Resiliência operacional: estruturas e melhores práticas

A resiliência operacional tornou-se uma prioridade no nível da diretoria, à medida que as organizações enfrentam ameaças cibernéticas sem precedentes e um rigoroso escrutínio regulatório. Os 166 incidentes cibernéticos significativos relatados à Autoridade de Conduta Financeira do Reino Unido em 2024, dos quais 89 foram atribuídos a ataques cibernéticos, ilustram a magnitude do desafio enfrentado pelas empresas modernas.

O impacto financeiro das falhas operacionais continua a aumentar: as organizações agora enfrentam perdas durante interrupções de alto impacto. Essa realidade impulsiona a mudança de uma recuperação reativa para estratégias proativas de resiliência que mantêm a prestação de serviços mesmo durante interrupções.

Exigências regulatórias em diversas jurisdições agora obrigam as organizações a demonstrar capacidade de prestação contínua de serviços. Com a Lei de Resiliência Operacional Digital e estruturas semelhantes surgindo globalmente, a resiliência operacional deixou de ser apenas uma prática recomendada para se tornar uma exigência regulatória.

A resiliência operacional representa a capacidade de fornecer serviços essenciais mesmo durante interrupções, mantendo as operações dentro de níveis de tolerância predefinidos. Ao contrário das abordagens tradicionais de Recovery, que se concentram na restauração após uma falha, a resiliência operacional enfatiza a prestação contínua de serviços durante e após as interrupções.

Essa mudança fundamental reflete as expectativas regulatórias nas principais jurisdições: as organizações devem identificar seus serviços essenciais, compreender as dependências, definir tolerâncias mensuráveis e demonstrar sua capacidade de operar dentro desses limites.

Uma abordagem estruturada à resiliência operacional aborda tanto as ameaças cibernéticas quanto os requisitos regulatórios por meio de estruturas integradas. As estruturas de resiliência empresarial fornecem a estrutura abrangente para a preparação organizacional, enquanto as estruturas de gestão de risco operacional abordam especificamente a identificação, avaliação e mitigação de riscos que poderiam interromper serviços críticos.

Essas estruturas convergem em torno de princípios comuns: pensamento centrado no serviço, tolerâncias mensuráveis e validação contínua por meio de testes.

Pilares da Estrutura de Resiliência Operacional

Esta tabela descreve os pilares centrais que constituem a base das estruturas de resiliência operacional em todas as jurisdições regulatórias.

A distinção entre resiliência operacional e continuidade de negócios altera fundamentalmente a forma como as organizações abordam a proteção dos serviços. A continuidade de negócios tradicionalmente se concentra na recuperação de processos internos após falhas específicas, enquanto a resiliência operacional prioriza a manutenção dos serviços voltados ao cliente durante interrupções.

Essa mudança de uma mentalidade centrada na entidade para uma centrada no serviço reflete a realidade de que cerca de dois terços das interrupções divulgadas publicamente envolvem prestadores terceirizados de TI ou de data centers.

Comparação: Resiliência operacional x Continuidade de negócios

A comparação abaixo esclarece as diferenças fundamentais entre essas disciplinas complementares, mas distintas.

A construção da resiliência operacional requer uma abordagem sistemática que esteja alinhada com as orientações regulatórias em todas as jurisdições. Os componentes da estrutura abaixo representam o consenso entre as expectativas regulatórias do Reino Unido, da União Europeia (DORA), do governo federal dos EUA e da Austrália:

1. Identificar os Serviços Críticos para o Negócio (CBS): As organizações devem determinar quais serviços causariam danos intoleráveis aos clientes ou aos mercados caso fossem interrompidos. Esse processo de identificação vai além das avaliações tradicionais de criticidade de TI; ele requer a compreensão das dependências dos clientes, dos impactos no mercado e das obrigações regulatórias. As empresas do setor de serviços financeiros concentram-se particularmente no processamento de pagamentos, no acesso às contas e nas capacidades de negociação como serviços críticos típicos.
2. Mapeamento de dependências: um mapeamento abrangente de ponta a ponta revela todos os recursos necessários para prestar cada serviço crítico. Isso inclui sistemas tecnológicos, pessoal, instalações, fluxos de dados e, fundamentalmente, prestadores de serviços terceirizados. O exercício de mapeamento frequentemente revela dependências ocultas: infraestrutura compartilhada, riscos de concentração e pontos únicos de falha que as avaliações tradicionais de risco não detectam.
3. Definir tolerâncias de impacto: as organizações devem definir os níveis máximos aceitáveis de interrupção para cada serviço crítico. Essas tolerâncias geralmente incluem medidas baseadas no tempo (por quanto tempo o serviço pode ficar prejudicado) e medidas baseadas no volume (qual redução na capacidade é aceitável). A norma australiana CPS 230 exige especificamente a notificação em até 24 horas caso uma interrupção exceda os níveis de tolerância definidos.
4. Testar e validar: Testes de cenários graves, mas plausíveis, validam se as organizações conseguem manter os serviços dentro dos níveis de tolerância. Os testes devem incluir cenários de ataques cibernéticos, levando em conta dados recentes. Ciclos regulares de testes substituem os exercícios teóricos anuais por uma validação contínua.
5. Aprender e se adaptar: A criação de ciclos de feedback transforma os resultados dos testes em melhorias práticas. As organizações devem demonstrar como incorporam as lições aprendidas, corrigem as vulnerabilidades identificadas e atualizam suas estruturas com base em ameaças emergentes e mudanças regulatórias.

