Protocolo Phoenix: Renascendo das cinzas após um ataque cibernético

Os incidentes cibernéticos envolvem adversários ativos e infecções ocultas. A Recovery deve ser cautelosa e verificada para evitar uma nova infecção. 

Trata-se da estrutura de recuperação pós-ataque da Commvault, baseada no Commvault AirGap, na recuperação isolada,em um plano de recuperação cibernética e em testes de caos. 

Muitos não planejam nem colocam em prática medidas de Recovery. Equipes despreparadas costumam tomar medidas descoordenadas que propagam a infecção e atrasam a restauração. 

Os testes de caos simulam a pressão do mundo real, ajudando as equipes a validar processos e melhorar a coordenação antes de um incidente real. 

Elas ajudam a evitara adulteração epermitem a análise e a restauração seguras de sistemas limpos, sem o risco de reinfecção. 

Assista ao vídeoaquipara ver a transcrição com marcação de tempo

Bem-vindos ao episódio de hoje do podcast SHIFT, intitulado “O Protocolo Phoenix: Como renascer das cinzas”
“após um ataque cibernético”. 

Meu nome é Chris Dirado e, hoje, estou aqui com Michael Stempf. 

Michael, obrigado por estar aqui hoje; estou muito ansioso para conversarmos. 

Obrigado, Chris. 

Quando ocorre um ataque cibernético, a Recovery pode parecer uma tarefa titânica, mas é também um momento para se reconstruir
com mais força. 

Nesta conversa, vamos explorar o Protocolo Phoenix e como nossos quatro pilares aqui na
A Commvault pode ajudá-lo a renascer das cinzas. 

AirGap Protect, Ambiente de Recovery Isolado, um Plano de Recovery Cibernético e, além disso,
importante: testes para situações de caos. 

Juntos, veremos como as organizações podem transformar essa crise em uma
uma oportunidade de renovação e de sair de uma situação difícil mais fortes do que antes. 

Então, Michael, quais são alguns dos erros mais comuns que as organizações cometem durante a recuperação?
de um ataque cibernético? 

Essa é uma pergunta capciosa. 

O problema mais comum que as pessoas enfrentam na Recovery é que elas não se preparam para a Recovery até que a
Recovery certamente ocorrerá. 

É preciso estar preparado, certo? 

O grande evento — gostamos de chamá-lo de “bang” — e as pessoas pensam no que acontece logo depois
que o evento tenha ocorrido. 

Mas se você não se planejou, se não treinou, se não desenvolveu essa resistência mental
por ter passado por isso várias vezes e trabalhado com suas equipes, 

para criar uma experiência de integração de equipe em torno disso, você não estará preparado. 

Depois do ocorrido, o que temos visto com frequência é que as pessoas estão, sinceramente, tentando dar o melhor de si. 

Você terá um administrador do Windows que só quer ajudar e colocar os servidores de volta em
funcionamento; então, ele vai agir por conta própria, fazer uma “TI paralela” e implementar suas próprias 

sistemas. 

E temos visto repetidamente que, quando fazem esse tipo de coisa, acabam
reinfetando uma nova área na qual o invasor ainda não havia entrado, 

E aí você tem que voltar atrás e lidar com isso de novo. 

Então, você acaba perpetuando o problema ao tentar fazer o melhor trabalho possível. 

E, sem essa prática, sem testar em meio ao caos de que você falou,
eles não vão compreender o verdadeiro nível de complexidade e sofisticação que esses 

que agentes mal-intencionados lançam contra nós. 

E você levantou uma questão muito pertinente sobre as pessoas que só estão tentando ajudar, mas
Ãs vezes… 

você sabe, eles se precipitam, né? 

Iniciar recuperações antes de estarmos realmente prontos para realizá-las. 

E sei, pela minha experiência e pela sua também, que já passamos por muitos desses cenários de Recovery
. 

Às vezes, você trabalha 60, 70, 80 horas por semana. 

O pior momento para fazer algo que não vai dar certo é quando você já
Está no limite e a todo vapor, né? 

Então, na minha próxima pergunta, quero falar sobre algumas das falácias que são… 

você sabe, aquelas em que achamos que estamos protegidos, mas, na verdade, são apenas
são falácias e, no fim das contas, não estão realmente nos ajudando. 

