Prévia do material em texto
Prof. MSc. Eng. Vinicius Heltai UNIDADE III Desastre, Recuperação e Gestão da Continuidade do Negócio Mesmo que tenhamos elaborado os planos e feito as análises de ação, reação e contingenciamento, não há garantias de que o Sistema de Gestão de Continuidade de Negócio (SGCN) esteja livre de falhas. Um SGCN deve ser “vivo”, deve estar pronto para ser ativado e, quando isso ocorrer, tudo deve funcionar de forma coesa e acertada. Para assegurarmos que isso ocorra, fazemos testes que irão validar (ou não) os planos traçados. Logo, o SGCN deve abarcar um Plano de Teste e Validação (PTV). E após o Sistema de Gestão de Continuidade de Negócio (SGCN) pronto? O objetivo do teste de validação é assegurar que estratégias, políticas, planos e procedimentos estejam realmente preparados e que todas as pessoas envolvidas saibam como executar as tarefas elencadas no PCN. Os exercícios e os testes são oportunidades para que o SGCN possa: Promover a educação, a capacitação e a conscientização de todos os funcionários; Estabelecer a cultura da importância em se manter todos os processos ativos e seguros; Garantir que o PCN seja apropriado e bem desenvolvido e esteja livre de falhas e de dúvidas; Detectar oportunidades de melhorias que deixaram de ser implantadas; Verificar se toda a gestão e a comunicação está alinhada com os objetivos da empresa; Desenvolver competências dos colaboradores. Teste e Validação do Plano de Continuidade do Negócio Com base na ABNT NBR 22313:2020, os tipos de testes a serem feitos com suas respectivas periodicidades: Tipos de Testes – ABNT NBR 22313:2020 Complexibilidade Teste Processo Variações Frequência recomendada Simples Teste de Mesa Revisão/ Correção de Conteúdo Atualização/ Validação Ao menos anualmente Questionário conteúdo do PCN Auditoria/ Verificação Anualmente Com base na ABNT NBR 22313:2020, os tipos de testes a serem feitos com suas respectivas periodicidades: Tipos de Testes – ABNT NBR 22313:2020 Complexibilidade Teste Processo Variações Frequência recomendada Médio Walkthrough Questionário Conteúdo do PCN Inclusão de interação e validação dos papéis dos participantes Anualmente Simulação Simulação de um cenário de desastre para validar se os PCNs têm informações necessárias e suficientes de forma a permitir uma recuperação com sucesso Incorporação dos planos associados Anualmente ou duas vezes ao ano Operação Paralela Execução paralela em ambiente controlado que não prejudique o andamento usual dos negócios Execução dos processos de negócio no ambiente de contingência por um tempo determinado Anualmente ou menos Com base na ABNT NBR 22313:2020, os tipos de testes a serem feitos com suas respectivas periodicidades: Tipos de Testes – ABNT NBR 22313:2020 Complexibilidade Teste Processo Variações Frequência recomendada Simples Interrupção total Teste que envolve toda a infraestrutura da GNC Executar os planos com a infraestrutura principal desligada Anualmente ou menos O Teste de Mesa é um teste manual utilizado para validar a lógica de determinado algoritmo. É usado principalmente em algoritmos quando a linguagem empregada não conta com nenhuma ferramenta automatizada de depuração. Trata-se de uma técnica muito utilizada em desenvolvimento de software, na qual testamos algoritmos e conferimos se os resultados obtidos são os esperados. Vale destacar que seu custo é muito baixo em comparação aos demais. Tipos de Testes – Teste de Mesa A tradução literal do teste walk-through é “teste por travessia”. Esse teste consiste na conferência de todos os passos descritos no PCN. Pode ser realizado em reunião. A