As melhores práticas a seguir abordam as lacunas mais críticas que as organizações enfrentam ao implementar estruturas de resiliência operacional:

A recuperação limpa é fundamental: toda a estrutura de resiliência depende da capacidade de se recuperar rapidamente sem reintroduzir elementos comprometidos. As abordagens tradicionais de backup falham quando o ransomware criptografa ou corrompe os dados de recuperação.

• Melhor prática: Implemente backups imutáveis e isolados (air-gapped) com os recursos rápidos do Commvault Cleanroom. O armazenamento imutável impede a alteração ou exclusão dos dados de backup, enquanto os ambientes de cleanroom permitem a validação dos sistemas recuperados antes da restauração da produção. Essa abordagem resolve o problema ao fornecer pontos de recuperação comprovadamente válidos.

Visibilidade e testes contínuos: exercícios anuais não atendem mais às expectativas regulatórias nem às necessidades operacionais. As organizações exigem visibilidade em tempo real de sua postura de resiliência e recursos de testes automatizados.

• Melhor prática: Automatize os testes de Recovery e utilize IA/aprendizado de máquina para a detecção de anomalias. Os testes automatizados ajudam a validar os recursos de Recovery sem intervenção manual, enquanto a detecção habilitada por IA ajuda a identificar ameaças antes que elas se transformem em interrupções. Organizações com .

A resiliência operacional aborda diretamente a interseção entre a gestão de riscos operacionais e a continuidade dos serviços. Isso demonstra por que a resiliência se tornou uma preocupação no nível da diretoria. Além dos impactos financeiros, falhas operacionais minam a confiança dos clientes e desencadeiam o escrutínio regulatório.

O alinhamento com normas como as diretrizes do Comitê da Basiléia oferece uma abordagem estruturada para a mitigação de riscos. Os princípios da Basiléia enfatizam a governança, a gestão de riscos operacionais e o planejamento de continuidade de negócios como elementos interligados da resiliência. As organizações devem ir além das listas de verificação de conformidade para demonstrar capacidade genuína de manter serviços críticos.

Requisitos regulatórios específicos por jurisdição

A tabela abaixo detalha os requisitos regulatórios específicos e os prazos de implementação nas principais jurisdições.

Distinguindo conceitos de resiliência operacional

A resiliência operacional abrange, mas vai além, das disciplinas tradicionais de continuidade e recuperação. Enquanto a Recovery se concentra na restauração técnica do sistema e a continuidade de negócios aborda a recuperação de processos, a resiliência operacional mantém a prestação de serviços durante interrupções. Essa distinção é importante porque 40% das organizações sofreram grandes interrupções causadas por erro humano nos últimos três anos; a recuperação técnica, por si só, não é capaz de resolver tais problemas sistêmicos.

O risco operacional representa perdas potenciais decorrentes de processos inadequados ou com falhas, enquanto a resiliência operacional fornece a estrutura para continuar operando apesar dessas falhas. A relação é complementar: a gestão de riscos identifica possíveis interrupções, enquanto o planejamento de resiliência define como manter os serviços quando as interrupções ocorrem.

Esta tabela fornece um guia passo a passo para integrar recursos de resposta a incidentes em uma estratégia de resiliência operacional.

ResOps representa a transição da resiliência baseada em planejamento para uma prática operacional contínua. ResOps é a prática contínua e coordenada que automatiza a integração de proteção de dados, segurança cibernética e Recovery de desastres para atender às tolerâncias de impacto definidas. Esse modelo operacional transforma a resiliência de exercícios periódicos em capacidades mensuráveis e em tempo real.

As seções a seguir detalham como o ResOps operacionaliza cada componente da estrutura de resiliência operacional:

Mapeamento e tolerância: as tecnologias ResOps mapeiam automaticamente os ativos de TI para o CBS e automatizam a medição em relação às tolerâncias de impacto definidas. Esse mapeamento contínuo substitui a documentação estática por uma compreensão dinâmica das dependências dos serviços. O monitoramento de tolerância em tempo real oferece visibilidade imediata quando os serviços se aproximam dos limites definidos.