Você poderia me dar alguns exemplos dessas falácias? 

Sim, acho que a primeira e mais importante é que todos tenham um plano de recuperação de desastres. 

Eles já os têm há anos. 

E vêm testando-os há anos. 

E um ataque cibernético é apenas mais um tipo de desastre — ou, pelo menos, é nisso que acreditam. 

O problema disso é que a recuperação de desastres tem tudo a ver com velocidade e eficiência. 

Certo. 

Seja um desastre natural, 

tornado, furacão, seja lá o que for. 

E não há intenção maliciosa. 

E, quando se trata de ataques cibernéticos, velocidade e agilidade significam simplesmente que você vai ser infectado novamente
o meio ambiente. 

Você precisa ir devagar, precisa ser metódico, precisa levar em conta essa malícia,
a presença de um agente mal-intencionado no sistema. 

E, portanto, utilizar um plano que foi elaborado especificamente para que você volte a operar o
mais O mais rápido possível só vai causar problemas. 

Então, você precisa desacelerar, respirar fundo. 

Você precisa ter um plano de recuperação cibernética, que talvez, em sua essência, tenha muito do que está presente no
recuperação de desastres, mas o objetivo final é: como eu volto sem problemas, e não como eu volto 

o mais rápido possível. 

Então, esse é realmente o ponto principal. 

Mas há muitos outros aspectos que vêm junto com isso. 

Sabe, antes de mais nada, eu já vi praticamente tudo o que é possível destruir em um
ataque cibernético. 

E um dos fatores que levam a isso é que, hoje em dia, tudo está 

hoje em dia, tudo está vinculado a um sistema de gerenciamento de identidades, como o Active Directory. 

As estatísticas mais recentes do Active Directory mostram que ele está presente em 98% de todas as empresas e é alvo de
92% de todos os ataques cibernéticos. 

Claro, né? 

Você pode acessar qualquer lugar assim que estiver no Active Directory. 

São as chaves do reino. 

Então, uma das coisas que eu sempre recomendo é… bem, retirar sua última linha de defesa, retirar
seu sistema de proteção de dados do Active Directory, 

porque uma das táticas mais comuns dos criminosos é essa: eles sabem que, se sua proteção
Se o sistema de dados resistir ao ataque, é provável que você não tenha que pagar. 

É assim que você evita pagar. 

Com certeza. 

Uma das coisas que dizemos é: retire sua proteção de dados do Active Directory, transforme-a em
autônoma, separe-a e isole-a o máximo possível. 

Assim, por mais que sua empresa seja destruída, ela ainda vai sobreviver. 

Só uma observação rápida: o Michael fez uma boa 

observação sobre um plano de recuperação cibernética. 

Em algumas das sessões que conduzi, percebi que muitas pessoas não tinham planos de recuperação
cibernética. 

Bem, na Commvault, a gente cuida disso pra você. 

Se você acessar nossa plataforma de Readiness e pesquisar por um plano de recuperação cibernética, poderá
Baixe nosso modelo e adapte-o às suas necessidades. 

E, como disse o Michael, algumas dessas coisas já estarão incluídas no seu plano de recuperação de desastres. 

Vá em frente e use esses elementos, certo? 

Copie e cole. 

Mas ter um plano de Recovery cibernético é realmente o que vai ajudar a tirar você dessa situação quando você
se partir em uma dessas situações. 

Michael, como as expectativas em relação à recuperação mudaram, passando de simplesmente recuperar os dados para recuperar nossos
negócios? 

Boa pergunta. 

Então, sabe, a maioria das pessoas planeja restaurações do tipo um Z, dois Z. 

Tenho alguns arquivos aqui. 

Tenho um servidor aqui. 

E dá pra planejar isso, né? 

É muito matemático, né? 

Para uma recuperação de desastres (DR). 

Tenho um andar. 

Tenho um servidor. 

Tenho um prédio. 

Preciso saber a quantidade de dados que existe, a largura de banda disponível até o próximo 

local, ou seja, uma área geograficamente dispersa, e posso simular cenários o dia inteiro com base nisso. 

