O Plano de Continuidade dos Negócios é crucial para qualquer organização, especialmente para os Provedores de Internet (ISPs), nesta matéria, exploraremos a importância e os riscos que os provedores enfrentam para construir um plano robusto que possa garantir a resiliência e continuidade da operação.
O que é Continuidade de Negócios e por que é vital para ISPs?
A continuidade de negócios é a capacidade que uma organização tem em manter suas operações, mesmo que somente as essenciais, em funcionamento durante e após eventos ou incidentes. Para o ISP, isso significa garantir que seus clientes continuem com acesso à internet independentemente de desastres naturais, ataques cibernéticos, falhas de equipamentos ou outros eventos inesperados, o que no ambiente instável que vivemos é extremamente difícil e complexo.
A continuidade de negócios não é apenas uma questão de manter clientes conectados, mas de proteger a reputação da empresa, evitar perdas financeiras ou manter a conformidade com algumas leis e regulamentações é uma questão de sobrevivência corporativa e respeito com o cliente e toda cadeia produtiva da empresa.
Construindo um Plano de Continuidade de Negócios para ISPs:
Um plano de continuidade de negócios eficaz garante a sobrevivência do ISP nessa área tão competitiva, para iniciar o seu plano, siga as etapas:
- Análise de Impacto nos Negócios: Primeiramente identifique os pontos críticos do negócio: fornecimento do acesso, trechos flats sem redundância, gerenciamento da rede, monitoramento, equipamentos de borda, suporte ao cliente (telefonia/chat), autenticação, cobrança e sistemas de gestão.
Depois de todos os pontos identificados, determine os impactos de interrupções em cada processo, incluindo perdas financeiras, danos à reputação e perda de clientes. Para cada um deles defina métricas de recuperação, no TI usamos duas métricas importantes na recuperação de backups, que é o RTO (tempo máximo aceitável para recuperação) e o RPO (quantidade máxima aceitável de dados perdidos)
- Avaliação de Riscos: Com os impactos mapeados, a identificação dos riscos vem logo em seguida, identifique tudo que possa afetar a continuidade da operação, como: desastres naturais, acidentes, ataques cibernéticos, falhas de equipamentos, falhas de energia, erros humanos, interrupção na cadeia de suprimentos, vazamento de senhas etc. Para a avaliação de riscos, eu aconselho usar a Matriz de GUT, que é uma matriz de priorização onde você pontua a (G)ravidade, (U)rgência e (T)endencia, assim a sua avaliação já identificará os principais pontos a serem tratados
- Estratégia de Continuidade: Crie estratégias de mitigação aos riscos que foram identificados, como exemplo, podemos citar: redundância de equipamentos, de links de internet, de equipamentos, de sistemas de energia, de servidores, tenha backups regulares e diários, salvos em locais seguros e distintos além de armazenados em tipos de mídias diferentes
Tenha um Plano de recuperação de desastres do TI (disaster recovery plan) com o passo a passo de recuperação dos dados e sistemas, incluindo o plano de comunicação (que é extremamente eficaz em momentos de crise, o plano deve conter os canais claros para comunicação com os clientes já com a mensageria que será enviada, com os prazos de recuperação e medidas tomadas, avisos aos colaboradores, fornecedores e parceiros envolvidos. Transparência e rapidez na comunicação é essencial para transmitir confiança e minimizar os impactos).
Invista em mecanismos de redundância automática, para que os serviços sejam transferidos automaticamente para sistemas redundantes em casos de falha, como exemplo posso citar a contratação de um datacenter externo para hospedar cópias dos principais sistemas usados no ISP para serem ativados em caso de falha.
Atualmente, a segurança cibernética é um dos principais riscos e devido a isso implemente medidas de segurança robustas para proteger contra-ataques cibernéticos, como firewalls e software antivírus (ambos preferencialmente next-gen), autenticação multifator (MFA), monitoramento contínuo, sistemas de detecção de intrusão e o que não pode faltar em qualquer empresa é o treinamento de conscientização em segurança para funcionários, este é o ponto de grande atenção que geralmente é negligenciado e onde normalmente as invasões acontecem.
Também avalie os riscos relacionados aos seus fornecedores e desenvolva planos de contingência para lidar com interrupções nos serviços, vazamento de dados e na cadeia de fornecimento.
- Plano de Resposta a Incidentes: Além das estratégias de mitigação, é necessário ter o plano de resposta a incidentes que contenha os procedimentos de comunicação do incidente, procedimentos de recuperação da rede, sistemas e/ou equipamentos, critérios de determinação e definição do retorno da operação, implemente sistemas de monitoramento e alerta para detecção de incidentes em tempo real para rapidez nas tratativas do incidente e tenha um espaço físico ou virtual para uma sala de guerra para interação da equipe de incidentes e ações coordenadas.
- Testes e Simulações: A realização dos testes e simulações são fundamentais para manter a equipe treinada, direcionada no momento de crise e atualização do plano a cada teste, nosso mundo é volátil, e a cada dia que passa, novos sistemas e processos são implantados, eles precisam ser testados.
Checklist final para um Plano de Continuidade de Negócios:
- Realize uma Análise de Impacto nos Negócios.
- Identifique e priorize riscos com a Matriz GUT.
- Implemente redundância de equipamentos e links.
- Desenvolva um Plano de Resposta a Incidentes.
- Realize testes e simulações regularmente.
- Mantenha o plano atualizado e documentado.
Conclusão
A continuidade de negócios não é mais um diferencial, mas uma necessidade para ISPs que desejam manter-se competitivos. Comece hoje mesmo a revisar ou criar o seu plano, garanta que o seu esteja preparado para qualquer desafio, sabemos que incidentes acontecem, a diferença está na forma como o enfrentamos
Gustavo Leão
){kind=link}