Transformando a conformidade em resiliência: construindo confiança diante da regulamentação

Falta de visibilidade das dependências. As organizações muitas vezes só descobrem interligações críticas durante uma interrupção ou um ataque. 

Os testes ajudam a identificar pontos cegos, validar suposições e desenvolver a “memória muscular” operacional – transformando a conformidade em preparação real. 

Elas ajudam a fornecer arquiteturas reforçadas, projetos de referência validados, ferramentas integradas e fluxos de trabalho de Recovery testados, alinhados às expectativas regulatórias. 

Colaboração multifuncional, prática frequente de Recovery, habilidades de automação e pensamento orientado para a missão – e não apenas o preenchimento de formulários. 

A abordagem enfatiza a capacidade comprovada de recuperação, a visibilidade e a continuidade operacional – pilares fundamentais da regulamentação no estilo DORA. 

Assista ao vídeo aqui para ver a transcrição com marcação de tempo

Estou aqui com ⁓ dois executivos, da Pure Storage e da Kyndryl, e estou muito feliz por vocês estarem aqui. Vou deixá-los se apresentarem daqui a um segundo, mas antes quero apresentar o tema. Vocês estão aqui porque acham que vamos falar sobre regulamentações e conformidade, como montar ótimas equipes de conformidade, como cumprir as exigências. De jeito nenhum. Não vamos falar sobre nada disso. Portanto, se quiserem sair nos próximos 20 segundos, fiquem à vontade. Porque o que vamos discutir é por que essas regulamentações realmente existem.

O que realmente está por trás delas? Contra o que estamos tentando nos proteger? E como estamos encarando isso? Temos uma explosão de regulamentações nos Estados Unidos e em todo o mundo, e tudo isso foi criado para ajudar as empresas a conquistar a confiança dos clientes e dos governos em relação aos produtos que estão lançando. E muitas pessoas no setor, tanto na indústria de tecnologia quanto no mundo da conformidade, estão meio que perdendo o foco.

Quando os clientes enviam questionários de segurança, sim, alguém verifica se você marcou todas as opções, mas não é exatamente disso que se trata. Então, vou deixar que esses rapazes se apresentem. E, quando o fizerem, vou pedir que comecem contando uma história de terror que tenham vivenciado em seus negócios. Não me contem ainda como resolveram o problema, porque vamos analisar isso juntos. ⁓ Mas o que aconteceu e nós…

Ao final da sessão, vocês vão entender por que e como ⁓ a conformidade é aquele aspecto que, se mantido em mente e se o projeto for elaborado levando-a em conta, permite evitar ou, pelo menos, superar com sucesso algumas dessas histórias de terror. A propósito, se alguém tiver alguma dúvida durante o processo, fiquem à vontade para perguntar. Tudo bem? Então, vou passar a palavra para que vocês se apresentem. Ótimo. Obrigada, Danielle. Meu nome é Yuvraj Mehta.

Lidero a estratégia de soluções cibernéticas na Pure Storage. Estou na Pure Storage há mais de 18 meses. E ⁓ vou começar com a história de terror. ⁓ Na verdade, foi seis meses depois que comecei na Pure Storage, e envolveu um de nossos clientes do setor de serviços financeiros. ⁓ Eles — e você pode considerá-los como o tipo de cliente que segue todas as listas de verificação de conformidade e tudo mais ⁓

mas foram atingidos por um ataque de ransomware. ⁓ E ⁓ basicamente, ao longo de semanas e meses, ⁓ os invasores se infiltraram nos dados deles e começaram a criptografá-los. Mas quando chegou o momento em que perceberam que haviam sido atacados e estavam reunidos na sala de crise, o momento de terror aconteceu literalmente quando o responsável pela conformidade ou a pessoa

disse: “Estamos em conformidade. Fizemos as verificações. Fizemos as verificações”. Mas o CISO literalmente comentou: “Isso tudo não significa nada. Não consigo recuperar os dados”. Certo. E foi aí que toda a sala basicamente percebeu: “Meu Deus, estamos em apuros. Não nos preparamos para a recuperação e para fazê-la de uma maneira que seja muito, muito confiável e muito segura”.