O problema com um incidente cibernético é que eu não sei qual é a extensão dele, certo? 

Quantos servidores foram afetados nessa organização? 

Quantos locais foram afetados? 

Tive um cliente que foi atingido. 

Eles tinham 99 locais espalhados pelo mundo, e o invasor destruiu todos os 99 locais espalhados pelo mundo. 

Portanto, todas as cópias dos dados que eles possuíam em qualquer lugar foram completamente destruídas. 

Analisar a situação, elaborar uma solução, testá-la e colocá-la em prática são, de fato, algumas das
há coisas mais importantes aqui; por isso, você precisa se certificar de lidar com isso de maneira diferente 

Se você analisar a situação de maneira diferente, os resultados sempre serão diferentes. 

E você levantou uma questão realmente importante aqui. 

Existem três tipos distintos de operações de Recovery que planejamos adequadamente: 

Recuperação operacional, recuperação de desastres e recuperação cibernética. 

Você poderia explicar um pouco mais sobre cada uma delas, em que elas diferem e como
isso 

Isso realmente impede que os clientes consigam se recuperar em caso de um incidente cibernético? 

Claro. 

Recovery operacional: esse é o caso típico — eu apaguei um arquivo, você tem uma cópia local do qual
é possível restaurá-lo, de forma super rápida, fácil de fazer e automatizada na maioria dos casos; basta simplesmente acessar 

e… 

Eu ia dizer que, aqui na Commvault, todos nós temos a capacidade de realizar nossas próprias recuperações em
nossos laptops. 

Tenho certeza de que, na maioria das organizações, é simples, certo? 

Procedimento simples. 

Com certeza. 

Recovery após desastres, no caso de desastres naturais, 

e está muito avançada. 

Fazemos isso há mais de 30 anos, realizando testes trimestrais na maioria dos locais. 

Na verdade, fizemos isso tantas vezes que as pessoas ficaram preguiçosas em relação à recuperação de desastres. 

Na verdade, elas nem estão mais fazendo testes. 

O que costumam fazer agora é alternar o data center de um local para outro
a cada seis meses e dizer: “Ei, estamos em produção”. 

É um bom teste. 

Mas, no caso deste último, o da segurança cibernética, são necessárias algumas medidas específicas. 

Primeiro, e acho que o mais importante, é uma cópia terciária dos dados. 

Uma terceira cópia dos dados que fica na infraestrutura de outra empresa, porque, você sabe, os
Os invasores terão acesso ao AD, terão acesso a todo o seu ambiente, 

E vão ter todas as suas credenciais na nuvem. 

Portanto, ter apenas essa segunda cópia dos dados — que você normalmente espalharia
geograficamente — isso não é proteção suficiente. 

Portanto, você precisa garantir que ela esteja protegida pela infraestrutura de terceiros, que seja
imutável e indelével. 

A indelévelidade impõe essa governança para garantir que 

ninguém, nem mesmo quem possua credenciais de alto nível obtidas junto ao AD, possa alterar
ou excluir esses dados. 

São esses dados que vão nos salvar quando estivermos sob ataque. 

Sabemos que eles estarão lá quando for preciso, porque, como você disse, não podem ser excluídos, não podem
podem ser alterados e precisam atender a requisitos rigorosos. 

E, para que um agente mal-intencionado consiga acessá-los, ele não teria apenas que invadir sua
da organização, mas também a nossa, certo? 

Portanto, trata-se, de fato, de um ataque em duas frentes que ele teria de realizar. 

Então, com isso… 

Sabemos que podemos ter uma cópia segura dos dados. 

Para onde devemos restaurar esses dados em caso de um ataque cibernético? 

Esse é o ponto em que ninguém nunca pensa, certo? 

Aproximadamente 17% de todos os ataques são destrutivos, nos quais os invasores invadem o firmware e
da BIOS dos servidores, e não é possível recuperá-los. 

Mas isso faz parte dos planos de todo mundo. 

Vou voltar exatamente ao ponto de partida. 

E hoje em dia, mesmo que esses 17% sejam um número relativamente pequeno, a maioria dos CISOs 

— já que não se sabe se foi um ataque destrutivo — pensam: “Tenho que partir do princípio de que foi
“destrutivo”. 