importância se deve na detecção de possíveis erros nos procedimentos. Tipos de Testes – Walk-Through O teste de simulação é um dos meios mais realistas e fiéis de garantirmos que o Plano de Desenvolvimento é coerente e efetivo. Nesse tipo de teste, todos os envolvidos são reunidos e é feita a comunicação de que haverá uma simulação do Plano de Continuidade de Negócio (PCN). São realizadas as simulações de eventuais ocorrências como se elas estivessem acontecendo de fato. Tipos de Testes – Teste de Simulação Após o Sistema de Gestão de Continuidade de Negócio (SGCN) pronto, ele precisa ser constantemente testado e avaliado. O teste que utiliza a encenação em um cenário de desastre para validar se os PCNs têm informações necessárias e suficientes de forma a permitir a recuperação com sucesso e seu tempo de frequência recomendado é a opção: a) Simulação – A cada 2 anos. b) Teste de mesa – A cada 1 ano. c) Walk-Through – A cada 1 ano. d) Simulação – A cada 1 ano. e) Teste de mesa – A cada 2 anos. Interatividade Após o Sistema de Gestão de Continuidade de Negócio (SGCN) pronto, ele precisa ser constantemente testado e avaliado. O teste que utiliza a encenação em um cenário de desastre para validar se os PCNs têm informações necessárias e suficientes de forma a permitir a recuperação com sucesso e seu tempo de frequência recomendado é a opção: a) Simulação – A cada 2 anos. b) Teste de mesa – A cada 1 ano. c) Walk-Through – A cada 1 ano. d) Simulação – A cada 1 ano. e) Teste de mesa – A cada 2 anos. Resposta O teste de simulação é um dos meios mais realistas e fiéis de garantirmos que o Plano de Desenvolvimento é coerente e efetivo. Nesse tipo de teste, todos os envolvidos são reunidos e é feita a comunicação de que haverá uma simulação do Plano de Continuidade de Negócio (PCN). São realizadas as simulações de eventuais ocorrências como se elas estivessem acontecendo de fato. Gestão de Continuidade de Negócio Esse ciclo foi criado por Walter A. Shewart, na década de 20, mas ele se tornou conhecido quando William Edward Deming, um dos gurus da gestão de qualidade, espalhou o conceito pelo mundo. Por esse motivo, o ciclo PDCA ficou conhecido a partir da década de 1950 como ‘Ciclo Deming’. Através dessa teoria, cada processo da empresa passa por QUATRO FASES. Seus criadores refletiram sobre a solução de problemas em CINCO PASSOS, os quais foram essenciais para a criação do Ciclo PDCA que hoje conhecemos, sendo eles: Perceber a dificuldade Localizar o problema Definir o problema Sugerir possíveis soluções e desenvolver através do raciocínio as influências sugeridas Observar posteriormente as soluções aplicadas, o que leva à sua aceitação ou rejeição Ciclo PDCA Também conhecido como o ciclo de melhoria contínua, tem por objetivo identificar e organizar as atividades de um processo de solução de problemas de forma a garantir, de maneira eficaz, o desenvolvimento de uma atividade planejada. A utilização correta desta ferramenta permite à empresa crescer sempre com uma base sólida, promovendo assim uma melhoria contínua. Ciclo PDCA Ciclo PDCA Fonte: Alano (2020). Melhoria contínua do Sistema de Gestão de Continuidade de Negócios (SGCN) Partes Interessadas Requisitos para Continuidade de Negócios Partes Interessadas Gerenciamento da Continuidade de Negócios A norma ABNT NBR ISO 22301: 2020 adota o modelo do ciclo PDCA para planejar, estabelecer, implementar, operar, monitorar, analisar criticamente, manter e melhorar continuamente a eficácia do SGCN de uma corporação. Ciclo PDCA Planejamento, definição das metas, especificação dos métodos. Trata-se da etapa em que há