Quanto tempo demoraria a tua organização a voltar a operar se amanhã os sistemas não arrancassem? Quase todas as equipas de governo têm essa resposta escrita num plano de continuidade do negócio, aprovado pelo comité e revisto na última auditoria. O que poucas têm é a certeza de que as pessoas encarregadas de executar esse documento saibam, no momento do incidente, qual é a parte que lhes cabe.
O cenário deixou de ser hipotético. O Data Breach Investigations Report 2026 da Verizon indica que 48% das violações já envolvem ransomware, e o panorama de ameaças da ENISA coloca as ameaças à disponibilidade no primeiro lugar da lista, à frente do ransomware e das ameaças aos dados. Quando o que se interrompe é a operação, o plano de continuidade do negócio deixa de ser um requisito de auditoria e passa a ser um procedimento que alguém tem de aplicar sem tempo para o ler.
Na minha experiência a revisar quadros de continuidade, o documento quase nunca é o problema. O problema aparece uma camada abaixo, na pergunta sobre quem sabe o quê e desde quando.
O que exige a ISO 22301 sobre as pessoas, e por que se implementa no fim?
A ISO 22301 é a norma internacional que especifica os requisitos de um sistema de gestão da continuidade do negócio. Como as restantes normas de sistemas de gestão, agrupa os seus requisitos de suporte na cláusula 7, e dois deles apontam directamente às pessoas. São a competência (7.2) e a sensibilização (7.3).
A competência obriga a determinar de que capacidades necessita cada pessoa com um papel atribuído na continuidade, e a assegurar que as tenha. A sensibilização tem um alcance mais amplo e chega a toda a organização, não apenas ao comité de crise. Exige que cada pessoa conheça a política de continuidade, compreenda o seu contributo para o sistema e saiba o que implica afastar-se dos procedimentos.
Essas duas cláusulas costumam ficar para o fim. Documentar a análise de impacto no negócio, as estratégias de recuperação e os tempos objectivo produz entregáveis que um auditor pode examinar numa pasta. A competência e a sensibilização produzem algo menos cómodo de mostrar, porque vivem na cabeça das pessoas no dia em que fazem falta.
É o mesmo deslocamento que ocorre com o controlo 6.3 da ISO/IEC 27001, onde a formação do pessoal é documentada tarde e com menos precisão do que os controlos técnicos que a rodeiam.
A distância entre ter um plano e poder activá-lo
Um plano de continuidade aprovado prova que a organização analisou os seus processos críticos e decidiu como recuperá-los. Não prova que o consiga fazer.
Entre uma coisa e a outra há uma distância que se manifesta quase sempre das mesmas três formas:
- O plano descreve papéis por cargo, e quem ocupa esse cargo mudou há oito meses sem que ninguém actualizasse o anexo.
- O procedimento assume um canal de comunicação que depende do sistema que está em baixo.
- A activação exige uma decisão que ninguém tem delegada por escrito para as três da manhã de um domingo.
Nenhuma das três se detecta a ler o documento. Detectam-se quando alguém tenta usá-lo.
Quem tem de saber o quê, e em que momento?
A sensibilização em continuidade não significa que as 800 pessoas de uma organização conheçam o plano completo. Significa que cada grupo saiba a parte que lhe cabe. A segmentação que funciona tem três camadas.
O comité de crise necessita do critério de activação, da ordem de prioridade entre processos críticos e das suas competências para decidir sem escalar.
As equipas com papel técnico atribuído necessitam do procedimento de recuperação do seu âmbito e dos tempos objectivo que a organização assumiu para ele.
O resto da organização necessita de saber três coisas, e apenas três: como vai saber que existe um incidente, por que canal alternativo comunica a organização enquanto durar e o que está autorizado a fazer com informação e dispositivos nesse intervalo.
A terceira camada é a que se salta com mais frequência e é, de longe, a mais numerosa. Alguém da administração que não sabe por que canal alternativo comunica a organização vai improvisar um. Esse canal improvisado costuma ser o que abre o problema seguinte.
Por que ensaiar o plano não é o mesmo que preparar as pessoas?
A ISO 22301 exige exercitar e testar os procedimentos de continuidade, e o exercício de crise é difícil de substituir. Coloca o comité a decidir com informação parcial e expõe os pressupostos que o documento dava por resolvidos.
O que um exercício anual não consegue é sustentar o comportamento no resto do ano. Um simulacro convoca um grupo restrito durante algumas horas, com aviso prévio e num contexto onde todos sabem que estão a ser observados. O comportamento que conta no dia do incidente real é o de alguém que não foi convocado a nenhum exercício e que tem de reconhecer, sem ajuda, que o que está a ver no ecrã não é uma falha informática comum.
