Todas as organizações que já fracassaram em uma tentativa de recuperação — e há mais do que se imagina — tinham uma coisa em comum: acreditavam que poderiam se recuperar antes mesmo de tentarem.
Essa crença veio de algum lugar. Um exercício simulado concluído. Um sistema de backup que aparecia como “verde”. Um teste anual de recuperação de desastres que foi aprovado. Tudo isso documentado. Tudo isso, em algum momento, correto. Nada disso estava atualizado quando o incidente realmente ocorreu. Essa é a lacuna de confiança. E é essa lacuna que a validação contínua da recuperação se propõe a preencher.
O que “testes” realmente significam na maioria das organizações
Pergunte à maioria dos líderes de segurança ou de TI com que frequência eles testam sua capacidade de recuperação, e a resposta geralmente é “uma vez por ano”, às vezes “duas vezes por ano”. O teste envolve restaurar um subconjunto de sistemas a partir de um backup em um ambiente de teste, confirmar se eles entram em operação e elaborar um relatório. Às vezes, um exercício simulado é realizado paralelamente a isso. O que esse tipo de teste não faz: validar se os dados de backup estão livres de malware; confirmar se a sequência de recuperação funciona para serviços interdependentes; testar a Recovery de identidades, o que é essencial quando credenciais comprometidas foram o que possibilitou o ataque; confirmar se a equipe que realmente executaria a Recovery conhece os manuais de procedimentos atuais. Ou produzir evidências significativas o suficiente para convencer um órgão regulador, um auditor ou um conselho de que a capacidade de Recovery é real e está atualizada. Em resumo, ela valida um momento específico. As operações de resiliência (ResOps) exigem que a validação seja um estado contínuo.
O Modelo de Validação Contínua
A validação contínua da recuperação não consiste em realizar um único teste com maior frequência. Trata-se de um conjunto de práticas integradas que geram comprovação contínua e baseada em evidências da capacidade de recuperação em todos os serviços críticos. Verificação automatizada da integridade do backup. Cada backup é avaliado continuamente quanto a anomalias, padrões de criptografia e assinaturas de malware. Não no momento da restauração – antes do momento da restauração. O objetivo é saber se seus pontos de recuperação estão íntegros antes de você precisar deles, não durante um incidente.
Cleanroom Recovery programadas. Realizados pelo menos duas vezes por ano, envolvem a restauração a partir de pontos de backup imutáveis em um ambiente isolado — não no ambiente de produção, nem em um ambiente de teste adjacente à produção, mas em um espaço genuinamente isolado onde a análise forense possa ocorrer sem risco de reinfecção. Esses simulados geram evidências documentadas da capacidade de recuperação em relação a tolerâncias de impacto definidas.
Validação da recuperação de identidade. Como o uso indevido de credenciais é o vetor de violação mais comum, a recuperação do Active Directory e do Entra ID deve ser testada em conjunto com a recuperação de dados. As organizações que restauram sistemas sem restaurar uma camada de identidade comprovadamente segura podem perceber que os invasores voltam a entrar pela mesma porta.
Painéis do Indicador de Resiliência de Serviço (SRI). Os SRIs — sinais contínuos extraídos de telemetria de backup, mapeamento de dependências e resultados de testes — oferecem aos CISOs, CIOs e conselhos de administração uma visão em tempo real do nível de recuperabilidade. Não se trata de um relatório pontual, mas de um sinal operacional contínuo.
Cada uma dessas práticas contribui para o que a Deloitte e a Commvault chamam de “backlog de resiliência”: uma lista continuamente atualizada e priorizada de lacunas identificadas por meio de testes e acompanhadas até sua resolução. É o mecanismo pelo qual a validação impulsiona melhorias, em vez de se limitar à simples produção de relatórios.
O que significa a variação no tempo médio de recuperação da limpeza
As métricas tradicionais de recuperação – objetivo de tempo de recuperação (RTO) e objetivo de ponto de recuperação (RPO) – medem a velocidade e a atualidade dos dados. Elas não dizem nada sobre se os dados que estão sendo restaurados são confiáveis. O Tempo Médio para Recuperação Limpa (MTCR) preenche essa lacuna: ele mede o tempo necessário para restaurar dados que estejam comprovadamente limpos, e não apenas tecnicamente disponíveis.
O MTCR é importante porque, em um incidente de ransomware, o objetivo do adversário costuma ser corromper as opções de recuperação, e não apenas criptografar os sistemas de produção. Uma organização que restaura rapidamente, mas o faz a partir de um backup comprometido, não se recuperou. Ela se reinfectou.
Incorporar o MTCR ao seu quadro de medição de resiliência, juntamente com o RTO e o RPO, altera os critérios que você utiliza para otimização e o que você apresenta ao conselho. Rapidez, atualidade e integridade: esse é o panorama completo da prontidão para a recuperação.
Resiliência que você pode comprovar
As organizações que enfrentam interrupções cibernéticas com o mínimo de danos têm uma característica em comum: elas tratam a capacidade de recuperação como algo a ser demonstrado continuamente, e não apenas afirmado periodicamente. Elas conhecem seu MTCR. Seus SRIs estão atualizados. Sua sala limpa foi testada nos últimos 90 dias. Essa postura não é resultado apenas de uma tecnologia melhor. É o resultado de uma disciplina operacional – ResOps – que torna a resiliência contínua, mensurável e governável. A plataforma da Commvault fornece a base técnica: Recovery limpa, validação automatizada e a visibilidade unificada sobre dados, identidades e serviços que o ResOps exige em escala.
Quanto ao lado organizacional dessa equação – como definir tolerâncias de impacto, alinhar a liderança executiva e construir a estrutura de governança que sustenta a disciplina –, consulte o blog complementar da Deloitte, “A conversa sobre resiliência que seu conselho ainda não está tendo”.
E para conhecer a estrutura completa do ResOps, incluindo os seis domínios do ResOps e o modelo de medição que vincula a recuperabilidade técnica à responsabilidade no nível do conselho, leia o white paper conjunto: “Da Viabilidade Mínima à Resiliência Operacional: ResOps na Prática”.
Bill O’Connell é Diretor de Segurança da Commvault
.