Essa é a premissa da nossa história de terror. Então, estamos sentados em uma sala de crise com o CISO, com a equipe de conformidade, com a equipe de TI, e todo mundo está apenas olhando uns para os outros e tentando descobrir o que diabos vamos fazer? Assustador. Então, muito obrigado por se juntarem a nós nesta tarde. Meu nome é Allen Downs. Tenho uma função na Kyndryl cuidando de uma área de nossa prática de segurança e resiliência, que se concentra exclusivamente em

criar capacidades, metodologias e habilidades que permitam aos clientes se recuperarem. Portanto, estamos muito focados nos eventos que ocorrem logo após o impacto: como um cliente precisa planejar, como precisa se preparar e como precisa detectar adequadamente para que possa ter confiança em sua capacidade de recuperação, especialmente no âmbito cibernético, pois isso reinventa

toda a mentalidade sobre como lidar com isso. Mas, ainda hoje, muitos dos problemas e impactos com os quais trabalhamos com clientes em todo o mundo são erros humanos e eventos naturais. Eles não desapareceram, mas já estamos acostumados a nos recuperar deles. A nova dimensão é, na verdade, toda a sofisticação e o ritmo das mudanças que observamos em relação aos ataques cibernéticos causados pelo homem, projetados para causar o máximo de interrupção, etc., etc.

Quando você me perguntou sobre a história de terror, achei interessante, pois estou na IBM, ligado a essa área, há mais de 30 anos. Sei que não pareço tão velho assim, então é verdade, certo? E ao longo desse tempo na IBM e agora na Kyndryl, passamos pela IBM — como o Chris mencionou anteriormente em outra sessão paralela — há quanto tempo, Emilio? Três anos atrás? Três ou quatro anos atrás? Vimos muitos desafios pelos quais nossos clientes passaram. Ok.

O que mais me vem à mente é quando eu estava na sala de reuniões de um banco de primeira linha. Nem vou mencionar o país, mas estávamos na sala de reuniões de um banco de primeira linha e o tema girava em torno de como poderíamos ter confiança em nossa capacidade de apresentar relatórios sustentáveis ao órgão regulador. Setor bancário. Portanto, eles eram regulamentados. A regulamentação estava se tornando mais rigorosa,

com maior foco e prioridade. Mas a discussão nos ajudou a entender como podemos alcançar a sustentabilidade. Certo. Então, a discussão se concentrou nas métricas, certo? Era tudo sobre como podemos alcançar a sustentabilidade. O representante do escritório do CIO, responsável por dados e backup de dados, conformidade e taxas de sucesso, foi muito rápido em falar sobre a taxa de sucesso do backup e o número de

e, com muita confiança, declarou que eles poderiam restaurar em oito horas. Essas oito horas acabaram constando no relatório deles, na documentação enviada ao órgão regulador. Aqueles de vocês que estão familiarizados com as regulamentações europeias sabem que o Banco Central Europeu divulgou um documento sobre testes de estresse e, portanto, todos esses bancos foram solicitados a responder com a posição oficial aprovada pelo auditor,

seu equivalente, imagino, naquela organização, tudo definido, certo? Trabalho concluído. As métricas relatadas, tudo bem, com base em como eles vinham testando e ensaiando isso. Curiosamente, o Diretor de Risk foi então encarregado de comprovar isso. Alguém de fora da área do CISO, alguém de fora do escritório do CIO, alguém de fora da infraestrutura, RISO — lembrem-se, data center, certo? RISO, equipe de instalações.

Diretor de Risk, vá comprovar isso. Fomos solicitados a fazer a comprovação. Nas melhores e mais perfeitas condições. Na verdade, foram mais ou menos quatro a cinco semanas. Um dos processos críticos de negócios deles. O resultado mais provável: eles não conseguiram. Esse é um daqueles momentos em que você pensa: “Eu tenho conta nesse banco, minha hipoteca está com esse cliente. Esses caras, sabe, têm minhas economias, certo?”

E esse é provavelmente um dos momentos mais marcantes em que você fica sentado e pensa: “Meu Deus, esse setor não está preparado”. Aliás, uma organização conservadora, historicamente muito orgulhosa de seu histórico de conformidade e adesão às normas. Não houve nenhuma infração nem erro; o resultado foi genuíno, uma abordagem diferente para explorar a situação, que se provou irreal. Mas se você pensar no impacto disso, é muito assustador.