necessidade de se estabelecer uma Política de Continuidade de Negócio, que deve estar alinhada com as demais políticas da empresa. Definir claramente o problema e reconhecer sua importância; Investigar as características específicas do problema; Descobrir as causas básicas do problema; Conceber um plano para eliminar/controlar as causas básicas. Ciclo PDCA – Plan A (ACTION) P (PLAN) (PLAN) D (CHECK) C ATUAR CORRETIVA-MENTE DEFINIR AS METAS DEFINIR OS MÉTODOS QUE PERMITIRÃO ATINGIR AS METAS PROPOSTAS EDUCAR E TREINAR EXECUTAR A TAREFA (COLETAR DADOS) VERIFICAR OS RESULTADOS DA TAREFA EXECUTADA Treinamento e execução do trabalho (já planejado). Isso é, eliminar/controlar as causas básicas. Trata-se da etapa em que a Política de Continuidade de Negócio estabelecida na fase anterior deve ser implantada e operacionalizada. Manter a quantidade correta de pessoas que irão atuar na retirada do veículo; Utilizar o caminhão correto que foi dimensionado para realização da atividade; Fazer o isolamento de toda a área; Seguir corretamente os custos que foram orçados para esta operação. Ciclo PDCA – Do A (ACTION) P (PLAN) (PLAN) D (CHECK) C ATUAR CORRETIVA- MENTE DEFINIR AS METAS DEFINIR OS MÉTODOS QUE PERMITIRÃO ATINGIR AS METAS PROPOSTAS EDUCAR E TREINAR EXECUTAR A TAREFA (COLETAR DADOS) VERIFICAR OS RESULTADOS DA TAREFA EXECUTADA Verificação dos resultados do trabalho, se está sendo efetivo. Trata-se da etapa em que o monitoramento e a análise crítica dos resultados fornecem a base para a realização das correções necessárias, a fim de que seja garantida a melhora contínua do sistema. São utilizados os dados coletados anteriormente para serem analisados. Verificar se o executado está em conformidade com o que foi planejado; Verificar se o método definido anteriormente vem sendo seguido; Identificação dos possíveis desvios. Ciclo PDCA – Check A (ACTION) P (PLAN) (PLAN) D (CHECK) C ATUAR CORRETIVA- MENTE DEFINIR AS METAS DEFINIR OS MÉTODOS QUE PERMITIRÃO ATINGIR AS METAS PROPOSTAS EDUCAR E TREINAR EXECUTAR A TAREFA (COLETAR DADOS) VERIFICAR OS RESULTADOS DA TAREFA EXECUTADA Trata-se da etapa em que as ações de correção devem ser implementadas e em que seus resultados devem ser divulgados para a empresa. Essa etapa é muito importante, pois serve de base para o aprendizado sobre as consequências das ações anteriores. As lições precisam ser extraídas e compartilhadas com todos. Ação corretiva para melhoria ou manutenção do processo. Isso é, corrigir o que não deu certo. Agir para corrigir os possíveis desvios; Planejar possíveis melhorias. Ciclo PDCA – Action A (ACTION) P (PLAN) (PLAN) D (CHECK) C ATUAR CORRETIVA- MENTE DEFINIR AS METAS DEFINIR OS MÉTODOS QUE PERMITIRÃO ATINGIR AS METAS PROPOSTAS EDUCAR E TREINAR EXECUTAR A TAREFA (COLETAR DADOS) VERIFICAR OS RESULTADOS DA TAREFA EXECUTADA Ciclo PDCA – Etapas da Melhoria Contínua ETAPAS DA MELHORIA CONTÍNUA PDCA FLUXO ETAPA OBJETIVO P 1 Identificação do Problema Definir claramente o problema/processo e reconhecer sua importância 2 Observação Investigar as características especiais do problema 3 Análise Descobrir as causas básicas do problema 4 Plano de Ação Conceber um plano para eliminar/controlar as causas básicas D 5 Execução Eliminar/controlar as causas básicas C 6 Verificação Verificar se o processo está sendo efetivo A 7 Adequação Agir para corrigir possíveis desvios 8 Evolução Planejar possíveis melhorias O ciclo PDCL é uma evolução do PDCA. No ciclo PDCL, a inicial A (de agir) foi substituída pela inicial L, que é a inicial de Learn, cujo significado em português é “aprender”. A ideia é que, a cada final de ciclo, a