Continuidade de negócios
Testes e simulações
Plano que nunca foi testado é suposição, não plano.
Em que consiste este trabalho
Plano bom no papel falha em detalhes que só aparecem quando alguém tenta segui-lo. Montamos o cenário, colocamos as pessoas na sala e conduzimos o exercício, com roteiro escrito para o seu ambiente e injeções que mudam o quadro no meio e forçam decisão sob pressão. O objetivo não é passar no teste: é fazer as falhas aparecerem ali, antes que custem caro.
O formato define o que o exercício revela. Na mesa, a liderança discute as decisões em voz alta sem que nada seja executado, e é onde o desalinhamento sobre quem decide o quê aparece primeiro. Na simulação com execução, partes do plano rodam de verdade: o acionamento dispara, a restauração é testada e o tempo medido é comparado com o tempo prometido. O programa anual encadeia exercícios com cenários variados, dificuldade crescente e indicadores de evolução.
Do seu lado, precisamos dos planos que serão testados, das pessoas certas na sala e, quando houver execução real, das autorizações formais e das janelas combinadas antes de qualquer coisa começar. No fim você recebe o roteiro usado, o relatório com o que funcionou e o que travou, e o plano de melhoria com o que precisa ser ajustado antes do próximo exercício ou do incidente de verdade.
Como conduzimos, etapa por etapa
As etapas e os entregáveis abaixo descrevem a modalidade Simulação com execução. As outras modalidades aparecem quando você pede a proposta.
Planejamento e autorização
Fechamos o escopo por escrito, definimos janelas, contatos de emergência e as autorizações formais. Nenhum teste começa sem isso.
Elaboração dos planos
Escrevemos os planos no formato de quem vai usá-los no pior dia do ano: direto, com passos e telefones.
Exercício
Colocamos as pessoas na situação e conduzimos. O que falha aqui é o que teria falhado de verdade.
Apresentação
Reunião com a diretoria traduzindo o resultado técnico em risco de negócio e decisão de investimento. Chegamos com a resposta para as perguntas que a mesa sempre faz: o que atacar primeiro, quanto esforço isso pede e o que acontece se nada for feito.
O que não está incluso
- Elaboração dos planos que serão testados, que é outro serviço e vem antes
- Teste que exija parada real de produção sem autorização formal por escrito, que não conduzimos em hipótese alguma
- Ferramentas de simulação de ataque técnico, que são escopo de cibersegurança
- A execução das correções do plano de melhoria, que é dos donos de cada ação; no programa anual acompanhamos o andamento, não executamos por eles
- A reescrita dos planos depois do exercício, que fica com o dono de cada documento ou com o serviço de continuidade
- Ambiente de teste e infraestrutura de restauração para a simulação com execução, que quem provisiona é a sua TI ou o provedor
- Campanha de phishing simulado, que testa pessoas diante de golpe e não planos diante de crise, e é outro serviço
- A presença dos convocados na sala, que é compromisso da sua liderança: exercício de mesa sem quem decide não testa nada
Costuma vir junto
Não é pacote e não muda o que você já escolheu. É o que costuma aparecer logo depois, na experiência de quem já passou por isso.