Tenho muitas outras histórias de terror, mas acho que essa foi a que provavelmente mais ficou gravada na minha memória. É a minha casa. Uau. Então, transferi minha conta poupança para lá. Mantive minha hipoteca lá. Mantive a sua hipoteca lá. ⁓ Desculpe. Não, mas a questão é que acho que você ilustrou isso perfeitamente. Você tem um responsável pela conformidade — não sei se isso realmente aconteceu —, mas ele chega e diz: “Estamos em conformidade”. E ele fica tipo: “E daí?”. Você não consegue recuperar

e seus sistemas estão fora do ar e não vão voltar a funcionar no prazo que vocês anotaram num pedaço de papel. Como a gente dá vida a isso? Então, vamos analisar ⁓ essas histórias, e quero analisá-las de três maneiras. Vamos dividi-las em três categorias diferentes. O que realmente está por trás da conformidade? Categoria um: visibilidade. Categoria dois: confiança e controle. Categoria três: habilidades.

Então, vamos falar sobre visibilidade. Quem quer começar? Eu posso começar. Sim. Acho que uma das coisas a se ter em mente, certo, ao lidar com uma infraestrutura complexa — e ainda mais complexa agora com a IA, certo —, é que você não pode construir resiliência para coisas que não consegue ver. Portanto, a visibilidade é o primeiro passo, é o ponto de partida. E o ponto-chave

que nós, da Pure, pelo menos, temos dito aos nossos clientes e parceiros é que um dos primeiros passos para a visibilidade é a necessidade de simplificar. Simplificar em toda a sua infraestrutura, em todas as suas ferramentas. Se você tem conjuntos de dados, se tem uma rede espalhada por silos, então terá várias ferramentas que se acumularam

também em torno desses silos. Portanto, obter uma visão coesa e abrangente de todo o seu conjunto de dados começa com a consolidação, começa com a simplificação. Então, simplificar. Essa é a primeira coisa, pois isso vai gerar confiança e a certeza de que o que você está vendo é, de fato, o que está recebendo. ⁓ Esse é o primeiro passo. O segundo passo em termos de visibilidade é, na verdade, a automação.

Você precisa de automação em toda a sua pilha ⁓ para poder construir toda essa infraestrutura que se integra às diversas ferramentas que você possui. Portanto, você precisa de ferramentas e de uma infraestrutura que disponha de APIs robustas capazes de se integrarem entre si. Por último, como já mencionei, a integração. Você quer que sua infraestrutura de armazenamento ou de computação

se integrem às suas ferramentas de segurança cibernética, certo? ⁓ Com ferramentas como a Commvault. Mas você também quer que isso seja integrável a ferramentas como a Kyndryl, aos painéis e aos recursos que a Kyndryl e seu provedor de serviços oferecem. Portanto, em toda essa pilha, essa visibilidade requer, em primeiro lugar, simplicidade; em segundo lugar, APIs; e, em terceiro lugar, uma integração muito robusta entre essas três pilhas.

Então, Allen, eu gostaria que você acrescentasse a isso a visibilidade e o controle, porque, no seu exemplo, o banco — duvido muito que aquele banco tivesse desenvolvido internamente toda a tecnologia própria que levou àquela situação. Então, como você lida com a cadeia de suprimentos, o controle e a confiança, além da provável falta de visibilidade que aquela equipe tinha sobre o que estava acontecendo? Mas vamos deixar isso de lado por um segundo.

Acredito firmemente, com base no trabalho com diversos clientes ao redor do mundo, que o principal desafio que eles enfrentam hoje e o ponto fraco que apresentam é a conscientização e a visibilidade. Sim. Realmente acredito que esse seja um desafio fundamental para eles. E isso começa, na verdade, com o cliente compreender de verdade qual é o seu tempo máximo de inatividade tolerável. Veja bem, há muitas métricas relacionadas a backups e RTOs. O mundo mudou, certo?

Agora, o foco é garantir que haja uma conscientização em toda a empresa sobre esse tempo máximo de inatividade tolerável e assegurar que haja uma compreensão clara das dependências existentes dentro da empresa. Todos nós falamos sobre a “empresa minimamente viável”, certo? A maioria das empresas dirá: “Eu conheço minha empresa minimamente viável”. Nós as ajudamos a verificar isso, certo? Mas, então, compreender o impacto

da interrupção dessa “empresa minimamente viável” é algo em que os clientes começam a ter dificuldades em termos de impacto financeiro, impacto no risco à reputação, impacto da não conformidade regulatória, sem falar no fator de confiança para com seus usuários, etc., etc. Portanto, sinto que há uma falta de conscientização em relação a: primeiro, quais são meus processos críticos de negócios? Quais são os serviços críticos de negócios que dão suporte a esses processos? Qual é a dependência em toda a empresa