Portanto, a maioria das empresas não possui um plano que preveja 50 servidores à disposição em sua área de espera,
prontos para uso. 

E, portanto, no contexto atual, é necessário dispor de um ambiente de Recovery isolado. 

Primeiro, é um local seguro onde eu possa recuperar os dados; segundo, é um local que eu possa divulgar
para a produção e onde eu tenha certeza de que o invasor não está. 

Portanto, como uma dessas áreas-chave de que você falou anteriormente, 

um ambiente de recuperação isolado — que chamamos de “sala limpa” — é essencial para a resiliência cibernética
. 

Claro, então agora estamos em uma boa situação: sabemos que temos cópias dos nossos dados, seguras e protegidas, e agora
Temos um local onde podemos armazenar esses dados e, como você mencionou antes, podemos apagar 

e limpar esses dados antes de transferi-los para a produção. 

E uma das Features que, na minha opinião, aqui na Commvault não recebe o destaque que merece é a nossa
portabilidade “any-to-any”, certo? 

Porque, como você disse, pode ocorrer um ataque destrutivo no local; bem, agora você precisa se
adaptar, certo? 

Você precisa… 

Preciso ir para outro lugar; quanto tempo leva para conseguir um novo equipamento? 

Talvez seis semanas? 

Você não pode ficar seis semanas sem servidores de produção. 

Você pode migrar suas cargas de trabalho para o provedor de nuvem de sua escolha ou para um hipervisor diferente, e
Isso realmente lhe dá a flexibilidade necessária para se recuperar após um desses ataques. 

Na verdade, essa é uma das principais vantagens da
Commvault em em relação aos concorrentes, que nunca é realmente mencionada: o fato de que já fazemos “any-to-any” há anos. 

Então, se você quisesse… 

Criar um ambiente VMware local e, em seguida, migrá-lo para o ambiente AWS EC2, tudo
Isso é feito automaticamente. 

Isso acontece durante a restauração, e eu não preciso me preocupar com nada. 

E a variedade de opções “de qualquer plataforma para qualquer outra” que oferecemos, de uma plataforma para
Além disso, é absolutamente incrível e simplesmente supera qualquer outro concorrente do setor. 

É, a gente realmente oferece aos nossos clientes todas as opções que eles poderiam desejar, né, quando se
É disso que se trata? 

Com certeza. 

Tudo bem, então vamos mudar de assunto. 

Que tipo de desafios você está observando com mais frequência atualmente em relação a esses ataques cibernéticos? 

O principal problema é a falta de preparação. 

É preciso lidar com isso como se fosse um desastre. 

Quando se fala em recuperação de desastres e em se recuperar disso, normalmente haveria
um administrador de backup, certo? 

E essa pessoa, nesse caso, 

Eu sempre chamo assim; ela é considerada uma espécie de deusa, certo? 

Quando se trata da parte de Recovery após desastres, é tipo: “não se aproxime dessa pessoa”,
“Não se aproxime dela, apenas leve comida e bebida de vez em quando e deixe-a em paz”, 

porque ela já vem elaborando o plano há muito tempo. 

E tudo era responsabilidade dela. 

O problema é que essa pessoa quase não tem responsabilidade em um ataque cibernético. 

Ela não pode simplesmente começar a recuperar os dados, pois isso desencadearia uma fase de reinfecção. 

Você precisa trabalhar em conjunto com suas equipes de segurança, de TI, do departamento jurídico e de comunicação;
Todas essas pessoas precisam trabalhar juntas, e elas nunca trabalharam juntas antes. 

E eu sempre gosto de brincar dizendo que, provavelmente, a última vez que sua equipe de segurança e sua equipe
Os jogadores da TI se reuniram quando jogaram uns contra os outros em alguma partida de beisebol em um 

Evento. 

Elas estão sempre uma contra a outra, nunca no mesmo time. 

Mas quando ocorre um incidente cibernético, se eu for o responsável pelo backup, eu… 

Não tenho autoridade para realizar uma Recovery até que alguém da área de segurança me dê permissão para isso
faça isso. 

E o pessoal da segurança não pode fazer o que precisa ser feito até que alguém da equipe de TI assuma
a iniciativa. 

