações sobre a organização para identificar fontes e estimar o risco. 5. Após análise de risco, estipula-se um valor limite para considerar o risco aceitável, acima disto o risco deve ser tratado e para isso medidas de tratamento devem ser adotadas. 6. No tratamento dos riscos as medidas definidas devem ser implementadas. 7. A alta administração precisa aprovar a politica de segurança elaborada pela coordenação de segurança da empresa. 8. Se aprovada, a política de segurança elaborada, a mesma tem que ser publicada para que tenha validade. 9. No plano de administração de crise uma equipe de comunicação é fundamental para reportar ao público o status da crise. 10. A forma como as informações serão passadas, tanto para o público interno quanto externo, deve ser planejada. 11. Uma lista com os contatos principais deve ser feita para que no momento da ocorrência de uma crise seja fácil contatá-los. 12. Mapear os sistemas utilizados pela empresa juntamente com as versões para ter um check list de sistemas. 13. Identificar os pontos mais vulneráveis na organização. 14. Para cada ponto vulnerável identificado um plano de crise deverá ser elaborado. 15. Treinar as equipes é fundamental para que todos estejam alinhados. 16. Apoiado no tratamento de risco, ações a fim de evitar uma crise devem ser tomadas. 17. Com o check list de sistema, deve-se preparar uma contingência para que os sistemas não sejam interrompidos. 18. Determinar como deverá ser feita a revisão do plano. 19. Revisar o plano de crise desde sua elaboração. 20. Após as revisões, consolida-se o plano de administração de crise. 21. Para o plano de continuidade operacional é importante levantar os processos de negócio da empresa para identificar quais ativos são mais importantes. 22. Listar os ativos que dão suporte aos processos de negócio. 23. Estabelecer uma contingência para os ativos levantados. 24. O teste de chave consiste em desativar os equipamentos principais para garantir que a contingência está funcionando. 25. Determinar como deverá ser feita a revisão do plano.
26. Revisar o plano conforme planejado. 27. Após as revisões, consolida-se o plano de continuidade operacional. 28. O plano de recuperação de desastre a ser elaborado depende do quanto a empresa está disposta a investir, por isso, uma proposta com as possíveis opções deverá ser apresentada. 29. Elabora-se o plano de recuperação de desastre conforme o aprovado pela alta administração. 30. Compor uma equipe para agir no momento de desastre é de extrema importância. 31. De acordo com o planejamento, a estrutura escolhida deverá ser montada. 32. Para testar a estrutura montada uma simulação deve ser feita. 33. Durante a simulação, caso não seja bem sucedida, deve-se voltar a situação normal e corrigir os erros encontrados. 34. Caso a simulação seja bem sucedida, outra simulação deve ser feita, a de retornar ao estado normal das operações. 35. Caso o retorno das operações normais não seja bem sucedido, outras equipes devem ser mobilizadas para o retorno. 36. O CSO deve confirmar a eficiência do plano de recuperação de desastre, após a ratificação o plano de recuperação de desastre é composto. 4 CONCLUSÃO 10 Cada vez mais as organizações são dependentes dos processos da Tecnologia da Informação. Diante deste cenário, as empresas têm buscado meios de garantir a disponibilidade dos serviços, uma das maneiras de garantir isso são os acordos de níveis de serviços, na qual estabelece um percentual de disponibilidade que deve ser cumprido. Desta forma, faz-se necessário elaborar um contingenciamento da infraestrutura, dos sistemas e dos serviços utilizados nas empresas. Neste artigo é proposto um modelo de construção do Plano de Contingência na qual conta com a elaboração de outros três planos (Plano de Administração de Crise, Plano de Continuidade Operacional e Plano de Recuperação de Desastre) que o compõem. Antes da elaboração de qualquer plano é fundamental o apoio da alta direção/administração da organização, para que todos tenham ciência das políticas e regras que norteiam estes planos, e de uma rígida cultura organizacional voltada para seus colaboradores, a fim de que todos tenham a consciência da importância de um plano de contingência. O Plano de Administração de Crise entra em ação no momento em que a crise de fato ocorrer. Neste momento é fundamental uma equipe preparada para administrar