que sustenta esses serviços críticos de negócios? Conscientização. Quais são as dependências na camada organizacional? Mencionamos competências, certo? Quais são as dependências na camada de aplicativos ou no conjunto de camadas de aplicativos? Qual é a dependência na camada de dados? Eu conheço a dependência de um servidor crítico de negócios em relação aos meus dados? Onde ele está localizado? Onde ele existe? E talvez na AWS. Ok, onde exatamente? Quais são os pontos únicos de falha? Quais são os pontos únicos de risco disso? Portanto, para mim, a conscientização

tem que abranger cada camada da empresa. Allen, espere só um segundo. Quantos de vocês aqui na sala, quantas de suas empresas já escreveram em uma lista ou pelo menos discutiram isso em uma reunião executiva com o conselho de administração: “Aqui estão os cinco sistemas da empresa que não podem ficar fora do ar, ou ficaremos offline”? Quantos de vocês sabem quais são esses sistemas? Conseguem citá-los? Todos vocês? Nenhum de vocês?

Ok, então não são muitos. Vocês estão em boa companhia, aliás. ⁓ Algum de vocês teria tido coragem de dizer: “Não, não se preocupe, eu não teria colocado vocês na berlinda e perguntado isso”, porque a próxima pergunta teria sido: “Vocês sabem qual é o plano de contingência caso eles parem de funcionar? Como vocês fazem o failover?” É uma ótima pergunta e ninguém sabe nem por onde começar a respondê-la. Mas, sem essa resposta, vocês não têm visibilidade. Vocês só respondem no momento da crise.

É. E, muitas vezes, os clientes só descobrem a dependência no momento da crise ou do evento que já aconteceu, e, nessa altura, já é tarde demais. Daí o caso daquela grande rede de varejo no Reino Unido, certo? Uma rede de varejo no Reino Unido. Quer dizer, quanto tempo já se passou? Cinco meses? Se o Derek estivesse aqui, ele saberia com certeza, mas já faz cinco meses que eles estão fora do ar. Ok. História interessante. Um grande banco de primeira linha ficou surpreso quando perdeu um de seus serviços críticos de negócios

após uma das interrupções dos hiperescaladores na semana passada. Eles nem sabiam, porque isso ocorreu por meio da cadeia de suprimentos de terceiros. Não perceberam que um dos serviços críticos de negócios dependia de um data center localizado na Virgínia. Tudo bem. Eles sofreram um impacto causado por erro humano. Isso nem sequer foi um ataque cibernético. Sei que fico falando muito sobre isso e me empolgo bastante, mas trabalho com tantos clientes que não sabem a resposta para essa pergunta. Ótima pergunta

que você acabou de fazer. Portanto, na minha opinião, a conscientização é fundamental. Entender isso, compreender as interdependências e, então, entender qual é o nível máximo de tolerância que se torna seu KPI — em torno do qual você projeta o processo, capacita as equipes e implementa a solução com os controles certos para conseguir gerenciar esse risco. É. Não tenho resposta para você. Não, está fantástico. Ok. Então, vamos falar sobre o terceiro nível, que são as habilidades.

Isso é realmente importante porque o que esperamos é que as pessoas saiam desta conferência e, se você estiver de alguma forma na área de conformidade, digam: “Ok, eu sei o que tenho que fazer. Preciso descobrir quais sistemas são essenciais para os negócios. E não são muitos, no máximo meia dúzia. E preciso ter certeza de que entendo isso. Depois, tenho que descobrir quem é responsável pelo plano de failover desses sistemas. Quais são as competências necessárias para fazer isso com sucesso? Então, Danielle, quero responder a isso

mas quero complementar algo que o Allen disse, especialmente sobre controle e confiança, certo? ⁓ O grande desafio, os desafios que o Allen expôs, a gente vê isso em todos os lugares, certo? Especialmente em termos de conscientização, mas você não consegue construir confiança se não puder verificar, certo? O velho ditado, né? Confie, mas verifique. ⁓ E como você desenvolve esse conjunto de habilidades? É