Então, é essa ideia de freios e contrapesos, que é um conceito totalmente estranho em qualquer Recovery de dados
antes de incidentes cibernéticos. 

Ah, sabe, o que eu acho engraçado é que, pense na última vez que você interagiu
com um gerenciador de backup, certo? 

Provavelmente foi algo como: “Ei, perdi um e-mail ou uma planilha”, e o que eles fizeram? 

Eles consertaram em questão de minutos, certo? 

Agora, voltando ao que você disse, eles não podem fazer isso. 

Eles não podem simplesmente fazer isso porque você não sabe o que foi comprometido. 

Você não sabe se eles afetaram uma dúzia de servidores, se afetaram todo o ambiente ESX, e você
Você não pode simplesmente começar a restaurar as coisas, pois isso só vai te levar de volta exatamente ao ponto de partida. 

Isso realmente precisa ser um esforço em equipe, certo? 

Todo mundo precisa, finalmente, se unir, trabalhar em conjunto e colaborar para colocar a organização
de volta ao funcionamento. 

Concordo. 

Então, quais são algumas das principais lições que as organizações aprenderam depois de passar por um
ataque cibernético? 

As lições aprendidas variam. 

São as mais variadas. 

Acho que o mais importante é… — e isso geralmente surge depois do segundo ataque, já que que
É muito comum ocorrerem até quatro ataques por ano — embora isso não seja algo que se possa realmente planejar. 

Você não vai conseguir criar cenários que se desenrolem exatamente como você
Imagina quando esse evento cibernético acontecer. 

Existem tantas variáveis diferentes. 

A questão é a seguinte: na Recovery, é muito fácil se preparar para um tornado. 

Um tornado provavelmente vai destruir um prédio. 

Uma enchente pode destruir… 

talvez os andares inferiores de um prédio, mas isso dá para planejar, dá para ensaiar; eu posso entrar lá e fazer
É isso aí. 

No caso dos ataques cibernéticos, há tantas maneiras diferentes pelas quais eles podem atacar. 

Tantas maneiras diferentes de invadir, tantas maneiras de destruir informações. 

Caramba, hoje em dia, nem se trata mais tanto de ransomware, né? 

Temos ataques ocorrendo simplesmente porque alguém quer derrubar um concorrente, ou um
O governo quer derrubar outro governo. 

Isso é pura intenção maliciosa, sem nenhum retorno financeiro no fim das contas, a não ser destruir
seu inimigo. 

É difícil se preparar para isso. 

Claro. 

E, portanto, o que precisamos fazer é realmente aplicar essa teoria do caos ao realizar nossos testes. 

Uma das coisas que costumo fazer sempre que participo desses testes é que eles
Sempre há uma lista pré-definida do que foi atacado, certo? 

Eles sempre sabem exatamente quais servidores e, o que é ótimo, sempre trazem todos os
os responsáveis por esses servidores para as reuniões conosco. 

Com certeza. 

E uma das coisas que sempre gosto de fazer é escrever os nomes dos servidores no verso
de cartas de baralho, 

Jogo essas cartas contra a parede; as que caírem com a face para cima são as
que acabaram de ser atacadas. 

Então, essa é uma ótima maneira de trazer essa metodologia do caos para cá, para que você possa testá-la. 

E depois de ter testado de tantas maneiras caóticas diferentes, não vou dizer que você está
preparado para esse ataque, mas você tem uma ideia e uma compreensão do impacto 

Então, como você pode se recuperar melhor? 

É, e você sabe qual é o seu ponto de virada, certo? 

Ei, se eu souber que, se X acontecer, vou mudar para Y, certo? 

Se eu souber que, se fizer Y e não der certo, vou mudar para Z. 

E acho que não dá para estar preparado para todos esses cenários, mas quanto mais você estiver
estar preparado para eles quando isso realmente acontecer, é essa memória muscular, certo? 

Tipo, ei, eu sei que vamos conseguir fazer isso porque me preparei para isso, me…
Estou preparado para todas essas situações. 

Sei que, há alguns anos, o FBI costumava dizer: “Ei, se você for alvo de um ataque cibernético,
“é preciso seguir este conjunto de procedimentos”. 

