ff84c457-7a27-43cc-8e87-1b986fd0ae09

Prévia do material em texto

<p>SEGURANÇA E</p><p>AUDITORIA DE</p><p>INFORMAÇÃO</p><p>Allan de Souza Muniz</p><p>Plano de contingência</p><p>Objetivos de aprendizagem</p><p>Ao final deste texto, você deve apresentar os seguintes aprendizados:</p><p>� Definir as características de planos de contingência para incidentes</p><p>de segurança.</p><p>� Construir planos de contingência para incidentes de segurança.</p><p>� Organizar processos de manutenção para planos de contingência.</p><p>Introdução</p><p>Saber conduzir um negócio é sempre um desafio, principalmente porque,</p><p>por mais planejamento que uma organização tenha, ela nunca conse-</p><p>guirá garantir sua segurança integral. Isso ocorre porque há variáveis</p><p>externas à empresa que representam ameaças, como pessoas maliciosas</p><p>que tentarão obter dados sigilosos de forma ilícita, hackers que tentarão</p><p>atacar os bancos de dados para prejudicar a imagem da corporação,</p><p>demonstrando o quão frágil ela é, ou mesmo a ocorrência de desastres</p><p>naturais, impossibilitando que a organização funcione adequadamente.</p><p>Para minimizar esses cenários negativos, a empresa precisa ter sempre</p><p>um plano B para os assuntos mais críticos.</p><p>Se não houver planejamento para o cenário de crise, o resultado</p><p>será certamente um caos, pois, sem papéis definidos, o cenário que se</p><p>desenhará no desastre será semelhante ao de uma orquestra em que cada</p><p>um toca seu instrumento no tom que achar mais adequado à situação.</p><p>O resultado geral não será outro a não ser uma dissonância certamente</p><p>desagradável aos ouvidos. É por isso que um plano de contingência é</p><p>necessário.</p><p>Neste capítulo, você vai estudar o plano de contingência, vendo</p><p>quais são suas características e as nuances envolvidas em sua elaboração,</p><p>quando se trata de incidentes de segurança.</p><p>1 Características de planos de contingência</p><p>para incidentes de segurança</p><p>De acordo com a norma NBR ISO/IEC 27002 (ASSOCIAÇÃO BRASILEIRA</p><p>DE NORMAS TÉCNICAS, 2005, documento on-line), convém que “[...] planos</p><p>sejam desenvolvidos e implementados para a manutenção ou recuperação das</p><p>operações e para assegurar a disponibilidade da informação no nível requerido</p><p>e na escala de tempo requerida, após a ocorrência de interrupções ou falhas</p><p>dos processos críticos do negócio”. Complementando essa definição, uma</p><p>maneira de entendermos o que vem a ser um plano de contingência é por</p><p>meio de um exemplo prático, baseado em McCarthy (2014). Segundo o autor,</p><p>o exército norte-americano gasta cifras expressivas de dólares testando planos</p><p>de contingência para serem implementados em qualquer lugar do mundo em</p><p>casos de crise. No plano estão incluídas as simulações do que fazer a partir de</p><p>ações de adversários, envolvendo diversos personagens, que desempenharão</p><p>papéis diferentes no exercício. O plano de contingência é avaliado tanto pelas</p><p>pessoas previstas para a sua execução quanto pela ótica do próprio plano em si.</p><p>Um exemplo bastante conhecido de crise para a qual não existiu planejamento ocorreu</p><p>em 2008 com o vírus Conficker. A praga digital se espalhou rapidamente via internet,</p><p>infectando milhões de computadores no mundo, que respondiam a comandos en-</p><p>viados por um servidor remoto. Na ocasião, empresas importantes (algumas inclusive</p><p>listadas na revista Fortune) simplesmente não tinham um plano de respostas a incidentes</p><p>para a deflagração do vírus. As pessoas responsáveis pelas chamadas telefônicas</p><p>dessas empresas, e que deveriam verificar o problema, não tinham um protocolo</p><p>para seguir e, portanto, não sabiam o que fazer. A única coisa que sabiam era que os</p><p>computadores dessas empresas estavam se comunicando com a internet de forma</p><p>nada habitual (MCCARTHY, 2014).</p><p>Por falta de planejamento, quando um sinistro acontece, muitas vezes ninguém</p><p>consegue saber de perto o que está acontecendo. Exatamente pela insegurança</p><p>do desconhecido, a resposta natural do ser humano é descobrir rapidamente o</p><p>que está acontecendo para que recupere o domínio e a normalidade da situação.