garantir que os sistemas sobre os quais você tem visibilidade e as dependências que você identificou — exatamente como o Allen mencionou — sejam verificados de forma contínua. É construir essa “memória muscular”. Volto àquela história de terror que mencionei no início da conversa:

aquele banco não tinha essa “memória muscular” desenvolvida em torno da resiliência. Então, isso remete à sua organização, certo? E à sua equipe, que precisa ter essa “memória muscular” desenvolvida em torno da capacidade de recuperação. Eles precisam disso, e como você faz isso? É da mesma forma que, sabe, quando você vai à academia: se quer desenvolver um músculo, precisa ir lá todos os dias ou, sabe, ter um mecanismo consistente para isso. Portanto, esses processos precisam se tornar parte

do funcionamento diário ou mensal da sua organização: “Temos esses sistemas, já os identificamos, sabemos onde estão”, mas precisamos revisar todos os nossos manuais de procedimentos. Precisamos que essa memória muscular esteja incorporada à nossa equipe de TI e à equipe do CISO para que, quando algo acontecer, eles saibam como reagir. E não pode ser assim:

quando algo acontecer, vamos chamar gente de fora para nos ajudar, porque isso é uma receita para o desastre, já que simplesmente leva muito tempo. É como se, você sabe… Você não consegue fazer um bolo só porque tem dez pessoas sentadas ali, ⁓ então o conjunto de habilidades de que você precisa está, na verdade, incorporado à sua organização ao longo do tempo; tenha um plano de como fazer isso, mas ele precisa estar alicerçado na base da

visibilidade: “Eu sei o que estou fazendo, conheço as dependências” e, então, “ei, o que estou recuperando? Quais são esses aplicativos de missão crítica que preciso recuperar?”. E então você elabora esses planos de maneira consistente.

Concordo. É interessante que, no nível das competências, eu vejo isso em duas dimensões. Há as competências técnicas: quem sabe como fazer a análise e identificar as dependências. Mas sabe onde eu coloco a ênfase em termos de competências — e quando penso nas competências da nossa organização —, tem mais a ver com uma mentalidade e uma cultura. Tudo bem. Tem mais a ver com essa mentalidade e cultura. E essa é a mudança que precisa acontecer. Certo. Então, eu ouvi…

Chris Lovejoy, na outra sessão, dizer algo que anotei e de que gostei. Vivemos em um mundo de métricas, e um dos problemas com as regulamentações é que você tende a ouvir isso: “mostre-me suas taxas de sucesso” e “mostre-me sua conformidade com seus KPIs”, etc., etc. Portanto, é um foco baseado em métricas. Chris mencionou que as métricas precisam se tornar uma missão, certo?

E eu adoro isso porque o que isso faz é olhar para o conjunto de competências das quais dependemos para operar esses serviços críticos de negócios, para garantir a confiança em nossas organizações — olhar para esse conjunto de competências. E isso significa que precisa haver uma transformação. É preciso haver uma mentalidade diferente em termos do que confiamos, como confiamos, como criamos confiança e como validamos as coisas.

E eu adoro essa frase: “confie, mas valide; se eu verificar, certo?”. Sei que isso já existe há muito tempo, mas nunca foi tão relevante hoje quanto tem sido ao longo da história, porque esse conjunto de competências vai além de meras métricas, conhecimentos técnicos, habilidades, certificações e assim por diante. Tendemos a contratar com base nisso, mas há um aspecto importante em tudo isso, que é a mentalidade cultural e a atitude. Ok. Isso não deve ser visto como uma métrica; precisa ser uma missão.

Agora, o lado bom de uma missão é que você fica motivado a alcançá-la. O sucesso no resultado disso, faz sentido? Desculpe, quero acrescentar uma coisa. Quanto ao que o Allen disse, a missão não pode ser: “precisamos cumprir essa regulamentação” ou “cumprir essa conformidade”. Precisa ser um resultado. E qual é o resultado? Certo? Sabe, temos a DORA na UE, há regulamentações semelhantes na Índia, ⁓

na Austrália; por aqui, você tem regulamentações voltadas para a saúde. O resultado que todas elas buscam promover é a resiliência e a capacidade de recuperação. Então, quando você vai até sua organização e quer construir uma missão em torno disso, não pode ser: “ei, ⁓ precisamos construir uma missão em torno da conformidade com a DORA ou com o NIST”.

