Gestão de continuidade de negócio é o conjunto de análises, planos e exercícios que permite a uma empresa manter o essencial funcionando durante um incidente grave e voltar ao normal num prazo que o negócio suporta. Em segurança cibernética, o cenário mais provável é um ataque que deixa os sistemas indisponíveis.
No Panorama do Risco Cibernético 2026, estudo da Vultus com 132 organizações, apenas 23% tinham processo estruturado de continuidade de negócio. Mesmo entre elas, eram comuns planos desatualizados ou nunca testados.
Por que a continuidade entra na agenda de segurança
O mesmo estudo registrou impacto médio de 8,28 numa escala de 0 a 10 nos ataques simulados: depois da entrada, o adversário costuma avançar muito. Por isso a preparação precisa cobrir também o que a empresa faz no dia do incidente.
Sem plano, as primeiras horas se perdem descobrindo quem decide, quem tem acesso ao backup e em que ordem restaurar.
As orientações públicas da CISA sobre ransomware reforçam a preparação antes do incidente, com cópias de segurança protegidas, testes de recuperação e um plano de resposta que a equipe consiga executar.
BIA, PCN e DRP: o que cada documento responde
A análise de impacto no negócio (BIA) identifica os processos que sustentam a empresa, suas dependências de sistemas, pessoas e fornecedores e quanto tempo cada um tolera ficar parado. Sem ela, o plano protege o que a TI considera importante, que nem sempre coincide com o que o negócio precisa.
O plano de continuidade de negócio (PCN) define como manter o mínimo essencial funcionando enquanto os sistemas estão fora, por exemplo com um processo manual de vendas. O plano de recuperação de desastres (DRP) define como restaurar os sistemas, em que ordem, a partir de qual backup e com quem.
MTPD, RTO e RPO
O BIA define três números por processo. O MTPD é o período máximo tolerável de interrupção antes de dano inaceitável. O RTO é o tempo em que o processo precisa voltar. O RPO é a quantidade de dados que se pode aceitar perder.
Um sistema de faturamento com MTPD de 24 horas, RTO de 8 horas e RPO de 2 horas precisa de uma estratégia de proteção de dados que atenda ao RPO de duas horas e de uma recuperação que comprovadamente atenda ao RTO de oito horas. Com backup diário e restauração nunca testada, o plano não atende os próprios números.
Exemplo fictício: o simulado que encontrou as falhas
Uma rede de clínicas tem PCN e DRP aprovados há dois anos. Num exercício de mesa com cenário de ransomware, a diretoria descobre em noventa minutos que metade dos nomes do comitê de crise já saiu da empresa, que o procedimento alternativo de agendamento depende de um sistema que também estaria fora e que ninguém sabe quem decide a comunicação com pacientes e regulador.
As correções incluem revisar o BIA com os donos dos processos, definir substitutos para cada papel e instituir simulados periódicos. O tabletop exercise testa decisões da liderança, e o Cyber Wargame testa a execução técnica.
As etapas de um sistema de continuidade
A metodologia da Vultus, apoiada na ISO 22301, organiza a implantação em quatro etapas:
- Estratégia: objetivo, escopo, orçamento, política de continuidade e papéis.
- BIA: cadeia de valor, processos críticos, cenários de ameaça e definição de MTPD, RTO e RPO.
- PCN e DRP: critérios de acionamento da crise e procedimentos de continuidade e recuperação.
- Simulação e governança: indicadores, fóruns de acompanhamento e simulados que ajustam os planos.
A última etapa é a mais cortada. Um plano nunca testado tende a falhar no primeiro uso, por um telefone desatualizado, um backup na mesma rede atacada ou uma pessoa que já saiu.
Continuidade com simulados periódicos
A Vultus implanta o sistema de continuidade com BIA, PCN, DRP, governança e simulados, para que a primeira execução do plano não aconteça durante um incidente real. Conheça a gestão de crises e continuidade de negócio da Vultus e leia sobre as primeiras 48 horas de um ataque de ransomware.
