Resiliência operacional: estruturas e melhores práticas

A resiliência operacional tornou-se uma prioridade no nível da diretoria, à medida que as organizações enfrentam ameaças cibernéticas sem precedentes e um rigoroso escrutínio regulatório. Os166 incidentes cibernéticos significativos relatados à Autoridade de Conduta Financeira do Reino Unido em 2024, dos quais89 foram atribuídos a ataques cibernéticos, ilustram a magnitude do desafio enfrentado pelas empresas modernas.

O impacto financeiro das falhas operacionais continua a aumentar: as organizações agora enfrentam perdas durante interrupções de alto impacto. Essa realidade impulsiona a mudança de uma recuperação reativa para estratégias proativas de resiliência que mantêm a prestação de serviços mesmo durante interrupções.

Exigências regulatórias em diversas jurisdições agora obrigam as organizações a demonstrar capacidade de prestação contínua de serviços. Com aLei de Resiliência Operacional Digitale estruturas semelhantes surgindo globalmente, a resiliência operacional deixou de ser apenas uma prática recomendada para se tornar uma exigência regulatória.

Operational resilience represents the ability to provide essential services even during disruptions, maintaining operations within predefined tolerance levels. Unlike traditional Recovery approaches, which focus on restoration after a failure, operational resilience emphasizes continuous service provision during and after disruptions.

Essa mudança fundamental reflete as expectativas regulatórias nas principais jurisdições: as organizações devem identificar seus serviços essenciais, compreender as dependências, definir tolerâncias mensuráveis e demonstrar sua capacidade de operar dentro desses limites.

A abordagem estruturada à resiliência operacional aborda tantoas ameaças cibernéticasquanto os requisitos regulatórios por meio de estruturas integradas. As estruturas de resiliência empresarial fornecem a estrutura abrangente para a preparação organizacional, enquanto as estruturas de gestão de risco operacional abordam especificamente a identificação, avaliação e mitigação de riscos que poderiam interromper serviços críticos.

Essas estruturas convergem em torno de princípios comuns: pensamento centrado no serviço, tolerâncias mensuráveis e validação contínua por meio de testes.

Pilares da Estrutura de Resiliência Operacional

Esta tabela descreve os pilares centrais que formam a base das estruturas de resiliência operacional em todas as jurisdições regulatórias.

A distinção entre resiliência operacional e continuidade de negócios altera fundamentalmente a forma como as organizações abordam a proteção dos serviços. A continuidade de negócios tradicionalmente se concentra na recuperação de processos internos após falhas específicas, enquanto a resiliência operacional prioriza a manutenção dos serviços voltados ao cliente durante interrupções.

Essa mudança de uma mentalidade centrada na entidade para uma centrada no serviço reflete a realidade de quecerca de dois terços das interrupções divulgadas publicamenteenvolvem provedores terceirizados de TI ou de data centers.

Comparação: Resiliência operacional x Continuidade dos negócios

A comparação abaixo esclarece as diferenças fundamentais entre essas disciplinas complementares, mas distintas.

A construção da resiliência operacional requer uma abordagem sistemática que esteja alinhada com as orientações regulatórias em todas as jurisdições. Os componentes da estrutura abaixo representam o consenso entre as expectativas regulatórias do Reino Unido, da União Europeia (DORA), do governo federal dos EUA e da Austrália:

1. Identificar os serviços críticos (CBS): As organizações devem determinar quais serviços causariam prejuízos intoleráveis aos clientes ou aos mercados caso fossem interrompidos. Esse processo de identificação vai além das avaliações tradicionais de criticidade de TI; ele exige a compreensão das dependências dos clientes, dos impactos no mercado e das obrigações regulatórias. As empresas do setor de serviços financeiros concentram-se especialmente no processamento de pagamentos, no acesso às contas e nas capacidades de negociação como serviços críticos típicos.
2. Dependências do mapeamento: Um mapeamento abrangente de ponta a ponta revela todos os recursos necessários para a prestação de cada serviço essencial. Isso inclui sistemas tecnológicos, pessoal, instalações, fluxos de dados e, fundamentalmente, prestadores de serviços terceirizados. O exercício de mapeamento frequentemente revela dependências ocultas: infraestrutura compartilhada, riscos de concentração e pontos únicos de falha que as avaliações tradicionais de risco não identificam.
3. Definir tolerâncias de impacto: As organizações devem definir os níveis máximos aceitáveis de interrupção para cada serviço crítico. Essas tolerâncias geralmente incluem medidas baseadas no tempo (por quanto tempo o serviço pode ficar com desempenho reduzido) e medidas baseadas no volume (qual redução de capacidade é aceitável).A norma australiana CPS 230 exige especificamente a notificação em até 24 horascaso uma interrupção exceda os níveis de tolerância definidos.
4. Testar e validar: Testes com cenários graves, mas plausíveis, verificam se as organizações conseguem manter os serviços dentro dos níveis de tolerância. Os testes devem incluir cenários de ataques cibernéticos, considerando que, de acordo com dados recentes, ciclos regulares de testes substituem os exercícios anuais em ambiente de trabalho por uma validação contínua.
5. Aprender e se adaptar: a criação de ciclos de feedback transforma os resultados dos testes em melhorias concretas. As organizações devem demonstrar como incorporam as lições aprendidas, corrigem as vulnerabilidades identificadas e atualizam suas estruturas com base nas ameaças emergentes e nas mudanças regulatórias.