Isso não cola, porque fica muito isolado. Isso vira uma missão talvez para sua equipe de conformidade, talvez para sua equipe de Risk. Além disso, é chato. Sim, é chato, né? É tipo: “Ei, quantas métricas vou ter que marcar como concluídas? Quantos relatórios preciso gerar para o órgão regulador?” Tem que ser assim: “Nossa missão é ser resiliente e nos recuperarmos rapidamente quando algo ruim acontecer.” É isso. Acho que há quatro ou cinco anos,

a palavra da moda na área de TI, você sabe, era “eficiência”. Como ficamos cada vez mais eficientes, certo? Cortando custos, etc. Mas não é mais assim, né? Precisa ser assim, e nem é mais só uma palavra da moda. Precisa estar incorporado. Como ficamos mais resilientes? Certo? E essa deve ser a missão. Não é do tipo “preciso estar em conformidade com uma regulamentação específica”. Vocês dois estão ⁓

chegando a uma conclusão sobre esse tema realmente importante: que a cultura de conformidade está mudando e precisa mudar, provavelmente, mais rápido. Temos que, sabe, as habilidades técnicas são fundamentais, mas precisamos tirar isso do âmbito técnico e traduzir isso para algo que seja importante para as pessoas, algo que faça com que elas queiram sentar em uma sala e ouvir. Então ⁓ acho que a melhor maneira de mudar a cultura é começar por nós mesmos. Então, vou fazer uma última pergunta e depois abrir a discussão. Só temos mais alguns minutos.

Qual foi uma lição que você aprendeu da maneira mais difícil na sua carreira nessa área? E como os outros podem aprender com isso?

Essa é uma boa pergunta. Acho que… Porque, quando você se apresenta diante de um conselho de administração, como você mencionou, dizer que “precisamos estar em conformidade com a DORA” é chato. Já passei por uma situação em que isso aconteceu e não quero que se repita. Eis o que aprendi e o que vamos fazer a respeito. Acho que a lição que aprendi da maneira mais difícil é que, se você não quebrar os silos dentro da sua organização e…

entre as equipes — especialmente as equipes principais que você sabe que serão necessárias sempre que algo ruim acontecer. E se você não tomar medidas antecipadamente para quebrar esses silos, a capacidade de recuperação se torna muito mais difícil. E esses silos não são apenas os silos entre as pessoas, certo? São silos ⁓ que também existem em toda a sua pilha de tecnologia, bem como em suas pilhas de dados, certo? Se você não tomar medidas proativas com antecedência para identificar os silos,

e começar a quebrá-los de forma que, quando algo ruim acontecer, esses silos não existam mais e todos trabalhem juntos — desde as pessoas até a tecnologia — para alcançar essa capacidade de recuperação. Você vai se encontrar em uma situação muito ruim quando essa situação surgir. É uma pergunta realmente interessante. E, sabe, uma das coisas que me chamou a atenção ao longo dos anos é a importância da confiança.

A importância da confiança na sua própria organização, a importância de criar confiança junto aos seus clientes, confiança no mercado, confiança junto ao órgão regulador, o que você quiser, certo? A confiança é provavelmente um dos fatores mais importantes nos negócios. Com confiança, você cresce. A propósito, se você tiver o nível certo de confiança, certo, você não estará competindo em preço, estará competindo em reputação.

De onde vem a confiança? A confiança surge — e já dissemos isso antes, e obrigado por mencionar, porque me fez pensar que a verdadeira essência da confiança é aquela que você pode verificar. Você pode verificar. É irresponsável confiar sem a capacidade de verificar. Muitas, muitas organizações já tropeçaram nisso. Portanto, eu analiso isso e me pergunto: como você pode verificar? Você verifica, e a conformidade, de certa forma, é como uma diretriz. Não é exatamente assim, você

sem desrespeitar a conformidade, que é fantástica quando apropriada. É uma diretriz, mas a capacidade de uma organização de verificar será diferente. Ok. Portanto, a conscientização é tão importante. A visibilidade é tão importante, certo? A capacidade de verificar depende de você ter os controles certos para poder verificar. Vou dizer isso. Talvez eu esteja revelando minha idade aqui: Ei, teste, teste, teste, teste adequadamente. E o que quero dizer com “teste adequadamente”.

