O que é ResOps – e por que a resiliência cibernética precisa dela

Pontos principais

• O ResOps não é um produto tecnológico. Trata-se de uma disciplina operacional multifuncional que ajuda a promover a resiliência cibernética da organização.
• Ela complementa o backup, a recuperação de desastres, a segurança cibernética, a continuidade dos negócios e a resposta a incidentes, alinhando essas funções em torno de resultados de recuperação de ponta a ponta.
• O ResOps concentra-se em serviços críticos e nos limites de impacto definidos pela empresa, em vez de componentes isolados da infraestrutura.
• Baseia-se na geração contínua de evidências, incluindo resultados de testes de Recovery, indicadores de resiliência de serviços e um inventário próprio de lacunas.
• O ResOps é um processo contínuo. Nem a elaboração de um plano nem a realização de um exercício pontual bem-sucedido são suficientes para estabelecer uma capacidade de recuperação duradoura.

O novo desafio da resiliência

A maioria das organizações investe em segurança cibernética, Backup and Recovery, Recovery de desastres e continuidade de negócios. No entanto, muitos executivos ainda enfrentam três questões críticas: Podemos nos recuperar? Quanto tempo levará a recuperação? E podemos provar isso? Parte do desafio é que a responsabilidade pela resiliência está distribuída entre equipes que, muitas vezes, operam em silos. A equipe de segurança gerencia ameaças. A equipe de TI mantém os sistemas. As equipes de Backup and Recovery restauram dados e infraestrutura. As equipes de continuidade de negócios se concentram em manter a organização em funcionamento. Cada uma desempenha um papel importante, mas a responsabilidade pela recuperação pode permanecer fragmentada.

O ResOps reúne essas funções em torno de prioridades compartilhadas, metas de Recovery e evidências. O resultado é uma maneira mais prática de abordar a resiliência: saber o que é mais importante, entender o que é necessário para recuperá-lo, testar se a recuperação funciona e agir sobre as lacunas encontradas.

O que é ResOps?

O ResOps é a disciplina operacional que reúne segurança, infraestrutura, operações de TI, continuidade de negócios e responsáveis de negócios em torno de serviços críticos, projetos resilientes e validação contínua. Em termos simples, o ResOps ajuda as equipes a se prepararem para interrupções, recuperar serviços críticos dentro das tolerâncias de impacto definidas pela empresa e demonstrar, com base em evidências, que a recuperação funciona.

Quatro características definem o ResOps. Ele é:

1. Multifuncional por natureza. O ResOps conecta responsabilidades distribuídas por meio de um modelo operacional compartilhado, atribuição de responsabilidades e governança executiva.
2. Centrado em serviços críticos. Prioriza os serviços que a organização deve restaurar para entregar valor essencial, atender aos clientes e gerar receita; além de ajudar a cumprir obrigações urgentes de natureza jurídica, regulatória, de segurança e de missão.
3. Validado continuamente. A resiliência é uma postura que as equipes devem adotar e aprimorar — não um estado estabelecido por um teste anual.
4. Medido por meio de evidências. O ResOps produz uma pontuação de postura de resiliência (RPS): uma pontuação por serviço, respaldada por evidências, que mede o grau de recuperabilidade de um único serviço crítico com base em resultados de validação, integridade das dependências e confiança na recuperação sem falhas.

O que não é ResOps?

Não é uma categoria de produto.

Nenhuma plataforma pode criar o ResOps por si só. Tecnologias de proteção de dados, Recovery cibernética, automação, observabilidade e testes podem apoiar a disciplina, mas o ResOps é organizacional. Ele depende de governança, responsabilidade compartilhada, prioridades de negócios, práticas operacionais e um padrão comum de evidências.

Não substitui o Backup and Recovery nem a Recuperação de Desastres.

O ResOps não substitui recursos robustos de Backup and Recovery de desastres: ele depende deles. O backup determina se existem cópias recuperáveis. A Recovery fornece os procedimentos e os recursos técnicos para ajudar a restaurar sistemas e infraestrutura.

Mas, então, o ResOps levanta uma questão mais ampla: o serviço crítico pode retornar de forma completa, sem falhas e dentro dos limites de tolerância, incluindo suas identidades, aplicativos, dados, infraestrutura, serviços em nuvem, terceiros, pessoas e processos de tomada de decisão?

Não se trata apenas de outro nome para continuidade de negócios ou resposta a incidentes.

