Continuidade de negócio: a redundância deixou de ser opcional

O custo médio de downtime em IT era, há vários anos, estimado em 5.600 dólares por minuto, mas em setores como banca ou e-commerce esse valor pode facilmente ultrapassar o milhão de dólares por hora. O problema é que muitas organizações ainda tratam a continuidade de negócio como um exercício de compliance e não como uma estratégia operacional.

Existe um plano, guardado numa pasta partilhada, que não é testado há anos. Há backups automáticos configurados, mas ninguém verificou se são efetivamente recuperáveis. Com a importância de manter os negócios up-and-running 24/7, Commvault, IP Telecom, Securnet, Veeam e VisionWare partilharam, num evento híbrido, a sua visão sobre o mercado de continuidade de negócio.

Aos dias de hoje, o que é que consideram ser business continuity e quais os aspetos que devem ser englobados nesta categoria? Quando há uma falha, quem é normalmente o culpado: a tecnologia ou as dependências que ninguém documentou?

	Bruno Castro, Founder & CEO, VisionWare

Bruno Castro, Founder & CEO, VisionWare: “A continuidade de negócio não são só backups. É a capacidade de repor a base do negócio depois de algum tipo de incidente. Estamos muitas vezes envolvidos em processos de recuperação de desastre e olhamos para isto ‘à engenheiro’: há muitas variáveis. Temos de gerir cada um dos pilares dessas variáveis, com base no orçamento e na importância para o negócio. Tem de ser o top management a definir essa importância e a sua implementação”

Luís Feitor, Advance Specialist Engeineer, Commvault: “Este é um tema complexo. Há muitas variáveis envolvidas. A continuidade de negócio tem de se manter em que circunstância? Não é apenas recuperação de desastre. A culpa só se vê no fim; uma grande generalidade das empresas que consegue sobreviver a um ciberataque, ao fim de um ano, fecha as portas. Este é um cenário que é preciso preparar; temos de olhar para o cenário real e procurar implementar as medidas necessárias para o prevenir”

Emanuel Santos, SOC Manager, Securnet: “A continuidade de negócio parece um bicho- -papão e parece algo muito complexo. Tem uma série de checklists que se deve seguir, mas a NIS2 vai ajudar muito nisto; a continuidade de negócio está muito presente na NIS2. Estes planos de continuidade de negócio têm de ser implementados a cada empresa porque as empresas não são iguais umas às outras. Isto não é só tecnologia, também são as pessoas, e é preciso documentar dependências – de fornecedores, obviamente, mas também das pessoas”

As organizações compram soluções de business continuity. qual é a percentagem que efetivamente as implementa corretamente versus aqueles que têm a tecnologia instalada, mas configurada de forma que não funcionaria numa crise real?

Filipe Frasquilho, Diretor de Serviços TI, IP Telecom: “As pessoas são um dos pontos mais críticos desta equação. A grande maioria das organizações não têm planos de continuidade de negócio; têm planos de disaster recovery porque falta, normalmente, o ponto das pessoas. Temos tido uma noção clara que as empresas têm planos de disaster recovery, e até funcionam, mas é muito para o compliance. No entanto, planos reais, onde também entram as pessoas e os processos, são muito poucas que têm”

Por norma, o que falha nos projetos de implementação de business continuity quando o cliente descobre que o plano não funciona: tecnologia, processo ou pessoas?

Ricardo Oliveira, Territory Manager, Veeam

Ricardo Oliveira, Territory Manager, Veeam: “Este triângulo e o ISO 27001 é muito importante. Não existe um ponto de falha único; podemos chegar a uma determinada organização que compra muita tecnologia e a que é certa, mas pode ter a ‘casa desarrumada’ ou não ter as pessoas suficientes. Outras podem ter as pessoas, mas não têm o orçamento disponível para o investimento necessário. Para além destes três pontos, há um que está ligado às pessoas e que vou chamar de cultura e às vezes os planos falham por uma questão de cultura”

Filipe Frasquilho, IP Telecom: “O plano de continuidade de negócio tem de começar no board e tem de ter a contribuição de todas as pessoas da empresa. Esse envolvimento é fundamental para que, depois, os testes funcionem. Dou um exemplo: tivemos, no início do ano, dois sismos relativamente pequenos; quem é que aplicou os planos para sismos? Praticamente ninguém, mas as crianças, por exemplo, fizeram porque são treinadas todos os anos para isso”

Com ambientes híbridos e multicloud, o Recovery Time Objective real aumentou ou diminuiu? Temos mais ferramentas, mas também mais pontos de falha; como é que se equilibra?