Quebrem os silos dos quais falamos antes. Não testem o silo. Testem o que importa para o cliente do cliente. Testem o que importa para o conselho de administração. É por isso que a gente… Sim, e eu realmente deveria fazer isso. Vocês provavelmente gostariam que eu fizesse isso. Mas o ponto principal é que a capacidade de testar deve ser adequada aos critérios de sucesso da organização. É por isso que o foco no mínimo viável e nos serviços críticos de negócios começa por aí.

E, a propósito, saiba qual é o impacto que você está testando. Os pagamentos vão custar a você, em certos casos, bilhões de dólares por dia, certo? Não é exagero, câmaras de compensação, certo? Etc. Essa é a exposição de que estamos falando aqui. Portanto, sabe, acho que a lição que tirei foi a necessidade de poder confiar. Você pode confiar, mas precisa verificar. Portanto, para verificar, você precisa de controles que permitam fazer isso. Você precisa ser capaz de testar.

E, culturalmente, você precisa das competências. Acredito firmemente nessas três categorias que você mencionou anteriormente. Ter visibilidade é fundamental, ter controles é essencial. Ter as competências é absolutamente uma prioridade para que as organizações tenham sucesso e amadureçam nesse cenário. Eu diria que isso depende da sua organização, depende de onde você está. Certo. Não existe uma solução milagrosa. O que a Commvault, a Pure e a Kyndryl fizeram

foi fornecer uma ferramenta, um mecanismo, certo, que as organizações possam analisar, imitar e, se necessário, adotar também, certo? Estamos lançando, estamos estabelecendo o padrão de como as organizações e os clientes podem cumprir essas regulamentações, mas de uma maneira que aborde a lacuna técnica, a lacuna em relação ao conjunto de competências e a lacuna em relação à confiança, certo? Então, estamos lidando com isso, estabelecemos um padrão.

Isso atenderá às necessidades de uma organização? Depende da organização. Sabe, procurar uma solução milagrosa provavelmente não é a maneira certa de abordar a resiliência e a capacidade de recuperação, para começar. Mas o que fizemos foi fornecer um exemplo, certo? Ou seja, olha, tudo bem, essa é uma abordagem que verificamos. Passamos por testes no nível técnico e no nível de competências

que nos sentimos muito à vontade para ir até nossos clientes e parceiros e dizer a eles: “Vocês podem adotar isso, e isso vai ajudá-los a se recuperar sempre que ocorrer um ataque de ransomware”. Então, foi isso que fizemos. Se atender às necessidades de uma organização, já é um ótimo começo, e adoraríamos fazer parceria com ela também.

E só para complementar, acho que o que é realmente fascinante no que fizemos com a Commvault, a Pure Storage e a Kyndryl é que nosso ponto de partida foi a perspectiva do cliente. ⁓ O que estamos tentando resolver para o cliente? E escolhemos uma regulamentação — por acaso, era a DORA. Então, nós três nos reunimos por, digamos, Emilio, você também estava lá, certo? Passamos horas, dias. Meses. Trabalhando para alinhar as capacidades

em todas as áreas de especialização, em toda a tecnologia, em toda a estratégia de armazenamento e em toda a pilha de controle que a Commvault oferece. E chegamos a uma solução para a regulamentação que, naquele momento, era a DORA. Por acaso, a DORA se repete em todas as regiões do mundo em termos dos temas comuns que observamos. Portanto, o que projetamos juntos se baseia fortemente na necessidade do cliente e gera um resultado que podemos oferecer a ele.

Há uma velocidade e uma capacidade muito rápidas que atendem a muitos desses requisitos dos clientes. Sim. Sejam eles regulamentados ou não. E acho que, culturalmente, como três organizações, funcionou excepcionalmente bem porque, à medida que as três organizações trabalham juntas, não foi tanto a tecnologia, os recursos e as funções — sem desrespeito —, mas sim, na verdade, o relacionamento. Esse é o resultado. Esse é o desfecho que também estamos tentando alcançar. Sim. É uma maneira perfeita de encerrar, porque…

O que eu queria dizer em nome da Commvault é obrigado a vocês dois. Obrigado à Pure e à Kyndryl. Vocês são parceiros realmente importantes para nós. Trabalhamos muito para construir relacionamentos e confiança juntos. Isso não significa que sejamos perfeitos. Não significa que nossa solução seja perfeita, mas significa que temos muita inteligência para investir no relacionamento e na parceria que construímos para os clientes. E somos muito gratos a vocês dois. Então, muito obrigado. Obrigado. Obrigado pelo convite. Obrigado. Obrigado pelo convite.