Questão de Segurança da Informação — Gestão de Continuidade de Negócio (NBR ISO/IEC 15999-1, 15999-2, 27002, 22313, etc.) — CESPE / CEBRASPE 2023

Gestão de Continuidade de Negócios: estratégia baseada em BIA e avaliação de riscos

✅ CERTO. A afirmação está correta: a definição e a seleção da estratégia de continuidade de negócios devem, de fato, basear-se nos resultados da análise de impacto nos negócios (BIA) e no processo de avaliação de riscos. Essa é uma diretriz central tanto da ABNT NBR ISO/IEC 27005 (gestão de riscos de segurança da informação) quanto da NBR ISO 22301 (sistema de gestão de continuidade de negócios), que estabelecem que as estratégias de continuidade são definidas a partir do entendimento dos requisitos de continuidade, o que inclui a análise de impacto e a avaliação de riscos.

A gestão de continuidade de negócios (GCN) é o processo que visa garantir que os processos críticos da organização continuem operando ou sejam retomados em tempo hábil após um incidente ou desastre. Para isso, a organização precisa, primeiro, entender quais são seus processos críticos e qual o impacto de uma interrupção sobre eles — é exatamente isso que a análise de impacto nos negócios (BIA, do inglês Business Impact Analysis) faz. A BIA identifica os processos essenciais, os recursos necessários para mantê-los e o impacto financeiro e operacional de uma paralisação, definindo também os objetivos de tempo de recuperação (RTO) e de ponto de recuperação (RPO).

Paralelamente, a avaliação de riscos — processo previsto na ISO 27005 — identifica as ameaças, vulnerabilidades e a probabilidade e o impacto de incidentes que possam interromper esses processos críticos. É a combinação dessas duas análises que fornece a base racional para a escolha da estratégia de continuidade: por exemplo, se a BIA mostra que um processo crítico não pode ficar parado por mais de 4 horas, e a avaliação de riscos indica alta probabilidade de falha no datacenter principal, a estratégia adequada pode ser a implementação de um site de contingência ativo (hot site), em vez de uma simples cópia de backup com recuperação em 48 horas.

A NBR ISO 22301, que especifica os requisitos para um sistema de gestão de continuidade de negócios, estrutura o processo em etapas que incluem o entendimento da organização, a determinação da estratégia de continuidade e o desenvolvimento e implementação de procedimentos de resposta. A determinação da estratégia é explicitamente baseada nos resultados da análise de impacto nos negócios e na avaliação de riscos, pois é essa análise que define quais estratégias são viáveis e adequadas para cada processo crítico. A ISO 27005, por sua vez, embora focada na gestão de riscos de segurança da informação, fornece as diretrizes para o processo de avaliação de riscos que alimenta essa decisão estratégica.

A pegadinha que a banca explora aqui é a confusão entre os escopos das normas: o candidato pode achar que a afirmação mistura conceitos de gestão de riscos (ISO 27005) com continuidade de negócios (ISO 22301) e, por isso, estaria errada. No entanto, a relação é de complementaridade: a gestão de riscos fornece insumos essenciais para a continuidade de negócios, e a ISO 22301 expressamente determina que a estratégia de continuidade seja baseada nos resultados da BIA e da avaliação de riscos. A afirmação está perfeitamente alinhada com o que as normas preconizam.

Guarde a relação entre os elementos: a BIA define o quanto a organização pode perder (impacto) e em quanto tempo precisa se recuperar (RTO/RPO), enquanto a avaliação de riscos define quais ameaças podem causar a interrupção e com que probabilidade. A estratégia de continuidade é a ponte que conecta esses dois diagnósticos à solução concreta — é exatamente essa conexão que a questão cobra.

Gabarito: ✅ CERTO.