</p><p>Nesse contexto, também é comum que várias pessoas se apresentem para fornecer</p><p>suas opiniões, que podem causar paralisia no processo decisório.</p><p>Plano de contingência2</p><p>Por esses motivos é que se justifica a criação e manutenção de um plano</p><p>de resposta às crises, ou plano de contingência. Nesse sentido, é mais do que</p><p>fundamental saber o que a empresa faz, sua missão, visão, valores, o que</p><p>a torna atrativa para os clientes/mercado ou o que é feito que a diferencia</p><p>das concorrentes. Ter a capacidade de responder a essas perguntas ajudará</p><p>a organização a agir em tempos de crise, pois, certamente, ela saberá o que</p><p>proteger ou terá uma boa noção de como sua oferta de produtos ou serviços</p><p>aos clientes será afetada no período da adversidade.</p><p>Adicionalmente, a organização poderá instruir os responsáveis que com-</p><p>baterão a crise a proteger aquilo que realmente interessa à empresa. Pode</p><p>ser a marca da organização ou outros aspectos da propriedade intelectual</p><p>(uma patente, por exemplo). Entretanto, um fator muito importante durante o</p><p>momento da crise é a unidade de comando. Sem planejamento e com muita</p><p>gente querendo tomar a melhor decisão, a organização pode, como já vimos,</p><p>se paralisar — e pior do que tomar uma decisão errada é não tomar decisão</p><p>alguma (MCCARTHY, 2014).</p><p>Com uma unidade de comando, ganha-se em coesão, pois todo o processo de to-</p><p>mada de decisão é unificado. Todavia, há organizações que preferem a decisão na</p><p>forma coletiva. Independentemente do tipo de decisão, o fator mais importante a ser</p><p>lembrado é que o mecanismo de tomada de decisão seja capaz de gerar um caminho</p><p>a ser tomado durante a crise.</p><p>Um princípio sólido da disciplina de gestão da segurança da informação é</p><p>que as organizações adotem medidas de proteção, detecção e medidas corretivas</p><p>para o resguardo da confidencialidade, integridade e disponibilidade de suas</p><p>informações. O planejamento é de suma importância e, para ser eficaz, ele</p><p>precisa ser testado e atualizado constantemente (FONTES, 2008). Outro ponto</p><p>muito importante a ser destacado é que a segurança da informação é um dever</p><p>de todos, e não somente da área de tecnologia da informação (TI). Portanto,</p><p>o plano de segurança da informação, bem como o seu plano de contingência,</p><p>deve ser conhecido por todos em uma empresa.</p><p>3Plano de contingência</p><p>Antes de a empresa se dedicar à tarefa de elaboração de um plano de con-</p><p>tingência, é importante verificar qual problema exatamente deseja resolver.</p><p>Se um risco ocorrer, quem será afetado dentro da empresa? Qual será o impacto</p><p>dentro da corporação, caso não haja uma resposta? Para desenvolver um plano</p><p>de contingência, o requisito mais importante é que haja o apoio incondicional</p><p>da alta administração. Se a camada executiva não estiver realmente engajada</p><p>no assunto, é melhor não seguir em frente, pois certamente será tempo gasto</p><p>em vão. Nesse caso, o apoio deve ser do presidente ou do vice-presidente da</p><p>empresa. No caso de um plano que envolva violação de dados, certamente outros</p><p>personagens entrarão em cena, como o diretor de segurança da informação/</p><p>diretor de segurança e o diretor de informações.</p><p>A tarefa é árdua porque, dentro das organizações, há outras priorida-</p><p>des concorrentes que envolvem o dia a dia da empresa, as atividades que</p><p>são realizadas para gerar lucro organizacional ou, em casos mais extremos,</p><p>o apagar de incêndios com o qual muitos colaboradores se envolvem diaria-</p><p>mente. Ademais, pouca gente enxerga valor em um plano de contingência</p><p>que só será disparado se houver um sinistro. Na cabeça de muitos gerentes</p><p>e até mesmo diretores fica a pergunta: por que gastar dinheiro em algo que</p><p>só talvez, algum dia, se houver algum descuido, acontecerá? Certamente há</p><p>muitas outras prioridades que merecem atenção.