equipe, antes de agir, tenha aprendido com o que aconteceu e que o processo evolua junto com a equipe. Ciclo PDCL Ciclo PDCL Fonte: Manoel (2019). LEARN Aprendizado e Melhoria do SGCN CHECK Monitoramento e Revisão do SGCN DO Implementação e Operação do SGCN PLAN Estabelecendo o SGCN 10 Melhoria 10.1 Não conformidade e Ação corretiva 10.2 Melhoria Contínua 4 Contexto da Organização 5 Liderança 6 Planejamento 7 Apoio 9 Avaliação do desempenho 9.1 Monitoramento, medição, análise e avaliação 9.2 Auditoria Interna 9.3 Análise Crítica pela Direção 8 Operação 8.2.2 Análise de Impacto no Negócio 8.2.3 Avaliação de Riscos 8.3 Estratégia de CN 8.4.2 Estrutura de Resposta a Incidentes 8.4.3 Aviso e Comunicação 8.4.4. Planos de Continuidade de Negócio 8.5 Exercitando e Testando Em relação ao PDCA e PDCL, podemos entender como a opção verdadeira: a) No PDCA, a etapa Plan (Plano) serve de base para o aprendizado sobre as consequências das ações anteriores. b) No PDCA, na etapa Do (fazer), as ações de correção devem ser implementadas e seus resultados devem ser divulgados para a empresa. c) No PDCA, a etapa Check (checar) é a etapa em que há necessidade de se estabelecer uma Política de Continuidade de Negócio, que deve estar alinhada com as demais políticas da empresa. d) No PDCA, na etapa Action (fazer), o monitoramento e a análise crítica dos resultados fornecem a base para a realização das correções necessárias, a fim de que seja garantida a melhora contínua do sistema. e) A diferença entre o ciclo PDCA e PDCL é o fato de a inicial A (de agir) ter sido substituída pela inicial L, que é a inicial de Learn, cujo significado em português é “aprender”. Interatividade Em relação ao PDCA e PDCL, podemos entender como a opção verdadeira: a) No PDCA, a etapa Plan (Plano) serve de base para o aprendizado sobre as consequências das ações anteriores. b) No PDCA, na etapa Do (fazer), as ações de correção devem ser implementadas e seus resultados devem ser divulgados para a empresa. c) No PDCA, a etapa Check (checar) é a etapa em que há necessidade de se estabelecer uma Política de Continuidade de Negócio, que deve estar alinhada com as demais políticas da empresa. d) No PDCA, na etapa Action (fazer), o monitoramento e a análise crítica dos resultados fornecem a base para a realização das correções necessárias, a fim de que seja garantida a melhora contínua do sistema. e) A diferença entre o ciclo PDCA e PDCL é o fato de a inicial A (de agir) ter sido substituída pela inicial L, que é a inicial de Learn, cujo significado em português é “aprender”. Resposta Todo o processo de Gestão de Continuidade de Negócios precisa ter um responsável e uma equipe engajada, coesa e particularmente destinada a essa tarefa. A implantação do SGCN deve partir da alta direção da empresa, pois seu desempenho tem vínculos com a visão da direção da empresa sobre tal sistema. Se a direção da empresa julgar que o SGCN não é importante, o processo enfrentará grande resistência e dificilmente resultará em ações efetivas. A aprovação da implantação deve partir da presidência da empresa (top-down), com suporte e apoio a todos os envolvidos. Equipe de Gestão de Continuidade de Negócios Aprovada a implantação, o passo seguinte é a nomeação de um responsável pela função. Cabe a esse responsável a apresentação dos resultados de todas as fases de implantação. O título desse cargo é CBCO, acrônimo do inglês Chief Business Continuity Officer (Chefe de Continuidade de Negócios). Equipe de Gestão de Continuidade de Negócios O CBCO é um cargo de extrema importância para a empresa e exige de quem o ocupa capacidade