Há anos, a resiliência cibernética vem sendo definida pela tecnologia – controles de segurança, recursos sofisticados de detecção e estratégias de backup cada vez mais robustas, projetadas para prevenir ataques ou permitir uma recuperação mais rápida. Esses investimentos continuam sendo essenciais, mas já não são suficientes. A IA mudou fundamentalmente a natureza dos ataques cibernéticos, que agora ocorrem a uma velocidade que desafia até mesmo organizações maduras. À medida que o intervalo entre a violação e a interrupção dos negócios continua a diminuir, a resiliência está se tornando menos uma questão de prevenir todos os ataques e mais uma questão de manter a empresa em funcionamento quando a prevenção inevitavelmente falha.
Essa mudança está no cerne do novo relatório da IDC, “Operações de Resiliência: A Disciplina que Torna a Readiness Comprovável”. Essa mudança está no cerne do novo relatório da IDC, Operações de Resiliência: A Disciplina que Torna a Readiness Comprovável. Com base em uma pesquisa realizada com mais de 500 organizações norte-americanas, o relatório argumenta que a resiliência está evoluindo para uma disciplina operacional multifuncional que conecta as prioridades de negócios à segurança cibernética, às operações de TI (ITOps) e à recuperação de desastres. Mais importante ainda, ele revela várias lacunas que sugerem que muitas organizações ainda estão se preparando para um cenário de ameaças que já não existe. Aqui estão as principais conclusões que se destacaram.
A recuperação deve começar pelos resultados comerciais – e não pelos técnicos.
Historicamente, o planejamento de recuperação tem se concentrado em restaurar a infraestrutura o mais rápido possível, sendo o sucesso avaliado por meio de metas de tempo de recuperação, taxas de conclusão de backup e disponibilidade de aplicativos. Embora essas métricas continuem sendo valiosas, elas não respondem necessariamente à pergunta que mais interessa aos executivos: quando poderemos colocar a empresa de volta em operação?
A IDC defende que a resiliência deve estar ligada aos resultados comerciais, e não a marcos técnicos — restaurando as capacidades que permitem à organização atender aos clientes, gerar receita e cumprir suas obrigações. Isso pode parecer uma questão de semântica, mas muda a forma como as prioridades de recuperação são estabelecidas. A tecnologia passa a ser um meio para atingir um fim, e não o fim em si.
A maioria das organizações ainda não definiu o que é mais importante.
Quase 6 em cada 10 organizações ainda não definiram completamente seu negócio mínimo viável (MVB) — o menor conjunto de funções, sistemas, processos e dados necessários para continuar operando após uma interrupção.
Sem um entendimento comum sobre o que realmente sustenta o negócio, cada ação tomada durante a recuperação passa a ser reativa. Ao definir seu MVB antes de uma crise, você possibilitará decisões mais rápidas, uma melhor coordenação durante a recuperação e, em última instância, uma organização mais resiliente.
A automação está se tornando a linha divisória entre resiliência e dependência para a recuperação.
Embora os invasores estejam automatizando cada vez mais as etapas de reconhecimento, exploração e movimentação lateral, muitas organizações ainda dependem de processos manuais de Recovery. Esse desequilíbrio está se tornando cada vez mais difícil de ignorar. A IA está reduzindo o tempo de execução dos ataques, mas os prazos de Recovery não acompanharam esse ritmo. As organizações que não conseguirem automatizar essas tarefas de recuperação podem acabar gastando dias elaborando e executando planos, enquanto o dano já tiver sido causado. A orquestração automatizada da recuperação, a identificação precisa de pontos de recuperação e a validação coordenada estão se tornando recursos essenciais para a recuperação na velocidade exigida pelos ataques modernos.
A tecnologia não é o maior desafio à resiliência — o alinhamento organizacional é que é.
As equipes de segurança concentram-se na contenção, as equipes de infraestrutura concentram-se na restauração, os líderes de negócios concentram-se no impacto sobre os clientes e as equipes de conformidade concentram-se nas obrigações regulatórias. Nenhuma dessas prioridades é, por si só, errada, mas, quando elas evoluem de forma independente, as organizações entram em uma crise sem um modelo operacional compartilhado.
É aí que entra o ResOps. Em vez de considerar a resiliência como uma responsabilidade da TI, o relatório a apresenta como uma disciplina que reúne deliberadamente os setores de negócios, segurança, infraestrutura e planejamento de recuperação. A mensagem é clara: a resiliência depende menos de ferramentas individuais e mais da criação de prioridades compartilhadas antes que um incidente o obrigue a tomar decisões difíceis.
A realização de testes continua sendo um dos indicadores mais sólidos de resiliência.
A IDC constatou que um número relativamente pequeno de organizações realiza exercícios de simulação em mesa ou simulações em ambiente virtual de segurança cibernética com frequência, apesar de décadas de evidências que demonstram que os ensaios melhoram consistentemente o desempenho durante incidentes reais.
Os exercícios revelam dependências ocultas, expõem falhas de comunicação e permitem que as equipes tomem decisões sem arcar com as consequências reais. As organizações que validam repetidamente seus processos de recuperação desenvolvem um nível de confiança que vai além do simples planejamento.
Os desafios de resiliência do futuro já estão se delineando.
O ransomware ainda domina as manchetes, mas os próximos desafios à resiliência já surgiram — desde a IA autônoma e as identidades de máquina até a criptografia pós-quântica.
Essas ameaças nos lembram que o planejamento de resiliência não pode se concentrar exclusivamente na infraestrutura atual. A recuperação envolve, cada vez mais, serviços em “nuvem”, aplicativos “SaaS”, modelos de IA, identidades de máquinas, provedores terceirizados e ecossistemas digitais distribuídos que não existiam há uma década.
A resiliência está se tornando mensurável.
O Modelo de Maturidade ResOps da IDC é inestimável para avaliar a situação atual de sua organização. Em vez de tratar a resiliência como algo que as organizações possuem ou não possuem, a estrutura descreve uma evolução de operações reativas e isoladas para uma resiliência madura e adaptativa, baseada em governança, automação e melhoria contínua. Para mim, essa evolução reconhece uma realidade importante: a resiliência nunca está concluída. Não se trata de adquirir uma plataforma ou concluir um projeto. As organizações tornam-se resilientes ao aprimorar continuamente a forma como a tecnologia, as pessoas e os processos de negócios trabalham juntos sob pressão. Vista sob essa perspectiva, a resiliência passa a ser menos um tipo de seguro e mais uma forma de excelência operacional — uma capacidade que pode ser avaliada, fortalecida e demonstrada ao longo do tempo.
Estamos passando por uma mudança mais ampla na forma como as organizações encaram a resiliência.
As discussões sobre resiliência estão evoluindo da proteção da infraestrutura para a proteção do próprio negócio. Isso significa que o planejamento de recuperação começa com os clientes, e não com os servidores; a governança passa a ser tão importante quanto a tecnologia; e a confiança advém da comprovação de capacidades, e não da documentação de intenções. O ResOps não é, na verdade, uma estrutura nova; trata-se, antes, de um reconhecimento mais amplo de que a resiliência cibernética se tornou uma disciplina operacional. À medida que os ataques se tornam mais rápidos e complexos, a resiliência será medida não pela ausência de incidentes, mas pela capacidade da organização de continuar atendendo aos clientes, apoiando os funcionários e mantendo a confiança, mesmo diante de interrupções. No fim das contas, é exatamente isso que o ResOps foi criado para comprovar. Rajiv Kottomtharayil é diretor de produtos da Commvault.