</p><p>Lamentavelmente, grande parte das empresas só enxerga o valor de um</p><p>plano de contingência quando o sinistro, de fato, acontece e ninguém sabe o</p><p>que fazer. As operações mais importantes da organização param e os prejuízos</p><p>podem levar a empresa à falência. Mas depois que a porteira foi arrombada,</p><p>do que adianta comprar o</p><p>cadeado?</p><p>O desafio se mostra desde o início do planejamento da contingência, pois,</p><p>se os apoiadores são da alta administração, certamente eles terão pouco tempo</p><p>para se dedicar à análise de um plano de contingência. Felizmente há uma</p><p>saída para isso. Após sensibilizar a camada de governança da empresa para</p><p>a necessidade de elaboração de um plano de contingência, será fundamental</p><p>que eles tomem conhecimento da evolução da construção do plano ao longo</p><p>do caminho de forma frequente. Nesse caso, reuniões serão necessárias, mas</p><p>aqui o ponto fundamental é que o tempo gasto nessas reuniões seja breve e</p><p>investido de forma sábia.</p><p>Um recurso muito utilizado em metodologias ágeis são as stand-up</p><p>meetings, ou reuniões em pé. São reuniões curtas, que duram 15 minutos,</p><p>que ocorrem todos os dias entre os membros de um time, que permanecem</p><p>Plano de contingência4</p><p>o tempo todo de pé. Esse princípio pode ser adaptado a qualquer empresa,</p><p>independentemente do seu tamanho e área de atuação, e utilizado para tornar</p><p>os encontros mais produtivos e o planejamento, mais eficaz. Evitar reuniões</p><p>em salas confortáveis, com café e água à disposição, pode ajudar. Pode parecer</p><p>meio estranho, mas quando se está em uma cadeira confortável com serviço</p><p>de copa à disposição, o risco de se desviar do assunto a ser tratado é grande.</p><p>O responsável pela elaboração do plano de contingência precisa ser focado e</p><p>mostrar aos executivos que suas reuniões, de fato, não são tempo jogado fora.</p><p>Use stand-up meetings com muito cuidado, porque os propósitos dessa reunião são</p><p>para conversas e alinhamentos rápidos. Se você precisar decidir algo mais denso,</p><p>desconsidere esta opção!</p><p>2 Construção de planos de contingência</p><p>para incidentes de segurança</p><p>Se, por exemplo, um vírus atacar um sistema e tornar a TI inoperante (podendo</p><p>durar dias), a organização pode perder clientes e ter sua reputação manchada</p><p>se não tiver uma noção mínima do que deve ser feito. A organização deve</p><p>estar protegida com software antivírus e antimalware; sistemas de prevenção</p><p>contra perda de dados (data loss prevention); sistemas de prevenção contra</p><p>intrusão de rede; sistemas de proteção contra intrusão de host. Entretanto, de</p><p>nada adianta todo esse arsenal se houver falha na configuração desses sistemas,</p><p>ou se a manutenção desses sistemas falhar, ou ainda se violações acontecerem</p><p>pelo lado humano. É exatamente por isso que uma gestão baseada em riscos</p><p>ajuda a fechar tais brechas.</p><p>Para evitar dissabores com clientes, a organização deve incluir a segurança</p><p>da informação para todos os seus colaboradores, além dos seus fornecedo-</p><p>res. Se isso falhar, o cliente não vai querer saber de quem foi a falha, mas</p><p>que aquele que ele contratou é que deve garantir a entrega do serviço como</p><p>especificado no contrato.</p><p>5Plano de contingência</p><p>Muitos executivos não dão a devida importância a um plano de contingência,</p><p>pois não querem gastar expressivas cifras em frentes que não trazem lucros,</p><p>mas evitam prejuízos. No entanto, um plano de contingência não necessaria-</p><p>mente é um plano reativo. Ele pode ser usado de forma proativa. McCarthy</p><p>(2014) relembra um plano bem documentado de resposta a malware. Sabia-se,</p><p>antecipadamente, que a empresa em questão representava um potencial-alvo</p><p>para uma possível infestação de malware global. O passo seguinte foi garantir</p><p>que todas as tecnologias instaladas na organização estivessem devidamente</p><p>atualizadas e preparadas para confrontar o vírus.