técnica elevada em gestão e em outras áreas de conhecimento específicas da empresa. Além disso, o responsável pelo cargo deve ser articulado o suficiente para que o diálogo com as demais áreas da empresa seja constante e fluente. O CBCO terá acesso a dados sigilosos da empresa e deverá conhecer com detalhes as etapas dos processos desenvolvidos na organização. As ações desse cargo têm impacto direto nas finanças e na imagem da empresa. Equipe de Gestão de Continuidade de Negócios O cargo de CBCO deve ter alguns atributos essenciais: Conhecer os processos da organização e saber identificar quais deles são críticos e quais deles dão lucro à empresa. Conhecer as características gerenciais dos líderes, dos gestores e dos membros das equipes envolvidas. Saber como manter boas relações com as pessoas. Ter visão holística do negócio e, ao mesmo tempo, ter capacidade de focar detalhadamente em cada processo. Ser capaz de tomar decisões. Ser capaz de estabelecer uma agenda de negociação (visto que muitos problemas podem ser resolvidos por meio de negociação). Ser agente de mudança. Equipe de Gestão de Continuidade de Negócios O CBCO é um executivo que operacionaliza as normas e as regras elaboradas pelo Comitê de Continuidade de Negócios. Esse comitê reúne um grupo de pessoas que serão o que chamamos de “a inteligência por trás das ações”. As funções e as responsabilidades do CBCO são descritas nos itens 5.2, 5.3, 5.4, 6.2 e 9.3 da norma ABNT NBR ISO 22301:2020. Equipe de Gestão de Continuidade de Negócios A hierarquia das equipes que tratam da continuidade de negócio: Equipe de Gestão de Continuidade de Negócios Fonte: Manoel (2019). Comitê Chefe de Continuidade de Negócios Funcionários Em uma empresa de segurança da informação, quem é responsável pela apresentação dos resultados de todas as fases de implantação da continuidade do negócio? a) Chief Financial Officer. b) Chief Executive Officer. c) Chief Information Officer. d) Chief Operating Officer. e) Chief Business Continuity Officer. Interatividade Em uma empresa de segurança da informação, quem é responsável pela apresentação dos resultados de todas as fases de implantação da continuidade do negócio? a) Chief Financial Officer. b) Chief Executive Officer. c) Chief Information Officer. d) Chief Operating Officer. e) Chief Business Continuity Officer. Resposta As despesas decorrentes da implantação do Plano de Continuidade do Negócio são contabilizadas em duas contas: Uma conta decorrente do investimento para implantação, que é denominada contabilmente de CAPEX (Capital Expenditure, ou despesas de capital); Uma conta necessária para manter o plano em ação, denominada contabilmente de OPEX (Operational Expenditure, ou despesas operacionais). Análise Financeira da Gestão de Continuidade de Negócio A implantação de um PCN pode ser encarada como um investimento (reflexão). O desenvolvimento e a implantação de um PCN necessitam de investimentos iniciais. O valor de investimento usado na implantação e desenvolvimento de um PCN é função do valor das perdas financeiras decorrentes da interrupção. Análise Financeira da Gestão de Continuidade de Negócio Existe um ponto de equilíbrio que mostra o quanto deve ser investido em função das perdas financeiras e do tempo de recuperação. Análise Financeira da Gestão de Continuidade de Negócio Fonte: Modenesi (2020). Investimento em prevenção e contingência Perdas financeiras e operacionais tempo Maior apetite pelo riscoMenor apetite pelo risco T2>t0T1<t0 t0 R$ Caso 1. Se o tempo de recuperação for menor do que t0, os investimentos em prevenção serão maiores do que as