As melhores práticas a seguir abordam as lacunas mais críticas que as organizações enfrentam ao implementar estruturas de resiliência operacional:

A recuperação limpa é fundamental: todo o quadro de resiliência depende da capacidade de se recuperar rapidamente sem reintroduzir elementos comprometidos. As abordagens tradicionais de backup falham quando o ransomware criptografa ou corrompe os dados de recuperação.

• Melhor prática: Implementarisolados (air-gapped)com os recursos rápidosSala Limpa da Commvault. O armazenamento imutável impede a alteração ou exclusão dos dados de backup, enquanto os ambientes de cleanroom permitem a validação dos sistemas recuperados antes da restauração da produção. Essa abordagem resolve o problema ao fornecer pontos de recuperação comprovadamente válidos.

Visibilidade e testes contínuos: os exercícios anuais já não atendem às expectativas regulatórias nem às necessidades operacionais. As organizações precisam de visibilidade em tempo real sobre seu nível de resiliência e de recursos de testes automatizados.

• Melhores práticas: Automatizar os testes de Recovery e aproveitar a IA/aprendizado de máquina paraa detecção de anomalias. Os testes automatizados ajudam a validar os recursos de Recovery sem intervenção manual, enquanto a detecção habilitada por IA ajuda a identificar ameaças antes que elas se transformem em interrupções. Organizações com .

A resiliência operacional aborda diretamente a interseção entre a gestão de riscos operacionais ea continuidade dos serviços. Isso demonstra por que a resiliência se tornou uma preocupação no nível da diretoria. Além dos impactos financeiros, falhas operacionais minam a confiança dos clientes e desencadeiam o escrutínio regulatório.

O alinhamento com normas como as diretrizesdo Comitê da Basiléiaoferece uma abordagem estruturada para a mitigação de riscos. Os princípios da Basiléia enfatizam a governança, a gestão de riscos operacionais e o planejamento de continuidade de negócios como elementos interligados da resiliência. As organizações devem ir além das listas de verificação de conformidade para demonstrar capacidade genuína de manter serviços críticos.

Requisitos regulatórios específicos de cada jurisdição

A tabela abaixo detalha requisitos regulatórios específicos e prazos de implementação nas principais jurisdições.

Diferenciando conceitos de resiliência operacional

A resiliência operacional abrange, mas vai além, das disciplinas tradicionais de continuidade e recuperação. Enquanto a Recovery de desastres se concentra na restauração técnica do sistema e a continuidade de negócios aborda a recuperação de processos, a resiliência operacional mantém a prestação de serviços durante interrupções. Essa distinção é importante porque40% das organizações sofreram grandes interrupções causadas por erro humanonos últimos três anos; a recuperação técnica por si só não é capaz de resolver tais problemas sistêmicos.

O risco operacional representa perdas potenciais decorrentes de processos inadequados ou com falhas, enquanto a resiliência operacional fornece a estrutura para continuar operando apesar dessas falhas. A relação é complementar:a gestão de riscos identificapossíveis interrupções, enquanto o planejamento de resiliência define como manter os serviços quando as interrupções ocorrem.

Esta tabela fornece um guia passo a passo para integrar recursos de resposta a incidentes em uma estratégia de resiliência operacional.

ResOpsrepresenta a transição da resiliência baseada em planejamento para uma prática operacional contínua.ResOpsé a prática contínua e coordenada que automatiza a integração de proteção de dados, segurança cibernética e Recovery de desastres para atender a tolerâncias de impacto definidas. Esse modelo operacional transforma a resiliência de exercícios periódicos em capacidades mensuráveis e em tempo real.

As seções a seguir detalham como o ResOps operacionaliza cada componente da estrutura de resiliência operacional:

Mapeamento e tolerância:as tecnologias ResOpsmapeiam automaticamente os ativos de TI para o CBS e automatizam a medição em relação às tolerâncias de impacto definidas. Esse mapeamento contínuo substitui a documentação estática por uma compreensão dinâmica das dependências dos serviços. O monitoramento de tolerância em tempo real oferece visibilidade imediata quando os serviços se aproximam dos limites definidos.