</p><p>Os recursos, em sua totalidade, estavam prontos para a resposta em caso de</p><p>ataque à rede. De fato, houve o ataque e, como a empresa já estava preparada,</p><p>a execução do plano ajudou a organização a lidar com o maior ataque por</p><p>e-mail em quase dez anos. Embora seja pouco conhecido das pessoas, esse</p><p>fato comprova que um plano de contingência é extremamente útil não somente</p><p>para a reação ao sinistro.</p><p>McCarthy (2014) introduz ideias relevantes para a construção de um plano</p><p>de contingências. A primeira delas é uma discussão sobre os seguintes tópicos:</p><p>� Objetivo: em termos gerais, qual é o benefício esperado pela construção</p><p>do plano de contingência? Aqui pode ser útil um recurso como a lista</p><p>dos 5Ws: who (quem), what (o que), when (quando), where (onde) e</p><p>why (por que).</p><p>� Escopo: os limites do plano.</p><p>� Responsabilidades: quais executivos são responsáveis pelo plano e</p><p>seus dados de contato.</p><p>� Topologias de execução e comando: esquema visual do plano para</p><p>facilitar a comunicação com a camada executiva, conforme exempli-</p><p>ficado na Figura 1.</p><p>� Estrutura do plano: considerando que o plano terá uma série de infor-</p><p>mações, algumas poderão se desatualizar, como uma lista dos contatos</p><p>ou informações que dependem de entidades externas, mas o plano deve</p><p>ser razoavelmente atual para ser realmente importante.</p><p>Plano de contingência6</p><p>Figura 1. Topologia de execução e comando do plano.</p><p>Fonte: Adaptada de McCarthy (2014, p. 126)</p><p>Preparação para a ocorrência</p><p>de incidentes</p><p>Detecção e análise</p><p>de incidentes</p><p>Declaração do incidente</p><p>e mobilização</p><p>Sequência operacional</p><p>Observar</p><p>Orientar</p><p>Decidir</p><p>Agir</p><p>Repetir (laço)</p><p>Prioridades operacionais</p><p>Retenção</p><p>Erradicação</p><p>Recuperação</p><p>Pós-incidente</p><p>1. Término</p><p>2. Estatísticas</p><p>3. Lições aprendidas</p><p>Manutenção do plano</p><p>1. Atualizações trimestrais</p><p>2. Teste anual</p><p>3. Treinamento periódico</p><p>Foco operacional</p><p>Vulnerabilidade</p><p>Ameaça</p><p>Consequência</p><p>Nesta primeira etapa da elaboração do plano, devem estar reunidos todos os</p><p>documentos necessários para a resposta a uma crise (estratégia de contenção e</p><p>análise de impacto em um plano contra deflagração de malware, por exemplo).</p><p>Em ato contínuo da elaboração do plano de contingência, seria relevante que a</p><p>organização soubesse identificar o que exatamente se configura uma situação</p><p>7Plano de contingência</p><p>de crise, assim como uma análise técnica se faz necessária para determinar</p><p>a gravidade de uma crise.</p><p>Toda essa documentação deve ser examinada pelos especialistas da orga-</p><p>nização, que são da área de negócios, pois eles é que são capazes de avaliar</p><p>os impactos e suas consequências quando uma ameaça se concretizar. A TI</p><p>só implementa, na forma da tecnologia, o desejado pela área de negócios na</p><p>hora de dar a continuidade a um serviço quando a ameaça se concretizar.</p><p>E, quando a ameaça se concretiza, é fundamental saber quem faz o que e</p><p>quando durante a crise. Ao fim da crise, será hora de avaliar o aprendizado,</p><p>o que saiu bem e o que não foi exemplar e, a partir dessas entradas, melhorar</p><p>o plano com as lições aprendidas.</p><p>Mas o que devemos elencar em um plano de contingência? O objetivo do</p><p>plano é reduzir ao máximo as consequências negativas para a empresa. Neste</p><p>sentido, o risco deve ser quantificado de forma a listar as prioridades a serem</p><p>tratadas como preparo à continuidade do negócio. McCarthy (2014) sugere</p><p>uma fórmula simples:</p><p>Risco = Vulnerabilidade + Ameaça + Consequência</p><p>Para quantificar cada um desses itens, especialistas em gestão de riscos,</p><p>de TI e da área de negócios, assim como a camada de governança, deverão</p><p>se reunir para desenvolver o método de quantificação. É fundamental notar</p><p>que essa fórmula é somente uma sugestão. Há certamente outros métodos de</p><p>quantificação, e cada organização deverá utilizar o que for melhor para as suas</p><p>necessidades. Em alguns casos, a contratação de consultoria especializada</p><p>pode ser outra alternativa viável para auxiliar no desenvolvimento de uma</p><p>metodologia. A vantagem da contratação de uma empresa especialista é que,</p><p>certamente, ela oferecerá um produto que já foi validado em projetos anteriores</p><p>de outros clientes, conferindo robustez e confiança no uso do método.