as etapas que deverão ser seguidas até a restauração normal das atividades. Uma equipe de comunicação deverá atuar a fim de passar as informações sobre os fatos. O Plano de Continuidade Operacional está relacionado aos ativos da empresa, sejam eles, humanos ou não. A preocupação aqui é em manter os ativos que dão suporte aos processos de negócio sempre disponíveis. Já o Plano de Recuperação de Desastre tem o intuito de agir no momento de um desastre (terremoto, enchente, acidentes aéreos envolvendo a sede da empresa), aqui o ideal é que haja uma estrutura longe da sede da empresa e que possa ser acionado o mais rápido possível em caso de perda da infraestrutura principal. O mapeamento gerado tem a finalidade de documentar as atividades necessárias para consolidação do plano de contingência. Esta documentação é de extrema importância, uma vez que as fases a serem seguidas, para a elaboração de todo plano de contingência, poderão ser efetuadas por qualquer pessoa que venham a assumir a Gestão de Segurança da Informação da organização, até porque, eventualmente, os gestores não têm a ideia de como iniciar a elaboração de um plano de contingência. Apesar dos três planos serem elaborados por equipes diferentes, há uma relação entre eles. O Plano de Continuidade Operacional cuida dos ativos de forma que não seja necessária a atuação da equipe do Plano de Administração de Crise. A equipe de administração de crise subsidia na continuidade operacional ao elaborar as ações preventivas, apoiada na análise de risco, e ao preparar os sistemas de emergência, em caso de incidente com algum ativo. Em caso de ocorrência de um desastre, a equipe de recuperação de desastre certificará que o site backup passará a atuar como infraestrutura até o retorno das atividades normais. Mas, não é simples assim, esta equipe necessita do apoio da equipe de administração de crise para agir na parte de comunicação e para seguir os procedimentos adotados com a equipe de continuidade operacional com o intuito de recuperar os ativos e restabelecer os processos de negócio. Portanto, o Plano de Contingência norteia a organização no sentido de prevenção de incidentes bem como a recuperação em caso de desastres e em momentos de crise. 11
12 5 REFERÊNCIAS ABNT NBR ISO/IEC 27002: 2005. Código de Prática para a Gestão da Segurança da Informação. Associação Brasileira de Normas Técnicas. ABNT NBR ISO/IEC 15999-1: 2007. Gestão da Continuidade de Negócios. Código de Prática. Associação Brasileira de Normas Técnicas. AMARO, Mariza de O. S. Sua organização está preparada para uma contingência? Programa de Pós-Graduação de Engenharia de Sistemas e Computação. Rio de Janeiro: UFRJ, 2004. Disponível em:<https://www.mar.mil.br/sdms/artigos/6816.pdf>. Acesso em 12/04/2011. GEHRKE, Luciano. Gerenciamento de Crise. Manual, São Paulo, 2008. Disponível em: <http://www.gerenciamentodecrise.com.br/site/default.asp>. Acesso em 18/04/2011. GUINDANI, Alexandre. Gestão da Continuidade dos Negócios. Revista de Pós-graduação da UPIS. V.1 2008. Disponível em: <http://www.upis.br/revistavirtual/pos_graduacao/revista_integracao_pos_final.pdf #page=54>. Acesso em 18/04/2011. ROSS, Dave. Como funcionam os planos de recuperação de desastre. Disponível em <http://empresasefinancas.hsw.uol.com.br/como-funcionam-osplanos-de-reconstrucao-desastres.htm>. Acesso em 22/04/2011. SILVA, Ronaldo; MOURA, Viviane da Cunha; DEPONTI, Euclides; ROSA, Vinícius. Plano de Continuidade de Negócios: Planejamento. Universidade Católica de Brasília, 2007. Brasília, DF. Disponível em:<http://www.lyfreitas.com/artigos_mba/artpcn.pdf>. Acesso em 23/04/2011. SILVA, Edilberto M. Políticas de Segurança e Planos de Continuidade de Negócios: Texto base da disciplina da Pós-Graduação Segurança da Informação FACSENAC/DF, 2011. Disponível em: http://www.edilms.eti.br/?cat=44. em 15 abr. 2011.
