PublicouKauê Matos Alterado mais de 3 anos atrás
2 Roteiro – FASE 4 Visão Geral de Plano de Continuidade de Negócio
Análise de Impacto de Negócio (BIA) Processos ou Atividades Essenciais Definição dos Impactos Definição dos Prazos Definição das Dependências Preenchimento do Formulário BIA
3 Visão Geral de Plano de Continuidade de Negócio
4 Visão Geral de PCN
5 PCN – ISO 27001 Objetivo: Garantir a recuperação a um nível aceitável:
6 PCN – ISO 27001 As consequências de incidentes devem passar por uma Análise de Impacto no Negócio PCN deve ser desenvolvido para garantir a retomada das atividade em tempo pré-definido PCN deve limitar os danos em caso de incidente
7 PCN – ISO 27001 Controle – O PROCESSO DE GESTÃO DA CONTINUIDADE
Entendimento dos riscos Identificação dos ativos envolvidos Entendimento do impacto dos incidentes Implementação de controles Documentação dos processos no escopo do PCN Testes e atualizações regulares
8 PCN – ISO 27001 Controle – ANÁLISE E AVALIAÇÃO DE RISCO
Identificar eventos que causam interrupção Ex. falha equipamento, erro humano, roubo, incêndio, desastres naturais, etc. Determinar o impacto Financeiro e tempo de retorno Considerar todos os processos e pessoas Não somente o setor de Tecnologia da Informação Plano de Ação a partir da análise de risco
9 PCN – ISO 27001 Controle – DESENVOLVIMENTO DO PLANO
Foco nos serviços que afetam os clientes Processos podem incluir serviços de terceiros PCN e toda documentação envolvida deve ser acessível, porém em local livre de desastres Os ambientes de backup devem ter proteção de mesmo nível do ambiente original
10 PCN – ISO 27001 Controle – ESTRUTURA DO PCN
Definição de responsabilidades Plano de manutenção para recuperação Plano de treinamento e conscientização dos envolvidos Lista de recursos necessários para a recuperação
11 PCN – ISO 27001 Controle – ESTRUTURA DO PCN Condição de ativação
Procedimento de emergência O que fazer logo após o incidente? Procedimento de recuperação Como fazer para estabelecer a contingência? Procedimento operacional temporário O que fazer até concluir a recuperação? Procedimento para saída da contingência Como restaurar a operação normal?
12 PCN – ISO 27001 Controle – TESTE e MANUTENÇÃO
Devem ser testados e atualizados regularmente Todos os envolvidos devem conhecer os planos Componentes de backup devem ser testados Tipos de testes: Verbalização do procedimento em grupo Recuperação técnica Recuperação para local alternativo Recursos de backup Testes com fornecedores Deve-se armazenar registro dos testes
Etapa 1 – Análise do Impacto de Negócio Etapa 2 – Definir Estratégias Etapa 3 – Desenvolver os Planos Etapa 4 – Testes e Manutenção
14 Etapa 1 – Análise de Impacto
15 Etapa 1 – Análise de Impacto
Fornece "razões empresariais" para o investimento Continuidade (ROI); Aumenta a conscientização dos gestores; Cumpre disposições legais e regulamentações (Ex. BACEN 3380).
16 Investimento X Redução de Risco
17 Etapa 2 – Definir Estratégias
18 Etapa 2 – Definir Estratégias – sp800-34
Documentação da configuração de sistemas Uso de componentes padrão Usar componentes interoperáveis Backup de dados Backup de aplicações Redundância de componentes críticos do sistema Fonte extra de energia
19 Etapa 2 – Definir Estratégias – sp800-34
Implementar tolerância a falhas Implementar replicação de dados Coordenação com suporte de infraestrutura Coordenação com fornecedores Coordenação com equipe de resposta a incidentes Monitoramento de recursos críticos
20 Etapa 2 – Definir Estratégias– sp800-34
Cold Site: tem apenas o espaço para o novo ambiente, porém não instalado Warm Site: contém espaço e equipamento, porém não contém o sistema a ser contingenciado. Normalmente serve para operação de outro sistema.
21 Etapa 2 – Definir Estratégias– sp800-34
Hot Site: totalmente pronto para receber o sistema, porém depende do administrador. Espelhamento: ativação em tempo real.
22 Etapa 2 – Definir Estratégias– sp800-34
23 Etapa 2 – Definir Estratégias– sp800-34
24 Etapa 3 – Desenvolver os Planos
25 Etapa 3 – Desenvolver os Planos
26 Etapa 4 – Testes e Manutenção
27 Resultado do PCN!!!
28 2. Análise de Impacto de Negócio
29 Análise de Impacto de Negócio
É a base para o desenvolvimento do PCN Define os processos essenciais e seus impactos em caso de parada O objetivo: Definir o IMA - Interrupção Máxima Aceitável Definir o nível mínimo de serviço aceitável
30 Análise de Impacto de Negócio
Para cada processo essencial: Classificar o processo Identificar o impacto (financeiro, operacional e imagem) Definir requisitos mínimos de contingência Definir a Interrupção Máxima Aceitável Definir dependências do processos Estas informações são a base para definição de Estratégias e Planos
31 Análise de Impacto de Negócio
É importante que os dados da BIA sejam revisados com: Alta administração Responsáveis pelo processo Pode ser feito através de: Reuniões, workshops, Questionários e entrevistas.