A continuidade de negócios define como a empresa opera durante interrupções. A resposta a incidentes detecta, contém e gerencia o evento. O ResOps conecta essas disciplinas ao resultado da Recovery. Ele cria um ritmo operacional para que as equipes cheguem a um consenso sobre o que é importante, validem a Recovery em condições realistas, meçam os resultados e corrijam as lacunas reveladas pelos testes.

Não se trata de um exercício de conformidade nem de um projeto pontual.

Um programa maduro de ResOps pode ajudar a gerar evidências para conselhos administrativos, órgãos reguladores, seguradoras, clientes e auditores. Mas a documentação é um subproduto, não o objetivo. O objetivo é a capacidade de recuperação comprovada.

E como sistemas, dependências, ameaças e prioridades de negócios estão em constante mudança, o ResOps nunca está “concluído”. Ele opera continuamente, assim como o planejamento financeiro ou as operações de segurança.

O que muda com o ResOps?

O ResOps muda o foco: em vez de verificar se sistemas e processos individuais estão funcionando, passa a verificar se o serviço crítico como um todo pode ser recuperado. Isso muda as perguntas que os líderes podem fazer.

Um backup bem-sucedido é importante. Ter um plano de recuperação também é. Mas nenhum dos dois indica se um serviço crítico pode realmente ser restaurado quando você precisar. O ResOps analisa o panorama geral:

• Conseguimos nos recuperar a partir de um ponto de Recovery verificado e válido?
• Quanto tempo levou?
• Conseguimos nos recuperar dentro dos limites estabelecidos pela empresa?
• E o que ainda precisa de atenção?

É por isso que o ResOps é importante. Ele oferece às organizações uma maneira de ir além de suposições sobre resiliência, passando para demonstrações programáticas e confiáveis de sua capacidade de recuperação. E isso é feito por meio da produção contínua de evidências e rastreabilidade. Assim, quando ocorre uma interrupção, a questão não é se cada equipe cumpriu sua parte ou quem falhou em qual tarefa. A questão é se a empresa consegue restaurar os serviços críticos dos quais seus clientes dependem.

Saiba mais

A Commvault publicou o “ResOps: Um Guia Executivo” para oferecer aos CISOs, CIOs e líderes de TI, segurança, resiliência e Risk uma estrutura prática para implementar o ResOps em suas organizações.

Os líderes aprenderão a identificar os serviços mais importantes, validar a Readiness para Recovery com evidências reais e testar continuamente a resiliência. Como resultado, as organizações podem estabelecer um modelo operacional único que une os líderes de segurança, infraestrutura, operações de TI e negócios em torno da capacidade de Recovery baseada em evidências.

Baixe o guia aqui. 

Perguntas frequentes

P: O ResOps é simplesmente um novo nome para “Recovery”?

R: Não. A recuperação de desastres é uma parte essencial do ResOps, mas o ResOps analisa todo o serviço crítico — incluindo dependências técnicas, de terceiros, humanas e de tomada de decisão — e se ele pode ser recuperado dentro de uma tolerância a impactos definida pela empresa.

P: O ResOps exige a aquisição de uma nova plataforma?

R: Não. A tecnologia pode apoiar o mapeamento, os testes, a Recovery e a coleta de evidências, mas o ResOps começa com a responsabilidade, a governança, as prioridades de negócios e as práticas operacionais.

P: Quem é o responsável pelo ResOps?

R: O ResOps precisa de um líder designado com autoridade multifuncional e apoio da alta administração. Os responsáveis individuais pelos serviços continuam sendo responsáveis por seus respectivos serviços, enquanto as equipes de segurança, TI, continuidade de negócios e negócios contribuem para o resultado compartilhado da Recovery.

P: Como o sucesso do ResOps é medido?

R: O sucesso decorre de evidências atuais de que os serviços críticos podem ser recuperados sem problemas dentro de suas tolerâncias de impacto definidas — e não simplesmente pela conclusão de um plano ou pela execução bem-sucedida de uma tarefa de backup.

A pontuação de postura de resiliência (RPS) também é uma ferramenta de medição útil. Como uma pontuação por serviço, respaldada por evidências, a RPS ajuda a demonstrar o grau de recuperabilidade de um único serviço crítico com base em resultados de validação, integridade das dependências e confiança na recuperação sem falhas.

P: Como as organizações começam a implementar o ResOps?

R: Comece identificando os serviços críticos dos quais a empresa depende, quem é o responsável por eles, de que eles dependem e com que rapidez precisam ser recuperados. A partir daí, as equipes podem validar a Recovery, identificar lacunas e priorizar o trabalho necessário para fortalecer a resiliência.

Michael Thelander é diretor sênior de marketing de produto na Commvault.