Aí a continuidade apoia-se no mesmo terreno da sensibilização. Observar como responde a organização diante de um ataque de ransomware simulado produz um sinal que o exercício de comité não dá, porque essa observação alcança a população completa num dia normal de trabalho e não os dez nomes da sala de crise. Esse sinal lê-se como comportamento sustentado no tempo.
Que parte do gatilho depende de uma pessoa?
Convém ser preciso, porque este dado costuma ser esticado. O DBIR 2026 não sustenta que todo o ransomware entre por um clique. Reporta que 31% das violações arrancam em vulnerabilidades de software, uma via que já supera as credenciais roubadas. O que o relatório mantém é que as causas mais frequentes continuam a envolver de forma intensa o elemento humano, com a engenharia social, o phishing e as credenciais roubadas entre elas.
Para um quadro de governo o que importa é que o gatilho de um evento de continuidade tem uma componente humana estável e mensurável, e que essa componente gere-se com instrumentos diferentes dos que servem para o patch e o backup. Tratar o risco humano como uma variável que se observa antes do clique é o que permite antecipá-lo em vez de o reconstruir depois.
Que registar para que a continuidade seja auditável?
Um requisito de competência e sensibilização demonstra-se com registos, como qualquer outro. A diferença é que aqui o registo tem de responder por pessoa e por data, não por evento.
Quatro perguntas ordenam o que convém ter disponível:
- Quem tem hoje um papel atribuído no plano de continuidade, segundo o directório em vigor e não segundo a última versão do anexo?
- Que formação recebeu cada uma dessas pessoas, quando a recebeu e quando caduca?
- O que sabe o resto da organização sobre o procedimento de comunicação alternativa, e desde quando o sabe?
- Onde está a evidência de que a política de continuidade foi comunicada e aceite?
Essas perguntas parecem-se bastante com as que surgem quando é preciso notificar uma violação com um relógio a correr, por uma razão simples. Nos dois casos a organização tem de provar, com pouca margem, algo que decidiu muito antes.
A gestão de regulamentações, políticas e procedimentos da SMARTFENSE cobre essa camada para a política de continuidade, e os registos de auditoria do programa permitem reconstruir quem leu o quê, quando o aceitou e com que validade, sem depender de uma folha de cálculo que alguém mantém à mão.
O que transforma um plano de continuidade do negócio numa capacidade
Um plano de continuidade do negócio que só existe como documento aprovado transfere todo o risco para o dia do incidente. A organização acaba a depender de que as pessoas certas improvisem bem e a tempo.
Quando o incidente tem também implicação penal, essa improvisação torna-se cara muito depressa, porque as decisões das primeiras horas ficam documentadas e são revistas depois. Aí a continuidade passa a ser parte do governo do risco e deixa de ser um anexo da área técnica.
A alternativa está em tratar a competência e a sensibilização como dois requisitos com dono, com registo e com validade, do mesmo modo que já se tratam a análise de impacto e os tempos objectivo de recuperação. Quando isso está resolvido, o plano deixa de se revisitar uma vez por ano e passa a ser uma capacidade com que a organização conta.
Perguntas frequentes
O que exige a ISO 22301 sobre a sensibilização do pessoal?
A ISO 22301 inclui a sensibilização como requisito de suporte na sua cláusula 7.3. Exige que as pessoas da organização conheçam a política de continuidade do negócio, compreendam qual é o seu contributo para o sistema de gestão e saibam o que implica afastar-se dos procedimentos estabelecidos.
Qual é a diferença entre competência e sensibilização na continuidade do negócio?
A competência (7.2) aplica-se a quem tem um papel atribuído na continuidade e exige assegurar que disponha das capacidades para o desempenhar. A sensibilização (7.3) aplica-se a toda a organização e opera num nível mais básico, o de saber que o plano existe, o que se espera de cada pessoa e como vai comunicar a organização durante uma interrupção.
Basta um exercício de crise anual para cumprir o requisito sobre as pessoas?
O exercício cobre a obrigação de testar os procedimentos, mas envolve um grupo restrito durante algumas horas e com aviso prévio. Não sustenta o comportamento do resto da organização ao longo do ano, que é onde se apoia a resposta no dia de um incidente não anunciado.
Quem dentro da organização tem de conhecer o plano de continuidade?
Convém segmentar em três camadas. O comité de crise necessita do critério de activação e das suas competências de decisão; as equipas com papel técnico necessitam do procedimento de recuperação do seu âmbito e dos tempos objectivo; o resto da organização necessita de saber como saberá do incidente, por que canal alternativo se comunicará e o que está autorizado a fazer enquanto durar.
Que evidência pede um auditor sobre a preparação das pessoas em continuidade?
Registos por pessoa e por data, não por evento. Quem tem papel atribuído segundo o directório em vigor, que formação recebeu cada um com data de realização e de caducidade, o que foi comunicado ao resto da organização e desde quando, e onde consta a aceitação da política de continuidade.
Deixe um comentário