</p><p>3 Organização de processos de manutenção</p><p>para planos de contingência</p><p>Uma as tarefas mais desafiadoras de um plano de continuidade de negócios</p><p>é sua manutenção e melhoria constantes. O problema residente em planos</p><p>de contingência é que os planos são escritos e colocados “congelados” em</p><p>um local dentro da empresa (em uma biblioteca, se impresso,</p><p>ou em uma</p><p>Plano de contingência8</p><p>intranet, se eletrônico). A palavra que entra em campo aqui é o conformismo,</p><p>pois, com o plano pronto, todos os envolvidos na segurança se ocuparão com</p><p>outras atividades. Com o passar do tempo, à medida que a organização e seus</p><p>processos vão mudando, o plano se desatualiza e, quando for invocado, ele</p><p>de nada servirá.</p><p>Assim, o objetivo de manter o plano de contingência atualizado é assegurar</p><p>que, no momento em que ele for necessário, ele forneça informações seguras</p><p>para garantir sua execução com sucesso. As informações a serem atualizadas</p><p>e mantidas ficam contidas na seção “Estrutura do plano” (citada no tópico</p><p>anterior) em base periódica. Quando da manutenção, é fundamental registrar</p><p>as lições aprendidas na versão subsequente do plano, para que seja possível</p><p>rastrear o caminho da maturidade do plano.</p><p>Outro benefício das lições aprendidas é que elas ensinam como manter o</p><p>plano relevante com o passar do tempo. Segundo McCarthy (2014), as melhores</p><p>práticas da indústria e o PCI DSS (Payment Card Industry — Data Security</p><p>Standard, o padrão de segurança de dados para a indústria de cartões de cré-</p><p>dito e afins) sugerem que os planos de respostas a incidentes sejam testados</p><p>em base anual, envolvendo todos os participantes previstos, para que, se for</p><p>necessário colocar o plano em prática, ele apresente informações precisas e</p><p>efetivas com a estrutura e a equipe atuais.</p><p>A última parte da manutenção é a seção de recomendação. Nesse tópico</p><p>serão documentadas as sugestões de mudanças. O resultado de que algo não</p><p>está bom não é suficiente — a ideia é a melhoria constante. Daí a razão da</p><p>recomendação ser a última parte do plano.</p><p>Todo esse registro de documentação precisa ser bem gerenciado para futuras consultas,</p><p>demonstrações para auditorias e até mesmo defesa contra ações civis para demonstrar</p><p>que o assunto foi conduzido de forma séria. Considere uma solução de ECM (enterprise</p><p>content management) para isto.</p><p>9Plano de contingência</p><p>Em tempos nos quais toda a comunicação dentro de uma organização acontece</p><p>digitalmente, é fundamental centralizar a gestão de conteúdo em soluções con-</p><p>fiáveis. Soluções de ECM são excepcionais para gerenciar conteúdo corporativo.</p><p>Se quiser saber mais sobre essa disciplina, acesse o site da The Association for Intelligent</p><p>Information Management (AIIM) (em inglês). Você encontra o site facilmente em uma</p><p>busca na internet.</p><p>Entre as muitas informações geradas, como entradas para o processo de</p><p>melhoria, uma que aparece recorrentemente nas discussões sobre o assunto</p><p>é a contenção funcional, defendida por McCarthy (2014). Para entendê-la,</p><p>o exercício do vírus pode ajudar bastante. Se um vírus se espalhar rapidamente</p><p>pela Ásia e as autoridades de outros continentes desejarem proteger suas</p><p>populações, a medida de contenção seria o rompimento da conexão com o</p><p>continente asiático, o que tem reflexos imediatos nas viagens de avião.