Há décadas, os líderes do setor de tecnologia vêm tentando eliminar os silos. Programas inteiros de modernização foram desenvolvidos com o objetivo de conectar aplicativos, consolidar plataformas e proporcionar às organizações uma visão mais completa de seus dados. Esses esforços geraram um valor imenso, mas também moldaram a maneira como pensamos sobre resiliência. Quando algo dá errado, instintivamente procuramos a fragmentação técnica. No entanto, descobrimos que o maior desafio está em outro lugar.
Os silos mais significativos que afetam a resiliência cibernética atualmente não se encontram em bancos de dados ou aplicativos, mas nas estruturas organizacionais. Eles existem entre as equipes de segurança e de infraestrutura, entre a TI e os negócios, e entre as pessoas responsáveis por responder a um ataque e aquelas responsáveis por manter a organização em funcionamento.
A pesquisa mais recente da IDC sobre ResOps, intitulada “Resilience Operations: The Discipline that Makes Readiness Provable” (Operações de Resiliência: a disciplina que torna a prontidão comprovável), sugere que essas fronteiras organizacionais se tornaram um dos principais obstáculos à recuperação eficaz. Essa é uma observação oportuna, pois os ataques cibernéticos evoluíram de maneiras que podem tornar cada vez mais difícil manter essas fronteiras.
Os ataques modernos não seguem o organograma da sua empresa
Um ataque cibernético moderno raramente afeta apenas um único domínio tecnológico. Um incidente envolvendo ransomware pode começar com identidades comprometidas, espalhar-se por toda a infraestrutura em nuvem, criptografar cargas de trabalho críticas, interromper aplicativos voltados para o cliente, afetar serviços de terceiros e acionar requisitos regulatórios de notificação — tudo isso em questão de horas. Cada etapa envolve equipes diferentes, ferramentas diferentes e prioridades diferentes. No entanto, muitas organizações ainda se preparam para a recuperação como se essas responsabilidades pudessem ser gerenciadas de forma independente.
As equipes de segurança naturalmente se concentram em conter ameaças e preservar evidências. As equipes de infraestrutura priorizam a restauração de sistemas e a minimização do tempo de inatividade. Os líderes de negócios concentram-se nos clientes, na receita e na continuidade operacional. As equipes de comunicação pensam na reputação, enquanto as equipes jurídicas e de conformidade se concentram nas obrigações regulatórias. Cada ponto de vista é totalmente razoável. O problema surge quando essas prioridades nunca foram conciliadas antes da ocorrência de um incidente.
Em meio a uma crise, a Recovery exige a tomada de decisões sob pressão. Quais aplicativos devem ser restaurados primeiro? Quais dados podem ser restaurados com segurança? Qual é o nível de Risk aceitável antes da retomada dos serviços aos clientes? Quem tem autoridade para tomar essas decisões? Sem alinhamento, as organizações frequentemente percebem que os maiores atrasos não são causados pela tecnologia, mas pela incerteza — daquele tipo que poderia ser mitigada com uma melhor preparação.
A resiliência começa com uma definição comum do que é importante
O relatório enfatiza o estabelecimento do seu negócio mínimo viável (MVB). À primeira vista, parece ser mais um exercício de planejamento de recuperação, mas seu verdadeiro valor reside nas conversas que ele leva as organizações a terem.
Para definir um MVB, é necessário que os líderes empresariais, as equipes de segurança, os especialistas em infraestrutura e os responsáveis pelas aplicações cheguem a um consenso sobre uma questão que, à primeira vista, parece simples: O que precisa, sem dúvida alguma, continuar funcionando se todo o resto parar?
Essa discussão altera a natureza do planejamento de resiliência. As prioridades de recuperação não são mais determinadas pelo proprietário da aplicação que apresentar os argumentos mais convincentes durante um incidente. Em vez disso, elas são estabelecidas com antecedência, com base nos resultados de negócios e respaldadas por dependências técnicas que todos compreendem.
Talvez o mais importante seja que o MVB crie uma linguagem comum. Os líderes empresariais passam a falar sobre capacidades críticas, em vez de sistemas individuais. As equipes de tecnologia começam a mapear a infraestrutura com base nos resultados para o cliente, em vez de arquiteturas técnicas. As equipes de segurança ganham maior clareza sobre quais ativos merecem os mais altos níveis de proteção durante a Recovery. Esse entendimento comum é exatamente o que tem faltado a muitas organizações.
A tecnologia pode automatizar a recuperação – mas não pode criar alinhamento
O relatório não defende que as organizações precisem de mais uma plataforma. Ele defende que elas precisam de uma forma de trabalhar que alinhe pessoas, processos e tecnologia em torno de um único objetivo operacional. É aí que o ResOps – uma disciplina multifuncional – mostra seu valor.
A tecnologia pode ajudar a automatizar a Recovery, mas não pode resolver divergências sobre prioridades de negócios. Ela não pode decidir quais serviços ao cliente são mais importantes. E não pode substituir a governança necessária para coordenar várias equipes durante um evento de alta pressão. Esses são desafios de liderança, e a melhor maneira de enfrentá-los é dedicar tempo para responder juntos às perguntas difíceis, muito antes que um ataque o obrigue a agir.
As organizações mais fortes não eliminam os silos — elas os conectam
Os ataques cibernéticos continuarão evoluindo. A IA continuará reduzindo o tempo de execução dos ataques. Novas tecnologias introduzirão novas dependências, e novas ameaças surgirão junto com elas. Nada disso altera o requisito fundamental para a resiliência. As organizações não se recuperam porque equipes individuais tenham um desempenho brilhante isoladamente, mas porque essas equipes já sabem como trabalhar juntas.
Essa pode ser, em última análise, a principal conclusão da pesquisa da IDC. A resiliência não é simplesmente o resultado de uma tecnologia melhor ou de controles de segurança mais sofisticados. É o resultado de prioridades compartilhadas, uma governança clara e um modelo operacional comprovado que reúne as pessoas certas antes que um incidente ocorra. Vidya Shankaran é diretora de tecnologia de campo da Commvault.