32 Etapas da BIA Processos ou Atividades Essenciais
Definição dos Impactos Definição das Dependências
33 2.1 Processos ou Atividades Essenciais
34 Processos ou Atividade Essenciais
Identificar as atividades que suportam o fornecimento de produtos ou serviços; Selecionar atividades com base em sua criticidade; Determinar a carga normal de entrega do processo ou atividade; Ex. 50 transações por hora.
35 Processos ou Atividade Essenciais
Classificar o processos ou atividade quanto a sua criticidade;
36 OMC – Objetivo Mínimo de Continuidade
Níveis mínimos de serviço ou produto De modo a garantir os objetivos de negócio durante um período de contingência Exemplos: 50% da capacidade normal; Atraso de 10 minutos no atendimento; Atendimento parcial do processo;
37 POR – Ponto Objetivo de Recuperação
Ponto em que a informação restaurada por uma atividade deve ser recuperada. Para permitir uma retomada aceitável. Exemplos.: Sem requisito; 24 horas; On-line;
38 Atividade 1 Enumere pelo menos 3 processos;
Determine a carga normal do processo; Classifique os processos Defina o OMC e o POR para cada um dos processos;
39 2.2 Análise de Impacto de Negócio
40 Definição do Impacto Avaliar o impacto ao longo do tempo de não realizar a atividade O impacto pode ser de ordem: Financeira Operacional Imagem ou reputação
41 Definição do Impacto Impacto financeiro:
Perda direta de dinheiro por conta da interrupção; Normalmente quantitativo; Ex. deixar de vender; Ex. multas por requisitos legais; Ex. pedido cancelado por falta de entrega; Ex. pagamento extras de fornecedores e funcionários;
42 Definição do Impacto Impacto operacional:
Perda de estrutura por conta da interrupção; Pode ser quantitativo ou qualitativo; Ex. quebra de máquinas; Ex. matéria prima inutilizada; Ex. perda de qualidade no resultado do processo;
43 Definição do Impacto Impacto à imagem:
Perda reputação junto ao mercado; Geralmente é qualitativo; Ex. perda de clientes atuais; Ex. perda de futuros clientes; Ex. perda de parcerias; Ex. perda de vantagens com fornecedores;
44 Definição do Impacto Talvez em um curto espaço de tempo seja irrelevante; A partir de determinado tempo torna-se intolerável; Quanto tempo até ter: Prejuízos financeiros inaceitáveis? Prejuízos operacionais inaceitáveis? Imagem abalada inaceitável?
45 IMA – Interrupção Máxima Aceitável
Tempo em que os impactos sobre uma interrupção tornam-se inaceitáveis! Um impacto financeiro pode ser "alto" na primeira hora e depois disto se tornar "crítico".
46 TOR - Tempo Objetivo de Recuperação
Tempo em que o produto ou serviço deve ser retomado após um incidente; Pode ser retomado em estado de contingência; Deve ser menor do que o IMA;
47 Definição do Impacto Os três aspectos de impacto devem ser avaliados juntamente com o IMA; Se tiver vários impactos, considerar sempre o mais grave!!! Classificar o impacto em caso de violação do IMA, como:
48 Atividade 2 Identifique impactos financeiros, operacionais e de imagem para seus processos; Determine o IMA para cada processo; Classifique os impactos em:
49 2.3 Análise de Impacto de Negócio
Identificação de Dependências
50 Identificação de Dependências
Os processos possuem dependências Podem ser: Hardware Software Infraestrutura física Pessoas Outros processos Etc...
51 Identificação de Dependências
A perda de continuidade ocorre em uma dependência de um processos Causando a interrupção do processo E gerando impactos financeiros, operacionais e de imagem
52 Identificação de Dependências
As estratégicas de continuidade são aplicadas às dependências do processo Para tanto, precisamos primeiro definir claramente estas dependências Para depois definir estratégias de atendam às métricas de continuidade do processo
53 Identificação de Dependências
54 Atividade 3 Identifique dependências (recursos) para os processos essenciais de seu grupo Um mesmo recurso pode ser dependência para um ou vários processos Um recurso pode depender de outro recurso, que também será dependência do processo
55 Preenchimento do Formulário para Análise de Impacto de Negócio
56 Atividade Final Preencher os formulários da BIA
Identificação de processos Métricas de processos Dependências dos processos
57 Roteiro – FASE 4 Visão Geral de Plano de Continuidade de Negócio
58 Próxima Reunião... Estar com a BIA concluída;
Enviar o access da BIA "compactado" para meu ; Vamos tratar das definições de estratégias: Estratégias atuais Estratégias desejadas para cumprimento do IMA;