</p><p>Com a possibilidade de equipamentos como smartphones e laptops indi-</p><p>viduais acessarem a rede corporativa a partir da rede de casa ou de outros</p><p>locais fora da empresa, as superfícies de ataque se multiplicam considera-</p><p>velmente. No momento em que ocorre uma deflagração de um vírus global,</p><p>esses dispositivos portáteis poderiam ser impedidos de se conectarem à rede</p><p>como uma medida de contenção. Muito embora o bloqueio possa ser fácil de</p><p>compreender, ele não necessariamente será fácil de implementar — e não</p><p>por conta da tecnologia. Há que se considerar, por exemplo, o impacto da</p><p>contenção, pois o custo da “cura” pode ser mais alto do que o da “doença”,</p><p>dependendo do tempo de retenção.</p><p>Naturalmente, o exemplo é um entre muitos inputs para a melhoria de um</p><p>plano de contingência. O plano de resposta a emergências deve ser mantido</p><p>em outras frentes também, como operações de backup, recuperação pós-</p><p>-desastre para sistemas de informação organizacionais, entre outras (BROWN;</p><p>STALLINGS, 2014).</p><p>Muito embora a manutenção objetive a melhoria contínua de um plano</p><p>de continuidade de negócios, é fundamental que, após uma crise, haja um</p><p>planejamento para trazer a organização de volta à normalidade. Esse plano é</p><p>conhecido como PRD, ou plano de recuperação de desastres. Neste tipo de</p><p>planejamento estão contempladas catástrofes naturais, problemas derivados</p><p>Plano de contingência10</p><p>de manutenção ou ações de hackers. Nesse sentido, há opções como backup</p><p>para a recuperação de dados.</p><p>Quando se fala em backup, é fundamental envolver todos na organização</p><p>para um fato extremamente simples, mas que pode ser fatal na hora de recuperar</p><p>documentos importantes após um desastre: o local de armazenamento nas</p><p>estações locais. Há usuários que insistem em salvar documentos corporativos</p><p>em seus discos locais (C:) ou em pen drives, por exemplo, em vez de os salvarem</p><p>nos sistemas corporativos que estão cobertos pelo backup. Todos os usuários</p><p>devem ter ciência desse ponto — do contrário, a organização pode perder</p><p>ativos de informação importantes se sofrer um desastre. Por isso a segurança</p><p>é assunto de todos. Ignorar ações simples, como esse exemplo pode trazer</p><p>consequências expressivas para a empresa.</p><p>Nos casos de sinistros, o backup precisa ser recuperado rapidamente para</p><p>que a organização possa voltar a funcionar em pouco tempo. Em algumas</p><p>organizações, é uma prática guardar as mídias de backup fora da organização</p><p>(em guarda externa). Para implementar uma política de recuperação de desas-</p><p>tres, há que se pensar em ferramentas adequadas para o sucesso do projeto.</p><p>Para recuperação de desastres em ambientes físicos e virtuais, a organização</p><p>precisa considerar, por exemplo, o arquivamento de suas cópias na nuvem,</p><p>reduzindo custos com servidores locais. Uma grande vantagem da nuvem é</p><p>evitar que os dados estejam vulneráveis às ocorrências de desastres naturais</p><p>ou sinistros que possam acontecer dentro da organização.</p><p>Dependendo da criticidade do negócio, a antecipação é um fator mais do</p><p>que essencial. A contratação de um serviço de recuperação de desastres para</p><p>o caso de ataque de hackers pode ser a solução para garantir que a recupera-</p><p>ção seja imediata, além de garantir que todos os dados sejam recuperados e</p><p>minimizar os impactos negativos.</p><p>Muitos são os desafios para garantir que os dados possam ser recupera-</p><p>dos no menor tempo possível. Um deles, por exemplo, envolve a aquisição</p><p>de um gerador de energia capaz de manter a organização funcionando em</p><p>casos de queda de energia. Para evitar problemas com operadoras de internet,</p><p>a contratação de duas operadoras é outro, pois se o serviço com uma opera-</p><p>dora estiver indisponível, a outra deve suprir a comunicação. Data centers,</p><p>por exemplo, podem estar em outro local geograficamente distante, para que</p><p>a empresa tenha uma estrutura que a atenda em situações de emergência.