Um sistema pode apresentar bons indicadores de disponibilidade e, ainda assim, não estar preparado para uma interrupção prolongada. Da mesma forma, a execução regular de backups não demonstra, por si só, que dados e serviços poderão ser recuperados no prazo necessário.
Para uma organização que depende de sistemas digitais, a questão envolve a capacidade de sustentar atividades essenciais, limitar perdas e retomar operações em condições verificáveis. Essa capacidade depende de pessoas, procedimentos, infraestrutura, aplicações, dados e serviços de terceiros.
Na Auditoria de Sistemas, continuidade, disponibilidade e recuperação são examinadas a partir das necessidades da organização e das evidências técnicas disponíveis. O objetivo é avaliar se as medidas adotadas são coerentes com os riscos e se a capacidade declarada de recuperação encontra respaldo em resultados observáveis.
Disponibilidade, continuidade e recuperação: conceitos relacionados
Disponibilidade diz respeito à possibilidade de utilizar um serviço quando necessário. Sua avaliação exige definir o que significa estar disponível: um servidor responder à rede não demonstra que o usuário consegue autenticar-se, consultar informações e concluir uma operação.
Continuidade envolve a manutenção das atividades essenciais durante uma interrupção. Pode incluir procedimentos alternativos, priorização de atendimentos, redistribuição de tarefas e operação temporária com recursos limitados. A continuidade do negócio é mais ampla que a recuperação dos sistemas que o sustentam.
Recuperação envolve restabelecer recursos, dados e serviços afetados, de acordo com prioridades previamente definidas. Recolocar uma aplicação em funcionamento é parte desse processo; também é necessário verificar se ela está utilizável e se suas informações são consistentes.
A auditoria examina como esses três aspectos se articulam. Um ambiente redundante pode reduzir interrupções, mas ainda depender de um procedimento de recuperação para situações que afetem simultaneamente suas cópias.
O ponto de partida é o impacto da interrupção
Nem todos os sistemas exigem o mesmo nível de proteção. A indisponibilidade de um portal informativo pode ter consequências diferentes da interrupção de um sistema de atendimento, produção ou processamento de transações.
Por isso, a avaliação começa pela identificação das atividades sustentadas por cada sistema, dos responsáveis e das consequências de sua paralisação. Também importa entender como os impactos crescem com o tempo e quais períodos tornam a interrupção mais grave.
O guia de planejamento de contingência do NIST relaciona a análise de impacto à definição de prioridades de recuperação. Dois parâmetros são especialmente úteis: o RTO, objetivo de tempo de recuperação, e o RPO, objetivo de ponto de recuperação. O primeiro expressa o limite de tempo estabelecido para a recuperação de um recurso; o segundo indica até que ponto anterior à interrupção os dados precisam ser recuperados, refletindo a perda de dados tolerável. NIST SP 800-34 Rev. 1.
Na auditoria, esses objetivos devem ser comparados com a capacidade demonstrada. Sua simples inclusão em um documento não comprova que possam ser alcançados. É necessário identificar o serviço abrangido, o cenário considerado e o momento a partir do qual o tempo é contado.
Redundância e backups precisam ser examinados em conjunto
A presença de dois servidores, múltiplas conexões ou ambientes replicados merece uma análise de suas dependências. Recursos aparentemente separados podem compartilhar energia, rede, armazenamento, credenciais administrativas ou mecanismos de controle.
Uma pergunta central é: qual ocorrência poderia tornar indisponíveis todas as alternativas existentes? A resposta ajuda a identificar pontos únicos de falha e falhas de causa comum.
Replicação e backup também precisam ser diferenciados. Uma alteração indevida ou corrupção de dados pode ser propagada para uma réplica. Assim, a existência de uma cópia atualizada não demonstra que seja possível recuperar um estado anterior válido.
Na avaliação dos backups, convém examinar:
- Quais dados, configurações e componentes necessários à recuperação estão incluídos.
- Como falhas de execução são detectadas e tratadas.
- Quem pode alterar ou excluir as cópias e quais proteções estão efetivamente configuradas.
- Se existem versões recuperáveis compatíveis com os cenários considerados.
- Se as restaurações foram testadas e seus resultados registrados.