	Luís Feitor, Advance Specialist Engeineer, Commvault

Luís Feitor, Commvault: “Estes ambientes multicloud trazem novos desafios, até porque os cloud providers são muito distintos e as funcionalidades também. Os clientes protegem o workload que está na cloud, mas nem sempre protegem a cloud em si. Temos de estar preparados para recuperar em qualquer local e fazer a portabilidade dos dados de um local para o outro, mas também a configuração desses ambientes. É preciso fazer, por vezes, um trade off entre aquilo que precisamos de continuidade de negócio e aquilo que podemos investir”

Ricardo Oliveira, Veeam: “Consideramos que existem desafios, de facto, mas o governance dos dados torna-se mais complicado com a dispersão dos dados. Se temos os nossos dados numa caixinha na nossa casa, o governance é completamente diferente de os ter numa multicloud. Não podendo fugir desta realidade – seja em maior ou menos escala –, também pode ser uma oportunidade, porque num cenário de disaster recovery em que as pessoas têm tudo on-premises, os dados que estão em cloud provavelmente vão ser mais difíceis de recuperar”

Como é que o aumento de ciberataques, nomeadamente de ransomware, mudou a abordagem dos fornecedores de serviços e dos clientes? Os backups imutáveis são suficientes ou é preciso mais?

Emanuel Santos, SOC Manager, Securnet

Emanuel Santos, Securnet: “O ransomware profissionalizou-se. Para além de terem existido muitos ataques, o pânico instala-se nas organizações, mas para nós é só mais um dia. O que sentimos é que são os mesmos grupos a terem abordagens completamente diferentes. Vê-se uma aceleração muito rápida. Antes os backups imutáveis chegavam e estavam ótimos, mas agora há uma cultura de extorsão: furtam os dados e ameaçam a sua publicação. As organizações precisam de um parceiro tecnológico que olhe para isto e que as aconselhe da melhor maneira”

Luís Feitor, Commvault: “A abordagem tem vindo a mudar por necessidade. Podíamos enfrentar este cenário com uma terceira cópia num ambiente isolado, mas, por vezes, esses dados também já podem estar comprometidos. Embora tenhamos pessoas e tecnologia altamente especializada, os ataques continuam a ser bem-sucedidos. Quando a encriptação ocorre num determinado sistema, o comportamento desse próprio sistema muda e, assim, é preciso definir qual é o comportamento habitual desses sistemas”

Filipe Frasquilho, IP Telecom: “Não são os fornecedores que estão a fazer alteração na abordagem. Os clientes é que estão a mudar o paradigma. O que temos reparado é que os clientes já se preocupam – e ainda bem – em ter várias cópias, dados imutáveis, tudo coisas que há uns anos as organizações achavam que não era necessário. O paradigma mudou porque as empresas viram outras ao seu lado a serem atacadas e a terem problemas graves”

Ricardo Oliveira, Veeam: “Há uma mudança de paradigma e de escala dos ataques. A escala aumentou muito e o ransomware não é o único problema da cibersegurança; o ransomware é facilmente escalável para os atacantes. É preciso ter uma abordagem holística na componente da segurança. Também a forma como o ataque é feito é diferente hoje, porque existe uma preparação por parte do cibercriminoso”

Bruno Castro, VisionWare: “Estou no mercado há vários anos e quando nos questionam o que é que mudou, principalmente foi um banho de humildade. Se nos perguntassem um dia,antes do ataque à Vodafone se aquilo era possível de acontecer, eu dizia que era impossível. Agora há uma explosão de coisas na Internet em que tudo saltou para a Internet. Se houve uma grande quantidade de pessoas a ir para a Internet, também o cibercrime explodiu com ataques especializados para as organizações. O ransomware é só a fase mais visível do cibercrime”

O business continuity compete por orçamento e inovação com novos projetos. Como é que se pode convencer o responsável financeiro a investir em algo que, se funciona bem, não acontece nada? Que métricas ou argumentos funcionam?