</p><p>Neste ponto, a solução de cloud computing (computação em nuvem) pode</p><p>oferecer uma infraestrutura de TI on-line, segura e com alta disponibilidade,</p><p>para minimizar a obsolescência em ambientes cada vez mais complexos e que</p><p>demandam recuperação em tempos cada vez menores.</p><p>11Plano de contingência</p><p>A obsolescência é um tema constante em TI. Por isso, uma análise profunda</p><p>de sua estrutura, de forma proativa, se faz necessária (estrutura de bancos de</p><p>dados, rede, equipamentos, etc.). Se a TI estiver desatualizada, ela não performará</p><p>no momento em que se fizer necessária. Por outro lado, há um custo de manter</p><p>a TI sempre atualizada com a última geração de sistemas e infraestrutura. Uma</p><p>análise de riscos sensata parece ser a opção mais razoável para que a TI esteja</p><p>pronta sem exigir, por parte da organização, um extremo esforço financeiro.</p><p>Para que não haja dúvida, é importante que se diferencie o PCN (plano</p><p>de continuidade de negócios) do PRD (plano de recuperação de desastres).</p><p>O PCN trata das contingências, dos caminhos alternativos a serem seguidos</p><p>no caso de uma crise, ou seja, ele é tratado antes do desastre. Já o PRD toma</p><p>as medidas necessárias</p><p>para que a normalidade seja retomada enquanto a</p><p>crise está em curso.</p><p>Para garantir um modelo sólido computacional, é essencial garantir as</p><p>propriedades de segurança que deverão ser asseguradas, antecipar os tipos</p><p>de ataque que poderão ser lançados e, então, desenvolver defesas específicas</p><p>(GOODRICH; TAMASSIA, 2013). Nesse sentido, é fundamental considerar</p><p>também a perspectiva do risco, pois um plano de contingência, em alguns</p><p>casos, acaba por ser uma extensão mais do que natural da gestão de riscos.</p><p>Perceba que o gerenciamento de riscos engloba a identificação daquilo que</p><p>pode, em algum momento futuro, afetar a organização. Entretanto, como é</p><p>conhecido, várias empresas não realizam a gestão de riscos e acabam por ter</p><p>de lidar com os desastres da forma mais traumática.</p><p>Há várias formas de tratar o risco, como as listadas a seguir:</p><p>� prevenir ou evitar o risco, eliminando a possibilidade de ele ocorrer;</p><p>� mitigar o risco, reduzindo a chance de ele ocorrer;</p><p>� transferir ou terceirizar o risco para outra pessoa;</p><p>� ignorar o risco, aceitando que ele pode ocorrer.</p><p>Uma ressalva importante sobre o último item (ignorar o risco): ele não necessariamente</p><p>representa algo negativo. Uma empresa, ao identificar determinado risco, pode nada</p><p>fazer a seu respeito, porque pode ter avaliado que, se ele se materializar, não gerará</p><p>impacto, ou o impacto será mínimo. Pode ocorrer ainda que o custo para minimizar</p><p>o risco seja muito maior do que o prejuízo gerado pela ocorrência do desastre.</p><p>Plano de contingência12</p><p>Como pode ser percebido, um plano de contingência, apesar de ser simples</p><p>de entender, é difícil de elaborar e manter, pois envolve expressivos recursos</p><p>dentro da organização. É fundamental que haja o apoio incondicional da</p><p>alta administração para a sua criação; se ela realmente não se engajar no</p><p>assunto, todo e qualquer movimento em relação a um plano de continuidade</p><p>de negócios será em vão.</p><p>ASSOCIAÇÃO BRASILEIRA DE NORMAS TÉCNICAS. NBR/ISO/IEC 17799: tecnologia da</p><p>informação: técnicas de segurança: código de prática para a gestão da segurança da</p><p>informação. Rio de Janeiro: ABNT, 2005. Substituída por: ABNT NBR ISO/IEC 27002:2005</p><p>em 2010.</p><p>BROWN, L.; STALLINGS, W. Segurança de computadores: princípios e práticas. Rio de</p><p>Janeiro: Elsevier, 2014.</p><p>FONTES, E. Praticando a segurança da informação. Rio de Janeiro: Brasport, 2008.</p><p>GOODRICH, M. T.; TAMASSIA, R. Introdução à segurança de computadores. Porto Alegre:</p><p>Bookman, 2013.</p><p>MCCARTHY, N. K. Resposta a incidentes de segurança em computadores - planos para</p><p>proteção de informação em risco. Porto Alegre: Bookman, 2014.</p><p>Leitura recomendada</p><p>PEIXOTO, M. C. P. Engenharia social e segurança da informação. Rio de Janeiro: Brasport,</p><p>2006.</p><p>13Plano de contingência</p>