O relatório de execução informa sobre a rotina de cópia. A evidência de restauração permite avaliar outra capacidade: transformar essa cópia em informação utilizável.
As dependências podem determinar o resultado da recuperação
Uma aplicação restaurada pode continuar inacessível se depender de autenticação, resolução de nomes, certificados, chaves criptográficas, conectividade ou integrações ainda indisponíveis.
A documentação de recuperação deve permitir compreender a sequência necessária para restabelecer o serviço. Também deve identificar responsáveis e prever acesso às informações essenciais durante a própria interrupção.
As recomendações de recuperação de desastres do Microsoft Azure destacam a necessidade de considerar componentes e funcionamento integrado, testar os procedimentos e manter o plano atualizado. Também distinguem a transferência para um ambiente alternativo do retorno ao ambiente original, etapas que exigem preparação própria. Microsoft Azure — Estratégias de recuperação de desastres.
Mesmo quando parte do ambiente é operada por terceiros, a organização precisa conhecer suas responsabilidades. Um compromisso contratual de disponibilidade não substitui a verificação de como dados, configurações e integrações serão recuperados no serviço efetivamente contratado.
Um exemplo: backup concluído, recuperação insuficiente
Considere um cenário hipotético em que um sistema de atendimento tenha RTO de quatro horas e RPO de uma hora. Às 14h, uma falha interrompe sua operação.
O último backup recuperável corresponde às 12h. O serviço volta a funcionar, com suas operações essenciais validadas, às 19h. Nesse cenário, houve uma janela de duas horas de dados potencialmente perdidos e cinco horas até o restabelecimento validado.
Os dois objetivos foram excedidos, embora o backup tenha sido executado com sucesso. O volume efetivamente perdido dependerá das transações realizadas no intervalo e de outras fontes disponíveis para recomposição.
A auditoria deve investigar as causas da diferença: frequência das cópias, demora na decisão de recuperar, indisponibilidade de credenciais, capacidade do ambiente alternativo, tempo de restauração ou dificuldade de validar as informações.
Essa análise permite propor melhorias vinculadas ao problema observado, em vez de presumir que a aquisição de novos recursos resolverá todas as limitações.
Testes e evidências que sustentam a avaliação
A verificação pode combinar análise documental, inspeção de configurações, entrevistas, registros de incidentes e acompanhamento de exercícios autorizados. A profundidade depende do escopo, da criticidade dos serviços e das condições do ambiente.
Entre as evidências úteis estão resultados de restauração, horários registrados, falhas encontradas, verificações de integridade, validações realizadas pelos responsáveis pelo processo e tratamento das pendências de testes anteriores.
É importante distinguir uma simulação discutida em reunião, um teste isolado de restauração e um exercício integrado de recuperação. Cada modalidade produz evidências diferentes; seus resultados não devem ser tratados como equivalentes.
Testes que possam afetar a produção exigem planejamento, autorização, critérios de interrupção e procedimentos de retorno. A auditoria não precisa provocar uma indisponibilidade para identificar fragilidades: muitas delas podem ser demonstradas pela análise das dependências e das evidências existentes.
O que a auditoria pode concluir
O resultado deve indicar os sistemas e cenários examinados, os critérios adotados, as evidências obtidas e as limitações da avaliação. Constatações precisam relacionar a condição observada ao seu possível impacto e às medidas recomendadas.
Um teste bem-sucedido demonstra capacidade nas condições verificadas. Não garante recuperação em qualquer situação futura. Mudanças de arquitetura, crescimento dos dados, novas integrações e alterações de equipe podem modificar essa capacidade.
Continuidade e recuperação exigem acompanhamento ao longo do tempo. A contribuição da auditoria está em tornar visíveis as diferenças entre as necessidades da organização, os controles implementados e os resultados demonstrados.
Auditoria de Sistemas na IBPTECH
A continuidade, a disponibilidade e a recuperação integram o campo de avaliação da Auditoria de Sistemas. Este portal é dedicado à Divisão de Auditoria de Sistemas e apresenta conteúdos e serviços relacionados a esse domínio.
Conheça os serviços da Divisão de Auditoria de Sistemas.