Detecção e resposta: a resposta imediata e unificada às ameaças torna-se possível por meio da detecção de anomalias impulsionada por IA e de planos de Recovery automatizados. O “como vetor de ataque” exige capacidades de resposta automatizadas que operem mais rapidamente do que a intervenção manual permite.

Testes e aprendizado: o ResOps transforma os testes de eventos anuais em processos contínuos. Testes automatizados em ambiente isolado validam os recursos de recuperação sem impacto na produção, enquanto o monitoramento contínuo oferece garantia mensurável da postura de resiliência. Essa abordagem reconhece a resiliência como uma função autônoma, alcançando 45,5% das organizações.

A vantagem da Commvault: O Commvault Cloud oferece a plataforma unificada que ajuda a viabilizar a verdadeira implementação do ResOps. Ao integrar recursos de backup, recuperação, segurança e conformidade, a Commvault ajuda a transformar a resiliência de um exercício de planejamento em operações mensuráveis e contínuas que ajudam a atender aos requisitos regulatórios e às necessidades de negócios.

A DORA exemplifica a mudança regulatória global em direção a requisitos obrigatórios de resiliência. A abordagem abrangente da DORA inclui a gestão de riscos de TIC, notificação de incidentes, testes de resiliência e gestão de riscos de terceiros. Os prazos para notificação de incidentes previstos na DORA exigem uma notificação inicial dentro de 4 horas após a classificação e, no máximo, 24 horas a partir do momento em que o incidente for detectado.

Bancos centrais em todo o mundo emitiram orientações semelhantes, reconhecendo que a estabilidade do sistema financeiro depende da resiliência de cada instituição. Essas regulamentações compartilham temas comuns: abordagens centradas nos serviços, tolerâncias mensuráveis, testes contínuos e responsabilidade no nível do conselho administrativo. A convergência das expectativas regulatórias cria um padrão global de fato para a resiliência operacional nos serviços financeiros.

O planejamento proativo da resiliência oferece benefícios mensuráveis que vão além da conformidade regulatória. A capacidade de manter os serviços dentro das tolerâncias definidas ajuda a evitar falhas em cascata que amplificam as interrupções iniciais.

O fortalecimento da posição de conformidade torna-se cada vez mais valioso à medida que as regulamentações mudam. As organizações que desenvolvem capacidades genuínas de resiliência se adaptam mais facilmente a novos requisitos, evitando as adaptações onerosas que a conformidade reativa exige.

Antes e depois da implementação da resiliência

Esta tabela compara os principais indicadores de desempenho antes e depois da implementação de estruturas de resiliência operacional. (Observe que os resultados “Após a implementação” são métricas do setor e não refletem resultados específicos de clientes da Commvault.)

A abordagem da Commvault em relação à resiliência operacional concentra-se na automação dos recursos fundamentais exigidos pelas estruturas de resiliência. A arquitetura unificada da plataforma ajuda a reduzir a complexidade do gerenciamento de ferramentas separadas de backup, Recovery, segurança e conformidade.

A recuperação rápida e limpa constitui a base da estratégia de resiliência da Commvault. Os recursos Commvault Cleanroom da plataforma ajudam a lidar com o fato de que restaurações tradicionais podem reintroduzir elementos comprometidos. Os processos de validação automatizados são projetados para verificar a integridade dos dados antes da restauração em produção, ajudando a reduzir tanto o tempo de recuperação quanto o risco.

As soluções da Commvault ajudam a atender aos requisitos regulatórios de tempo de inatividade quase nulo e proteção abrangente contra ameaças cibernéticas. Os recursos de backup imutável da plataforma ajudam a impedir adulterações ou exclusões, enquanto a proteção por isolamento físico (air-gap) oferece isolamento adicional contra ataques. Esses recursos ajudam a garantir a conformidade com os requisitos de tolerância a impactos em diversas jurisdições.

Roteiro de implementação da Commvault para resiliência operacional

A tabela a seguir apresenta as principais etapas para a integração das soluções da Commvault em uma estrutura de resiliência operacional.

Os líderes de TI que utilizam a Commvault para estratégias de resiliência podem se beneficiar da capacidade da plataforma de unificar recursos que antes estavam dispersos. Em vez de gerenciar várias ferramentas para backup, Recovery, segurança e conformidade, as organizações passam a contar com uma única plataforma que ajuda a entregar resultados mensuráveis em termos de resiliência. Essa consolidação ajuda a reduzir a complexidade, ao mesmo tempo em que melhora a visibilidade das capacidades reais de recuperação em comparação com os planos teóricos.

A transição para a resiliência operacional representa mais do que apenas conformidade regulatória; ela define como as organizações protegem seus serviços mais críticos em um ambiente onde as interrupções são inevitáveis. As organizações que implementam recursos de ResOps se posicionam para ajudar a atender tanto aos requisitos regulatórios atuais quanto às demandas futuras dos negócios.