Questão de Segurança da Informação — Gestão de Continuidade de Negócio (NBR ISO/IEC 15999-1, 15999-2, 27002, 22313, etc.) — CESPE / CEBRASPE 2026

RTO (Recovery Time Objective) na ISO 22301

Gabarito: letra E. O RTO (Recovery Time Objective) é o tempo máximo aceitável para retomar uma atividade crítica após uma interrupção, conforme a ISO 22301. É o período que a organização define como meta para voltar a operar, e deve ser menor que o MTPD (Maximum Tolerable Period of Disruption). As demais alternativas descrevem outros conceitos da continuidade de negócio, como RPO, comunicação e testes.

O RTO é um dos conceitos centrais da Gestão de Continuidade de Negócios (GCN). Ele responde à pergunta: "em quanto tempo precisamos voltar a funcionar?" Após um incidente, a organização define metas de recuperação para cada atividade crítica, e o RTO é exatamente essa meta de tempo. É importante não confundir com o RPO (Recovery Point Objective), que olha para trás, medindo a perda de dados aceitável, enquanto o RTO olha para frente, medindo o tempo de paralisação.

A ISO 22301, norma de continuidade de negócios, exige que a organização determine os requisitos de continuidade, incluindo o RTO, com base na análise de impacto nos negócios (BIA). A BIA identifica as atividades críticas e o impacto de sua interrupção ao longo do tempo, permitindo definir metas realistas de recuperação. O RTO deve ser menor que o MTPD, que é o tempo máximo que a organização pode ficar sem a atividade antes de sofrer danos irreparáveis.

Na prática, se uma atividade crítica tem RTO de 4 horas, significa que, após um incidente, a organização deve retomar essa atividade em até 4 horas. Para cumprir essa meta, é preciso ter recursos, planos e procedimentos prontos. O RTO é definido pela alta direção, com base no impacto financeiro e operacional de cada atividade, e é um dos principais parâmetros para dimensionar as estratégias de recuperação.

A pegadinha clássica da banca é confundir RTO com RPO. Enquanto o RTO mede o tempo para retomar a atividade, o RPO mede o ponto no tempo em que os dados devem ser restaurados, ou seja, a perda máxima de dados aceitável. A alternativa C descreve exatamente o RPO, e não o RTO. Guarde essa distinção: RTO é tempo de paralisação, RPO é perda de dados.

Alternativa A — ❌ Incorreta

O prazo para comunicação aos stakeholders não é o RTO. A comunicação é uma parte importante do plano de continuidade, mas não é uma meta de recuperação. O RTO é especificamente o tempo para retomar a atividade crítica, não o tempo para avisar as partes interessadas.

Alternativa B — ❌ Incorreta

O intervalo entre testes do plano de continuidade é um requisito de manutenção do plano, não o RTO. A norma exige que os planos sejam testados e atualizados regularmente, mas isso é um processo de garantia de eficácia, não uma meta de recuperação.

Alternativa C — ❌ Incorreta

Esta é a descrição do RPO (Recovery Point Objective), não do RTO. O RPO é o ponto no tempo em que os dados devem ser restaurados, representando a perda máxima de dados aceitável. O RTO, por sua vez, é o tempo máximo para retomar a atividade. A banca troca os conceitos para confundir o candidato.

Alternativa D — ❌ Incorreta

O tempo estimado para detecção do incidente é parte do processo de resposta a incidentes, mas não é o RTO. A detecção é uma etapa que antecede a recuperação; o RTO começa a contar a partir do incidente e inclui todo o tempo até a retomada da atividade.

Alternativa E — ✅ Correta ⟵ GABARITO

Esta é a definição correta de RTO: o tempo máximo aceitável para retomar uma atividade crítica após uma interrupção. A ISO 22301 define o RTO como o período de tempo após um incidente em que o produto, serviço ou atividade deve ser retomado, ou os recursos devem ser recuperados. É a meta de tempo que a organização estabelece para voltar a operar.

Gabarito: letra E