13 6 MINI CURRÍCULOS Ulisses Sepulvedo Pereira, Pós-Graduando em Segurança da Informação FacSenac 2011, Bacharel em Administração de Empresas - Universidade de Brasília UnB (2010) e Tecnólogo em Gestão da Tecnologia da Informação - Faculdades Senac Brasília - DF. Empregado público do BRB - Banco de Brasília S/A, exercendo função de Supervisor de Processos no Núcleo de Controle da Produção (NUCOP) da Diretoria de Tecnologia (DITEC) desde Outubro de 2005. Principais temas de interesse: Segurança de redes, Criptografia, Cloud Computer e novas tecnologias. Lucio Flavio Lima Chagas, Pós-Graduando em Segurança da Informação FacSenac 2011 e Tecnólogo em Gestão da Tecnologia da Informação FacSenac. Servidor Público lotado no MDIC (Ministério do Desenvolvimento, Indústria e Comércio Exterior) exercendo o cargo de Agente Administrativo na Coordenação Geral de Modernização e Informática desde Março de 2010. Principais temas: Segurança de Redes, Banco de Dados, Sistemas Operacionais e novas tecnologias. Daniel Andrade Carvalho Ferreira, Pós-Graduando em Segurança da Informação FacSenac 2011, Tecnólogo em Gestão da Tecnologia da Informação - Faculdades Senac Brasília - DF e Tecnico em Sistemas da Informação - Escola Técnica de Ceilandia (ETC). Empregado da empresa Pasquali & Freire, exercendo função de Supervisor de Equipe de Pesquisa Científica. Principais temas de interesse: Computação Forence, Analise de sistemas, Gestao de Segurança da Informação e novas tecnologias. Gabriel Duarte Mafra, Pós-Graduando em Segurança da Informação FacSenac 2010, e Tecnólogo em Gestão da Tecnologia da Informação - Faculdades Senac Brasília - DF. Trabalha na área privada - Faculdades Projeção, exercendo a função de Técnico de redes desde Janeiro de 2011. Principais temas de interesse: Segurança de redes, Forense Computacional, Análise de banco de dados e novas tecnologias. Eric Vinicius Magalhães de Oliveira, Pós-Graduando em Segurança da Informação FacSenac 2011 e Tecnólogo em Gestão da Tecnologia da Informação - Faculdades Senac Brasília - DF. Principais temas de interesse: Gestão de TI, Criptografia, Redes e Software Livre. Marcos Henrique Pereira Porto da Fonseca, Pós-Graduando em Segurança da Informação FacSenac 2001, Tecnólogo em Gestão da Tecnologia da Informação - Faculdades Senac Brasília - DF. Local de Trabalho: Disdal distribuidora de alimentos LTDA, função de assistente de TI desde Agosto de 2009. Principais temas de interesse: Segurança de redes, Cloud Computer,Governança de TI e Gestão da segurança da informação.
Edilberto Magalhães Silva, Bacharel em Ciência da Computação - Faculdades Integradas do Planalto Central (1996) e mestre em Gestão do Conhecimento e da Tecnologia da Informação pela Universidade Católica de Brasília (2002). Funcionário Público lotado no MCT - Ministério de Ciência e Tecnologia Brasília/DF como analista de TI (exercício descentralizado, MPOG). Professor titular da UNIPLAC - União Educacional do Planalto Central e FACSENAC - Faculdade Senac em Brasília/DF e tutor no curso de especialização lato sensu (pós-graduação) em segurança da informação na UnB/DF (modalidade EAD). Na área de Docência: Docente em curso de Pós-Graduação: Segurança da Informação; Coordenador de Trabalho de Conclusão de Curso; Tem experiência profissional nas áreas de Desenvolvimento de Sistemas, Análise e Modelagem de Sistemas, Banco de Dados e CICS Plataforma Alta (Mainframe). Principais temas de interesse: Text Mining, Sistemas de Suporte a Decisão, Metodologias de desenvolvimento de sistemas, crisp-dm, inteligência organizacional, aprendizagem organizacional, Data Warehouse e banco de dados. 14