perdas. Nessa situação, dizemos que a organização tem pouco apetite ao risco. Caso 2. Se o tempo de recuperação for maior do que t0, as perdas serão maiores do que o investimento. Nessa situação, dizemos que a organização tem elevado apetite ao risco. Análise Financeira da Gestão de Continuidade de Negócio Investimento em prevenção e contingência Perdas financeiras e operacionais tempo Maior apetite pelo riscoMenor apetite pelo risco T2>t0T1<t0 t0 R$ Fonte: Modenesi (2020). Em uma organização, foi detectado que um incidente na sua área de TI provoca perdas financeiras e operacionais que variam segundo uma função linear com o tempo dada por: P=3.750,00 (R$/h)∙t Na expressão anterior, P é a perda em R$ e t é o tempo em horas. O investimento previsto (I) para o estabelecimento de um PCN é de R$ 120.000,00 para a recuperação em uma hora e de R$ 50.000,00 para a recuperação em três horas. Considerando que a variação do investimento com o tempo também seja linear, determine o ponto de equilíbrio e o valor a ser investido. Exercício Considerando inicialmente: I = a∙t + b Para t = 1 hora → I = R$ 120.000,00. Logo: R$ 120.000,00 = a∙1h + b R$ 120.000,00 – a.h = b Exercício Para t = 3 horas → I = R$ 50.000,00. Logo: R$ 50.000,00 = a∙3h + b R$ 50.000,00 – a.3h = b Substituindo b, temos: R$ 50.000,00 = a∙3h + R$ 120.000,00 – ah – R$ 70.000,00 = a ∙ 2h a = – R$ 35.000,00/h Exercício Lembramos que: R$ 120.000,00 = a∙1 + b Substituindo o valor de a, temos: R$ 120.000,00 = ( – R$35.000,00/h ) ∙ 1h + b b = R$ 155.000,00 Assim, a função de relação do investimento com o tempo fica: I = a∙t + b I = (– R$ 35.000,00/h) . t + R$ 155.000,00 Exercício O ponto de equilíbrio ocorre quando o investimento é igual às perdas, ou seja: I = P (– R$ 35.000,00/h) . t + R$ 155.000,00 = 3.750,00 . R$/h . T R$ 155.000,00 = (R$ 38.750,00/h) . t t = (R$ 155.000,00/R$ 38.750,00 ) . h t = 4h Exercício Os valores do investimento e das perdas nesse ponto podem ser determinados por: P = 3.750,00 . (R$/h) . t P = 3.750,00 . (R$/h) . 4h P = R$ 15.000,00 Exercício 180.000,00 160.000,00 140.000,00 120.000,00 100.000,00 80.000,00 60.000,00 40.000,00 20.000,00 - 0 0,5 1 1,5 2 2,5 3 3,5 4 4,5 Perdas Investimento Determinação do ponto de equilíbrio Em relação às despesas decorrentes da implantação do Plano de Continuidade do Negócio, podemos assinalar a alternativa verdadeira como sendo: a) As despesas de investimento para implantação do PCN são denominadas contabilmente de OPEX (Operational Expenditure). b) As despesas para manter a operação do PCN são denominadas contabilmente de CAPEX (Capital Expenditure). c) O desenvolvimento e a implantação de um PCN não necessitam de investimentos iniciais. d) O valor da despesa de um PCN é função do valor das perdas financeiras decorrentes da operação. e) O ponto de equilíbrio mostra o quanto deve ser investido em função das perdas financeiras e do tempo de recuperação. Interatividade Em relação às despesas decorrentes da implantação do Plano de Continuidade do Negócio, podemos assinalar a alternativa verdadeira como sendo: a) As despesas de investimento para implantação do PCN são denominadas contabilmente de OPEX (Operational Expenditure). b) As despesas para manter a operação do PCN são denominadas contabilmente de CAPEX (Capital Expenditure). c) O desenvolvimento e a implantação de um PCN não necessitam de investimentos iniciais. d) O valor da despesa de um PCN é função do valor das perdas financeiras decorrentes da operação. e) O ponto de equilíbrio mostra o quanto deve ser investido em função das perdas financeiras e do tempo de recuperação. Resposta ATÉ A PRÓXIMA!