Para elaborar um plano de recuperação de desastres é necessário determinar as condições de ativação do plano, quem serão os responsáveis pelas ações e decisões, e quais os ativos necessários para que a organização possa executar suas operações de negócio. O guia proposto apresenta uma sequência de ações para a identificação destes ativos e sua priorização.
O primeiro passo para a elaboração do plano de recuperação de desastres é a definição do desastre que ocasionará a ativação do plano. O desastre pode ser definido pelos gestores e patrocinadores baseado na ocorrência de riscos que resultem na interrupção de uma grande quantidade de ativos. A parada total dos ativos de TI que são necessários para a execução dos processos de negócio é um exemplo bastante utilizado como desastre (WALLACE, 2004).
O plano de recuperação de desastres precisa ter suas condições de ativação bem definidas, como quais as consequências que ocasionariam na necessidade da recuperação de desastres, por exemplo, o incêndio do centro de processamento de dados da organização. Devem ser definidos os responsáveis por acionar e coordenar as ações após a ativação, estes responsáveis não necessariamente precisam ser as mesmas pessoas.
Além destes responsáveis citados, outros responsáveis precisam ser determinados, como quem deverá aprovar as ações do plano, este responsável é acionado quando as ações envolverem alterações nos processos organizacionais e podem apresentar vulnerabilidades. Deve ser determinado um responsável pela aprovação de investimentos e despesas necessárias para executar as ações, este responsável financeiro deverá trabalhar em constante comunicação com o responsável pelas ações e responsável pela aprovação. É necessário determinar quem será o responsável por realizar as aquisições e contratações necessárias, geralmente um funcionário do setor de compras, caso exista.
Da mesma forma que definido nos planos de resposta, o plano de comunicação precisa ser estabelecido. É importante que seja definido quem seve ser comunicado na ativação do plano, nas execuções e na conclusão do plano.
O responsável pelo plano, juntamente com os gestores de processo, patrocinadores e demais responsáveis devem definir um tempo para retorno das operações, um SLA. Este SLA definido é a expectativa da organização baseado na necessidade de retorno e capacidade operacional. O SLA aqui definido será recalculado após a elaboração das ações.
A organização precisa definir um local onde será executado o plano de recuperação de desastres. O local pode variar conforme o desastre ocorrido, em caso de destruição do local de produção deve ser definido um novo local para o reestabelecimento das operações.
Todas estas definições devem ser registradas no Anexo B 9.1 Ativação do plano de recuperação de desastres, conforme figura 21.
Figura 21: Registro da ativação e responsáveis pela recuperação de desastres.
A solução proposta traz um conjunto de ações para relacionar os ativos de TI, previamente identificados na análise de riscos ou específicos para restauração em novo cenário, como hardware, comunicação, infraestrutura, software, recursos humanos e serviços terceirizados necessários para a organização operar seu processo de negócio. É importante que os todos ativos necessários para operar o negócio como um todo sejam relacionados, não se limitando apenas aos ativos mínimos necessários.
O guia trata a recuperação como um todo, porém a organização pode optar por relacionar apenas os ativos mínimos necessários para o reestabelecimento das operações de negócio.
Para cada ativo deve ser estabelecido o responsável por sua recuperação, este responsável não necessariamente deve ser o responsável pelo ativo em produção.
Para cada ativo, deve ser determinada a prioridade de recuperação em alta, média ou baixa. Estas prioridades podem diferir das previamente identificadas na análise de riscos, pois nesta etapa está sendo definida a prioridade para recuperação em uma ordem para reestabelecimento da operação de negócio como um todo. A prioridade dos ativos deve ser
estabelecida a partir de um consenso entre a equipe de TI, os gestores de processo e usuários chave envolvidos em cada ativo.
Um ativo de alta prioridade de recuperação é um ativo que deve ser recuperado o mais rápido possível, necessário para o reestabelecimento da operação nas condições mínimas. Um ativo de média prioridade de recuperação é um ativo que deve ser recuperado para reestabelecer as operações de negócio, mas que não são urgentes. Um ativo de baixa prioridade de recuperação deve ser recuperado para o retorno em produção após a operação estar reestabelecida.
a) Ativos de Hardware Mínimos necessários
O primeiro tipo de ativos a ser identificado deve ser o Hardware. Deve-se relacionar os ativos de Hardware necessários para manter a operação de negócio funcional, identificando um responsável técnico por administrá-los na ativação do plano de recuperação. Para cada ativo de hardware deve-se identificar a quantidade necessária, a descrição técnica detalhada do hardware para ser adquirido em caso de necessidade, se este ativo possui redundância ou precisará ser adquirido em caso de desastre, o custo da recuperação deste ativo e qual a sua prioridade de recuperação.
Os ativos de hardware necessários podem ser separados em servidores, computadores de usuário, computadores portáteis, impressoras, periféricos como monitores, leitores de código de barras, entre outros, hardware para restauração das cópias de segurança e outros possíveis equipamentos necessários.
Todas as definições devem ser registradas no Anexo B, 9.2.1 Ativos de TI mínimos necessários. A figura 22 representa a tabela para registro dos ativos da estrutura para a continuidade, os demais tipos de ativo seguem este padrão.