	Filipe Frasquilho, Diretor de Serviços TI, IP Telecom

Filipe Frasquilho, IP Telecom: “Não é assim tão difícil. Estamos a falar de algo que tem a ver com o negócio e a sua continuidade; se querem que o negócio continue, têm de fazer o investimento necessário para que isso aconteça. Uma forma simples é perguntar para que é que querem os seguros? Ninguém os quer utilizar, mas todos têm. É certo que muito é por obrigação, mas a NIS2 também terá impacto nesse ponto que leva a esse caminho e que vai ajudar a quem decide. Isto faz parte do negócio”

Ricardo Oliveira, Veeam: “Se estamos a falar com o board, estes stakeholders têm objetivos, tal como nós. Temos de conseguir pôr um número em cima da mesa, colocar em cifrões quanto custa à nossa organização estar em baixo durante um determinado tempo que faça sentido. Se isso não for suficiente para convencer o negócio de que é preciso investir na continuidade de negócio, então provavelmente não temos os valores certos para apresentar”

A Inteligência Artificial (IA) Generativa e a automação podem acelerar a recuperação ou criar riscos? Estão a ver os clientes a incorporar esta tecnologia nos planos de business continuity ou ainda é muito experimental?

Emanuel Santos, Securnet: “As equipas com alguma maturidade já se começam a ver, mas ainda é muito experimental porque há muitos riscos. Fala-se de inteligência artificial, mas ainda é um assunto desconhecido. Aquilo que é controlado é respeitado e não vejo nenhuma organização a controlar internamente a inteligência artificial. A tecnologia é, sem dúvida, muito boa, mas tem muitos riscos e é apenas um tema experimental quando falamos da continuidade de negócios. A inteligência artificial é muito boa se treinarem o modelo, mas as pessoas não o treinam; colocam apenas informações para lá”

Bruno Castro, VisionWare: “A inteligência artificial passou a ser o tema mais trendy a seguir à cibersegurança. A utilização de IA é inevitável e é provavelmente uma das maiores inovações a seguir à Internet. Se a adoção de tecnologia já é um risco para a sociedade, algo com IA tem um potencial muito maior; nas organizações é muito maior. Temos de colocar barreiras e controlos para impor limites, mas também para perceber os desafios que vão existindo. As organizações querem utilizar IA porque acham que vão acabar se não o fizerem, e não é assim; temos de impor o mesmo framework de segurança que qualquer outra solução”

Luís Feitor, Commvault: “A IA deve ser aplicada a cenários em que traz benefícios claros. Na continuidade de negócios e na proteção de dados pode ter a ajuda da inteligência artificial para analisar logs. Neste caso concreto, a inteligência artificial ajuda muito na automação, quando temos de criar um workflow e caminhar, validar e testar. Temos de garantir a veracidade daquilo que a inteligência artificial nos está a dizer”

Se tivessem de dar apenas uma recomendação acionável que uma empresa possa implementar até ao final do ano para melhorar a seua continuidade de negócio, sem grande investimento, qual seria?

Bruno Castro, VisionWare: “Primeiro, devem fazer as soluções à medida das organizações e não ir atrás daquilo que o mercado está a tentar vender. Depois, é importante ser feito com alguém que já o fez e não que diz que já o fez. Por fim, testar, de forma aberta e sem constrangimentos, o modelo de continuidade de negócio porque, quando precisarem, ele tem mesmo de funcionar”

Emanuel Santos, Securnet: “É preciso que as pessoas, por vezes, troquem de funções para, quando o momento surgir, haver mais do que uma pessoa que saiba fazer o que é necessário porque as pessoas também falham, também podem não estar disponíveis. Quando o momento chegar, é sempre melhor haver duas ou mais pessoas que sabem do tema do que só uma que, naquele momento, pode falhar”