Detecção e resposta: É possível obter uma resposta imediata e unificada às ameaças por meio da detecção de anomalias com tecnologia de IA e de planos de Recovery automatizados. Esse vetor de ataque exige recursos de resposta automatizados que operem mais rapidamente do que a intervenção manual permite.

Testes e aprendizado: O ResOps transforma os testes de eventos anuais em processos contínuos. Os testes automatizados em ambiente isolado validam as capacidades de recuperação sem impacto na produção, enquanto o monitoramento contínuo oferece garantia mensurável do nível de resiliência. Essa abordagem aborda oreconhecimento da resiliência como uma função autônoma, alcançando 45,5%das organizações.

A vantagem da Commvault:A Commvault Cloudoferece a plataforma unificada que ajuda a viabilizar a verdadeira implementação do ResOps. Ao integrar recursos de backup, recuperação, segurança e conformidade, a Commvault ajuda a transformar a resiliência de um exercício de planejamento em operações mensuráveis e contínuas que ajudam a atender aos requisitos regulatórios e às necessidades de negócios.

“DORAexemplifica a mudança regulatória global em direção a requisitos obrigatórios de resiliência. A abordagem abrangente da DORA abrange a gestão de riscos de TIC, notificação de incidentes, testes de resiliência e gestão de riscos de terceiros. Os prazos para notificação de incidentes previstos na DORA exigemuma notificação inicial dentro de 4 horas após a classificação e, no máximo, 24 horas a partir do momento em que o incidente for detectado.

Bancos centrais em todo o mundo emitiram orientações semelhantes, reconhecendo que a estabilidade do sistema financeiro depende da resiliência de cada instituição. Essas regulamentações compartilham temas comuns: abordagens centradas nos serviços, tolerâncias mensuráveis, testes contínuos e responsabilidade no nível do conselho administrativo. A convergência das expectativas regulatórias cria um padrão global de fato para a resiliência operacional nos serviços financeiros.

O planejamento proativo da resiliência oferece benefícios mensuráveis que vão além da conformidade regulatória. A capacidade de manter os serviços dentro de tolerâncias definidas ajuda a evitar falhas em cascata que amplificam as interrupções iniciais.

O fortalecimento da posição de conformidade torna-se cada vez mais valioso à medida que as regulamentações mudam. As organizações que desenvolvem capacidades genuínas de resiliência se adaptam mais facilmente a novos requisitos, evitando as dispendiosas adaptações que a conformidade reativa exige.

Antes e depois da implementação da resiliência

Esta tabela compara os principais indicadores de desempenho antes e depois da implementação de estruturas de resiliência operacional. (Observe que os resultados “Após a implementação” são métricas do setor e não refletem resultados específicos de clientes da Commvault.)

A abordagem da Commvault em relação à resiliência operacional concentra-se na automação dos recursos fundamentais exigidos pelas estruturas de resiliência. A arquitetura unificada da plataforma ajuda a reduzir a complexidade do gerenciamento de ferramentas separadas de backup, recovery, segurança e conformidade.

Recovery rápida e sem complicações constitui a base da estratégia de resiliência da Commvault. A plataformaSala Limpa da CommvaultEsses recursos ajudam a lidar com o fato de que as restaurações tradicionais podem reintroduzir elementos comprometidos. Os processos automatizados de validação são projetados para verificar a integridade dos dados antes da restauração em ambiente de produção, ajudando a reduzir tanto o tempo de Recovery quanto o risco.

As soluções da Commvault ajudam a atender aos requisitos regulatórios relativos ao tempo de inatividade quase nulo e à abrangênciaproteção contra ameaças cibernéticas. Os recursos de backup imutáveis da plataforma ajudam a impedir adulterações ou exclusões, enquanto a proteção por isolamento físico oferece isolamento adicional contra ataques. Esses recursos contribuem para garantir a conformidade com os requisitos de tolerância a impactos em diversas jurisdições.

Roteiro de implementação da Commvault para resiliência operacional

A tabela a seguir apresenta as principais etapas para a integração das soluções da Commvault em uma estrutura de resiliência operacional.

Os líderes de TI que utilizam a Commvault para estratégias de resiliência podem se beneficiar da capacidade da plataforma de unificar recursos que antes eram dispersos. Em vez de gerenciar várias ferramentas para backup, recovery, segurança e conformidade, as organizações passam a contar com uma única plataforma que ajuda a gerar resultados mensuráveis em termos de resiliência. Essa consolidação ajuda a reduzir a complexidade e, ao mesmo tempo, melhora a visibilidade sobre os recursos reais de recuperação em comparação com os planos teóricos.

A transição para a resiliência operacional vai além da conformidade regulatória; ela define como as organizações protegem seus serviços mais críticos em um ambiente em que as interrupções são inevitáveis. As organizações que implementam recursos de ResOps se posicionam para ajudar a atender tanto aos requisitos regulatórios atuais quanto às futuras demandas de negócios.