O que é resiliência operacional?

Eventos disruptivos de grande porte (sejam ataques cibernéticos, quedas de energia ou falhas no sistema) são inevitáveis. Nenhuma organização ou empresa está imune. A resiliência operacional vai além da recuperação de desastres, gerenciando proativamente eventos imprevistos. Essa abordagem exige a identificação de quais serviços são mais importantes para a empresa e a garantia de que permanecerão estáveis e se recuperarão rapidamente.

As empresas estão cada vez mais lidando com a necessidade de resiliência operacional. De acordo com uma pesquisa da BCI e da Riskonnect, 70% das organizações agora têm programas de resiliência operacional e outras 10% estão no processo de desenvolvimento de um.¹ A adesão às melhores práticas é a motivação mais comum para o desenvolvimento dessas estratégias, com a conformidade regulatória em segundo lugar.

Embora a resiliência operacional seja vital para todas as empresas, alguns setores exigem recursos robustos. As instituições financeiras são especialmente vulneráveis a incidentes de segurança e riscos cibernéticos. Elas devem proteger os dados dos clientes, manter a estabilidade do sistema financeiro e atender a regulamentações rigorosas, ou então correm o risco de perder a reputação e a confiança do cliente. Da mesma forma, as organizações de saúde são responsáveis por garantir a continuidade do atendimento durante eventos adversos e, ao mesmo tempo, atender aos requisitos de privacidade para dados confidenciais dos pacientes.

A resiliência operacional tornou-se uma missão crítica nos negócios modernos por vários motivos. Em um mundo digital "sempre conectado", espera-se que as organizações resistam a qualquer interrupção operacional, visto que cada segundo de downtime resulta em perdas financeiras, vulnerabilidades de segurança e riscos para os negócios.

Eventos catastróficos de grande magnitude, sejam eles pandemias ou desastres naturais, trouxeram à tona a necessidade de resiliência operacional. Além disso, a atividade regulatória em todo o mundo está aumentando, com o governo e outras autoridades emitindo orientações, leis e regulamentos para garantir que as empresas possam prever e se recuperar rapidamente de eventos adversos.

À medida que as empresas implementam de forma constante a inteligência artificial (IA) e dependem de parcerias para se manterem competitivas, as organizações devem garantir que essas dependências atendam aos mesmos padrões de segurança da informação, resiliência e controle exigidos por elas e por seus reguladores.

O cenário das ameaças cibernéticas também está evoluindo. De acordo com o IBM X-Force Threat Intelligence Index de 2024, os invasores estão migrando de ransomware para malware projetado para roubar informações.

Independentemente do setor, a confiança e a segurança devem estar na base da tomada de decisões sobre onde residem as cargas de trabalho e os dados.

Resiliência operacional, gestão de continuidade de negócios (BCM) e recuperação de desastres (DR) são todas estratégias para proteger os negócios, mas são processos distintos.

Uma estratégia de continuidade de negócios refere-se à capacidade de uma organização de manter funções de negócios cruciais e retomar as operações normais com o mínimo de downtime diante de de uma crise. A referida estratégia se concentra na criação de planos e procedimentos detalhados para garantir que os processos de negócios essenciais possam continuar durante as falhas na cadeia de suprimentos, pandemias ou outros incidentes inesperados.

Os planos de recuperação de desastres são mais técnicos e focados em TI. A recuperação de desastres envolve tecnologias de TI e melhores práticas para evitar ou minimizar a perda de dados e a paralisação dos negócios resultantes de eventos catastróficos, como falhas de equipamentos, ciberataques ou danos às instalações.

O foco está em pontos isolados de falha que podem interromper operações críticas, geralmente em um data center, seja no local ou na nuvem. A recuperação de desastres estabelece objetivos de tempo de recuperação (RTO) e objetivos de ponto de recuperação (RPO) específicos para restaurar sistemas de informação e dados.

É importante notar que a continuidade de negócios e a recuperação de desastres (BCDR) são frequentemente combinadas em estratégias integradas, mas também podem ser usadas separadamente dependendo dos objetivos de negócios.

Um plano de resiliência operacional é uma estratégia mais ampla que se refere à capacidade de uma empresa de prever, manter e restaurar seus serviços e funções críticos diante de um desafio. Enquanto a recuperação de desastres e a gestão de continuidade de negócios normalmente se concentram em cenários específicos e planos de recuperação, a resiliência operacional abrange todo o espectro de fatores (por exemplo, pessoas, processos, tecnologia, cadeia de suprimentos) que dão suporte às operações e à prestação de serviços empresariais. Ela evoluiu para lidar com ameaças cada vez mais sofisticadas.

Nos últimos anos, a resiliência operacional tornou-se uma prioridade regulatória para os governos e outras entidades em todo o mundo. Ela orienta setores altamente regulamentados (por exemplo, empresas de serviços financeiros, infraestruturas do mercado financeiro) na gestão dos requisitos de privacidade, resiliência cibernética, segurança e soberania de dados.

Para proteger o interesse público, esses órgãos reguladores estabeleceram práticas padronizadas para garantir que as organizações entendam suas vulnerabilidades e invistam em medidas de proteção para a estabilidade financeira.

Nos Estados Unidos, o Federal Reserve e outros reguladores bancários emitiram orientações sobre práticas de resiliência operacional. Internacionalmente, regulamentações como a Lei Operacional de Resiliência Digital (DORA) da União Europeia criaram frameworks vinculativos e abrangentes de gerenciamento de riscos de tecnologia da informação e comunicação (TIC) para instituições financeiras e seus provedores críticos de serviços de tecnologia terceirizados.