E então, um ano depois, eles se mudaram para: 

Quando você for alvo de um ataque cibernético, é preciso fazer isso. 

E agora, neste ano, dizem: “Pela frequência com que você vai sofrer um ataque cibernético”
, “precisa estar pronto, precisa estar preparado”. 

Você poderia falar um pouco mais sobre como é essa preparação nesse contexto? 

Sim, isso acontece com frequência, e acho que o mais importante na preparação é mudar
sua mentalidade. 

E a mentalidade muda: não se trata de
“se”, “quando” ou “com que frequência”, mas sim de realmente partir do princípio de que você já sofreu uma violação. 

Sabe, sempre gostamos de brincar dizendo que existem dois tipos de empresas neste mundo. 

Aquelas que sabem que já sofreram uma violação e aquelas que não sabem que já sofreram uma violação. 

E, embora isso não seja totalmente verdade — quer dizer, sejamos honestos —, no ano passado, nos Estados Unidos, apenas 60% das empresas sofreram
uma violação, certo? 

Então você tinha uma chance, tinha 40% de chance de não ter sofrido uma violação, mas isso foi em um
ano. 

Sim, sorte. 

Mas se você adotar a mentalidade de que vou partir do princípio de que houve violação, 

Quando eu for trabalhar amanhã, vou tomar decisões diferentes. 

Vou encarar as coisas de maneira diferente, vou analisá-las de maneira diferente e, com sorte, vou
dar início a essa iniciativa de formação de equipe, envolvendo o departamento de TI e o jurídico, e 

discutir assuntos que, normalmente, eu não teria discutido com eles. 

Então, sabe, é engraçado, você mesmo disse que 60% das organizações já sofreram violações. 

A questão é a seguinte: li uma estatística outro dia que dizia que, em 2025, ocorrerá um ataque cibernético a cada
14 segundos. 

Esse número me parece absurdo. 

Outro número realmente impressionante é que o crime cibernético deve atingir US$ 10,5
trilhões este ano. 

Então, embora talvez tenham sido apenas 60% das organizações nos Estados Unidos, você não chega
US$ 10 trilhões sem ter todo mundo como alvo, certo? 

Não é como se eles estivessem mirando apenas 1% das grandes corporações, certo? 

Eles estão de olho em todo mundo. 

Para colocar isso em perspectiva: US$ 10 trilhões, se você analisar isso do ponto de vista do PIB dos
países ao redor do mundo, seria o terceiro maior país do mundo. 

Isso é inacreditável. 

Crime cibernético: o terceiro maior país do mundo. 

Isso é inacreditável. 

Ok, acho que é hora de mudar de assunto agora, certo? 

Já falamos bastante sobre os aspectos negativos e sobre as dificuldades. 

Vamos falar sobre como reduzir esse prazo de 24 dias. 

Vamos falar sobre o que os clientes podem fazer não apenas para se recuperar desses ataques, mas também para reagir
e talvez até saiam mais fortes. 

São os nossos quatro pilares. 

Isso é muito importante. 

Então, antes de mais nada, você precisa ter uma cópia terciária dos dados na infraestrutura de
terceiros. 

Assim, você terá uma cópia limpa e confiável, imutável e indelével. 

É preciso ter um local para restaurá-la, que seja um ambiente de Recovery isolado. 

Chamamos o nosso de “sala limpa”. 

Isso permite que você, hum, faça testes, o que é fundamental. 

Não vamos conseguir reduzir os 24 dias, mesmo aplicando esses métodos, se não fizermos os
fazer testes com eles. 

Portanto, você precisa ter um local para realizar os testes, pois não é possível interromper a produção. 

Também é possível realizar análises forenses nesse local. 

Muitas vezes, digamos que você nem esteja sofrendo um ataque, mas introduza uma nova
ferramenta de segurança cibernética e queira testá-la em sua organização. 

Você não quer simplesmente espalhar algum malware na sua organização para ver como a ferramenta o detecta. 

E você também não quer entrar em um ambiente estéril que não se pareça nem um pouco
com sua produção. 

Então, com o Commvault Cleanroom, consigo restaurar meu ambiente para um local seguro, 

e posso soltar um malware lá para ver como a segurança cibernética se comporta. 