Figura 22: Artefato para registro dos ativos de TI necessários para o reestabelecimento da operação de negócio
b) Ativos de comunicação mínimos necessários
Os ativos de comunicação necessários para operacionalizar o negócio da organização devem ser identificados. Para cada ativo deve ser identificado um responsável técnico por
administrá-los na ativação do plano de recuperação, a quantidade necessária se aplicável, a descrição técnica para aquisição se necessária, se este ativo possui redundância ou precisará ser adquirido em caso de desastre, o custo da recuperação deste ativo e qual a sua prioridade de recuperação.
Ativos de comunicação que podem ser identificados nesta atividade são comutadores de rede, Switches, a infraestrutura de cabeamento necessária e suas particularidades como conexão, categoria e equipamentos que permitem a comunicação como conversores, roteadores de rede sem fio e outros equipamentos necessários. Os serviços de conexão a internet e telefonia devem ser identificados, detalhando a operadora e velocidade, juntamente com os equipamentos necessários para sua operação como roteadores, centrais e aparelhos telefônicos.
Todas as definições devem ser registradas no Anexo B, 9.2.1 Ativos de TI mínimos necessários.
c) Ativos de infraestrutura necessários
Os ativos de infraestrutura como fornecimento de energia, estrutura predial e outros necessários para a operação devem ser identificados. Nesta atividade deve-se relacionar os ativos de infraestrutura, identificando um responsável técnico por administrá-los na ativação do plano de recuperação. Para cada ativo de infraestrutura deve-se identificar a quantidade necessária se aplicável, a descrição detalhada para aquisição se necessária, se o ativo possui redundância ou precisará ser adquirido em caso de desastre, o custo da recuperação deste ativo e qual a sua prioridade de recuperação.
São possíveis ativos de infraestrutura a serem relacionados nesta atividade: o fornecimento de energia, estrutura predial, ativos de segurança como controle de acesso, câmeras, aparelhos de ar condicionado e estabilizadores de energia.
Todas as definições devem ser registradas no Anexo B, 9.2.1 Ativos de TI mínimos necessários.
d) Ativos de software e sistemas de informação necessários
Os sistemas de informação são essenciais para a operação de negócio da organização. Os ativos de software e sistemas devem ser relacionados, identificando um responsável técnico por administrá-los na ativação do plano de recuperação.
Para cada ativo de software e sistemas de informação deve-se identificar a quantidade necessária se aplicável, a descrição da arquitetura do sistema a fim de facilitar na
elaboração das ações, se este ativo possui redundância ou precisará ser adquirido em caso de desastre, o custo da recuperação deste ativo e qual a sua prioridade de recuperação.
As aplicações de negócio devem ser identificadas e em sua descrição deve constar um resumo de sua arquitetura e funcionamento, relacionando outros ativos que são necessários para o seu funcionamento. É muito importante identificar se há cópias de segurança destas aplicações, seja dos bancos de dados ou dos programas ou instaladores necessários. Quanto aos softwares, é importante identificar se há cópias de segurança das mídias e licenças destes softwares. Os sistemas gerenciados de banco de dados também precisam ser identificados , descrevendo suas características técnicas, quais sistemas o utilizam e se há cópias de segurança tanto das informações dos bancos de dados quanto da sua configuração, das mídias e das licenças para restauração.
Além dos sistemas e software, é importante identificar sistemas de arquivos de rede ou outros arquivos necessários para o processo de negócio, identificando sua localização, ativos envolvidos e existência de cópias de segurança dos mesmos.
É importante definir qual o custo de restauração dos ativos de software e programas caso necessários. Este custo deve incluir serviços de terceiros caso acionados.
Todas as definições devem ser registradas no Anexo B, 9.2.1 Ativos de TI mínimos necessários.
e) Ativos de recursos humanos necessários
As pessoas envolvidas na recuperação de desastres são os ativos mais importantes do processo. É indispensável identificar os recursos humanos necessários para reestabelecer o ambiente tecnológico, identificando a competência necessária, seja esta equipe presente na organização ou não. Para cada competência de recursos humanos identificados devem-se identificar os cargos necessários, a quantidade de pessoas para exercer o cargo, as funções deste cargo, identificar se a organização já possui esta pessoa ou não, se ela deve ser funcionária da organização ou terceira. Cada recurso humano deve ser atribuído uma criticidade desta pessoa no processo, definido em baixo, média e alta através do número de tarefas que esta pessoa irá executar e sua importância.
Todas as definições devem ser registradas no Anexo B, 9.2.2 Ativos de recursos humanos mínimos necessários.
f) Serviços de terceiros necessários
Alguns serviços terceirizados são necessários para a operação da organização, deve- se identificar os serviços de terceiros necessários para operacionalizar o ambiente tecnológico como fornecimento de energia externo, fornecimento de serviços de infraestrutura predial, fornecimento de suporte à servidores, fornecimento de suporte a sistemas, entre outros.
Para cada serviço identificar o terceiro envolvido, a descrição dos serviços prestados, o contato de quem deve ser acionado, o custo aproximado do serviço que será prestado e a necessidade de acionamento do terceiro conforme priorização dos ativos. Os terceiros envolvidos devem ser registrados na aba de contatos do artefato do plano de continuidade.
Todas as definições devem ser registradas no Anexo B, 9.2.3 Serviços de terceiros mínimos necessários.
Após toda a definição da estrutura mínima, é essencial revisar tudo o que foi identificado nesta atividade para garantir que nenhum ativo tenha ficado de fora do levantamento. As definições de estrutura para a recuperação de desastres devem ser apresentadas para os patrocinadores e gestores de processo. É importante que seja registrada em ata para acompanhamento futuro, através dela podem surgir planos de ação para melhorar a estrutura de contingência.