A resiliência operacional exige uma abordagem holística em áreas interconectadas, que incluem:

• Estrutura de gestão de riscos: as práticas de gestão de riscos operacionais constituem a base para a proteção contra ameaças internas e externas. As organizações devem identificar, avaliar e mitigar continuamente a exposição ao risco operacional, que vai de erro humano a falhas de tecnologia e sistema. Um gerenciamento de riscos eficaz permite que as organizações antecipem riscos em potencial e desenvolvam estratégias para reduzir seu impacto.
• Tecnologia e sistemas: a criação de uma infraestrutura robusta de tecnologia da informação (TI) é essencial. Os sistemas de TI, as aplicações, os dados e os controles de cibersegurança devem ser suficientemente fortes para resistir a interrupções e recuperar-se rapidamente em caso de incidentes operacionais.
• Pessoas e processos: funcionários qualificados, procedimentos bem definidos e um treinamento eficaz garantem que todos os stakeholders possam responder adequadamente durante as crises e manter as funções cruciais e a soberania digital.
• Instalações e infraestrutura: locais físicos como data centers, sistemas de energia e infraestrutura de redes devem ser protegidos e equipados com recursos de backup para apoiar a recuperação de desastres e a continuidade do negócio.
• Dependências de terceiros: fornecedores, provedores de serviços de nuvem e parceiros de terceirização introduzem dependências que exigem práticas de gerenciamento de riscos de terceiros para garantir que atendam aos padrões de resiliência.

As organizações constroem resiliência operacional em todas as principais áreas por meio de um ciclo de vida contínuo e proativo de quatro estágios.

As empresas devem identificar as funções críticas dos negócios, as possíveis ameaças e as vulnerabilidades em todo seu sistema de TI (por exemplo, no local, nuvem privada, nuvem soberana, nuvem pública e edge).

Essa abordagem envolve a realização de avaliações de risco cibernético, modelagem de ameaças e análises de impacto nos negócios (BIA) para identificar possíveis vulnerabilidades e funções importantes.

Esta etapa desenvolve e implementa estratégias para interromper ou reduzir o impacto de possíveis interrupções. Isso envolve a integração de políticas de segurança robustas, treinamento de funcionários e soluções de TI especializadas para evitar incidentes.

Esta etapa refere-se à ativação dos planos de resposta a incidentes e de continuidade de negócios para gerenciar uma crise em andamento e restaurar rapidamente as funções essenciais.

O objetivo é minimizar impactos e choques repentinos e garantir a continuidade de serviços essenciais.

Após um incidente, as organizações devem analisar o que ocorreu, coletar dados, avaliar a eficácia do plano e corrigir as lacunas identificadas para melhorar seus recursos de resiliência.

Converter a resiliência operacional em prática requer uma estratégia coerente que incorpore todo o sistema: equipes internas, processos, sistemas de tecnologia e entidades terceiras e quartas.

Muitas organizações enfrentam obstáculos como dados isolados, infraestrutura herdada e a complexidade dos testes de estresse em escala, sem interromper as operações comerciais críticas.

Um plano abrangente lida com esses problemas por meio das principais etapas apresentadas mais adiante.

Comece mapeando quais serviços são essenciais para o seu negócio e quais seriam os mais prejudicados caso fossem interrompidos. Estabeleça tolerâncias e métricas de impacto.

É importante não se concentrar apenas nos aspectos técnicos do negócio; certifique-se de considerar o impacto nos clientes, na receita e na reputação.

Documente como sistemas, pessoas e processos se conectam. Compreender essa interconectividade e interdependência ajuda a identificar possíveis reações em cadeia, como uma interrupção em um provedor de serviços terceirizado que afeta vários sistemas internos simultaneamente.

Ferramentas modernas de mapeamento de dependência podem automatizar a visibilidade em ambientes complexos e distribuídos.

Identifique pontos críticos de falha, como a dependência de um único data center. Crie uma linguagem de risco comum em toda a organização usando uma terminologia padronizada e escalas de classificação de risco que permitam uma comunicação consistente entre as equipes técnicas, os líderes de negócios e o conselho.

Considere tanto as ameaças tradicionais (por exemplo, falhas de hardware) quanto as ameaças emergentes (por exemplo, malware sofisticado). Análise e monitoramento orientados por IA podem ajudar a descobrir vulnerabilidades e possíveis pontos de falha em infraestruturas críticas.

Crie um framework de governança de dados que designe claramente a titularidade da gestão sênior. Atribua funções e responsabilidades claras (com medidas de responsabilização) para priorizar as atividades de resiliência operacional.

A liderança também deve estabelecer a tolerância ao risco da organização para determinar os investimentos e prioridades na resiliência.

Realize testes de cenário para validar seus recursos de resposta. Simulações e exercícios frequentes ajudam a garantir que as equipes estejam preparadas e que os planos de contingência permaneçam eficazes caso ocorram incidentes cibernéticos ou interrupções.

Incidentes reais e exercícios de testes ajudam a identificar lacunas. Avaliações e modificações de rotina ajudam a fortalecer os recursos de resiliência e a acompanhar as ameaças contínuas e as mudanças nos negócios.

Incorpore a conformidade à sua estratégia desde o início. Alinhe sua empresa com as regulamentações apropriadas e utilize frameworks do setor como o NIST.

O monitoramento automatizado da conformidade pode ajudar a demonstrar a conformidade contínua com os requisitos regulatórios.