Por outro lado, se você for atingido — como aconteceu comigo uma vez, quando não foi um
ataque destrutivo —, recebemos a autorização, pudemos prosseguir e recuperar os dados, e o governo dos 

interveio e disse: “Vocês não podem recuperar os dados agora”. 

Nunca vimos esse agente mal-intencionado e nunca vimos esse tipo de ataque. 

Então, eles queriam fazer sua própria análise forense. 

Só rapidinho: qual era o SLA deles nesse caso? 

Ah, eles estouraram o… 

É, claro, né? 

Não há SLA quando o governo está envolvido. 

Não, de jeito nenhum. 

Levamos duas semanas. 

O governo tem duas semanas para realizar a pesquisa. 

Então, não teria sido ótimo se eu tivesse o Commvault Cleanroom e pudesse restaurar
colocar essas máquinas naquele ambiente e dizer: “Ei, levem o tempo que precisarem.” 

Vão em frente e façam suas avaliações, resolvam suas questões. 

“Vamos voltar ao trabalho.” 

É, incrível. 

Muito incrível. 

Então, tenho dados em boas condições. 

Tenho um local seguro para onde posso levar os dados. 

O próximo ponto, e o mais importante, é o plano de recuperação cibernética, sobre o qual já conversamos, o que
É ótimo. 

Ele vai explicar tudo em detalhes, mas há algumas coisas que precisam constar nesse plano de recuperação cibernética
que, Naturalmente, são muito difíceis de conseguir. 

Então, isso envolve identificar todo o mapeamento de seus aplicativos. 

Se eu estiver restaurando apenas alguns arquivos de um servidor de arquivos, isso não me incomoda muito. 

Se eu estiver restaurando, digamos, o Epic para um ambiente de saúde, e ele tiver 32
servidores diferentes que interagem entre si, e 

se eu tiver que restaurar todos eles. 

Preciso colocar todos eles de volta em um estado consistente. 

E espero que você tenha feito a análise para descobrir isso, para mapear suas aplicações. 

Existem algumas ferramentas que ajudam nisso, mas, para ser sincero, é um processo muito difícil
. 

É, como você descobre que 32 servidores alimentam uma máquina, né? 

E a maioria das pessoas pensa: “Bem, a gente sabe por que vamos restaurar nossos servidores de nível um”
“”. 

Bem, o problema é que um servidor de nível um só funciona se você tiver vários servidores de nível três
sejam quais forem os níveis em que se encontrem, desde que, de fato, estejam fornecendo dados a ele, 

dos quais ele precisa. 

E, portanto, a única maneira de fazer isso é por meio dessa quarta etapa, que é o teste com o caos. 

Tenho que entrar na sala limpa. 

Preciso garantir que estou realizando as recuperações, randomizar o processo, ver o que acontece e verificar o que funciona
e o que não funciona depois dessa randomização. 

Tudo bem, talvez apenas 32 máquinas tenham sido afetadas, mas vou ter que restaurar 142
devido a todas as dependências existentes. 

Essas são, na verdade, as quatro coisas: o isolamento físico, a sala limpa ou o ambiente de Recovery
isolado, 

um plano de recuperação cibernética e, por fim, testar tudo isso, porque um plano de recuperação cibernética não passa de um
um pedaço de papel até que você realmente o coloque à prova. 

Com certeza, certo. 

É apenas um documento até você colocá-lo à prova. 

E alguns dos testes que eu recomendaria que os clientes fizessem são, por exemplo, exercícios simulados
: reunir-se na sala de reuniões e discutir o que aconteceria se fôssemos vítimas de um ransomware, o que 

Vamos decidir quem fica em primeiro, segundo e terceiro lugar? 

Quando é que vamos, afinal, colocar em prática nosso plano de recuperação cibernética? 

Mas eu também iria um pouco além, certo? 

Você realmente quer fazer uma recuperação cibernética prática. 

Com certeza. 

Ei, tenho essa ferramenta chamada AirGap Protect, tenho outra chamada Cleanroom; agora
Vamos colocar isso em prática — a prova está no resultado, certo? 

Vamos garantir que possamos recuperar essas cargas de trabalho dessa cópia terciária de dados para este
Sala limpa, porque esse é o verdadeiro teste, certo? 

Posso reativar minha empresa. 

E isso me leva à minha próxima pergunta: como as empresas estão decidindo o que vão
se preparar para o segundo e o terceiro planos? 

Já ouvi bastante esse termo, “viabilidade mínima”, sendo usado por aí. 

Presumo que isso varie de acordo com cada organização. 

Como isso se encaixa nesses quatro pilares? 

É diferente para cada organização, certo, dependendo do setor em que você
atua. 

E a única maneira de descobrir isso é por meio de testes. 

Sem isso, não dá para saber. 

Muitas vezes, as pessoas acham que sabem o que precisa ir para onde e como. 

E, mesmo sem esses testes, que realizamos durante anos para a Recovery de desastres, já temos o
processo. 

Só que ainda não colocamos isso em prática. 

Quero dizer, o mais incrível é o seguinte. 

Durante anos — 30 anos —, realizamos testes trimestrais de recuperação de desastres e elaboramos planos de recuperação de desastres
, mas menos de 1% de todas as empresas que já existiram declararam um 

desastre e, como já dissemos, 60% de todas as empresas nos Estados Unidos sofreram uma violação de segurança no ano
passado e ninguém está realizando testes para isso. 

Ninguém está fazendo testes porque é algo avançado, certo? 

É preciso um doutorado para entender a diferença entre recuperação cibernética e recuperação após desastres — algo que qualquer pessoa consegue
fazer hoje em dia. 

Claro. 

É, é quase como se a gente pensasse: “Ei, como vou saber o que estou testando em um evento do Recovery?”
“cibernética?”, certo? 

E acho que, sabe, nossos clientes aqui na Commvault têm muita sorte. 

Lançamos agora esse novo serviço, o Guardian, e, olha, a gente entende que isso
Isso não acontece da noite para o dia, né? 

Se quiséssemos ser resilientes a ataques cibernéticos amanhã, já seríamos, mas não é tão fácil assim,
certo? 

É uma jornada. 

Leva tempo. 

Em muitos casos, na maioria das vezes você vai precisar de ajuda. 

E acho que esse novo serviço tem como objetivo realmente ajudar os clientes 

dar o próximo passo em sua jornada de resiliência cibernética. 

Bem, e por meio do nosso “readi verse”, como muitas pessoas não sabem como realizar um
exercício de simulação adequado; agora oferecemos tanto uma vertente executiva quanto uma técnica de um 

exercício simulado sobre eventos cibernéticos. 

Mas, como você disse, esse é apenas o primeiro passo. 

Agora você precisa mesmo colocar isso em prática. 

Nas Forças Armadas, chamávamos isso de ciclo OODA: Observar, Orientar, Decidir e Agir. 

E o que isso significa é um ciclo repetitivo pelo qual você passa, 

testando constantemente algo, avaliando-o, modificando-o e testando-o novamente. 

E, assim, você fica mais preparado para quando algo realmente acontecer. 

Bem, você já passou por tantos ciclos de testes, mudanças e maneiras de fazer as coisas
que, para você, isso é quase mais um teste. 

Claro. 

E é assim que a gente realmente se recupera, né? 

Então, com esses quatro pilares: a proteção por intervalo de ar, a sala limpa, seu plano de Recovery cibernético e,
Por fim, os testes em condições caóticas, certo? 

E nós temos… 

Estamos perfeitamente alinhados com eles, como você disse. 

Temos cópias seguras e protegidas dos nossos dados. 

Já temos o local para onde nossos dados serão restaurados. 

Ora, se você precisar de um plano de recuperação cibernética, baixe-o do Readiverse, como mencionei
, e adapte-o às suas necessidades. 

E, por último, mas não menos importante, se precisar de alguma ajuda ao longo do caminho, contamos com o Serviço Guardian para te ajudar
. 

Michael, obrigado por dedicar seu tempo hoje. 

Foi realmente esclarecedor. 

Obrigado, Chris. 

E com isso encerramos nossa conversa sobre o Protocolo Phoenix e como os quatro
Os pilares da resiliência cibernética da Commvault realmente ajudam os clientes a renascerem das cinzas após um 

ataque cibernético.