Questão de Segurança da Informação — Gestão de Continuidade de Negócio (NBR ISO/IEC 15999-1, 15999-2, 27002, 22313, etc.) — CESPE / CEBRASPE 2024
Segurança da Informação›Gestão de Continuidade de Negócio (NBR ISO/IEC 15999-1, 15999-2, 27002, 22313, etc.)
Código
ce404091
Banca
CESPE / CEBRASPE
Órgão
TCE AC
Ano
2024
Cargo
ATI ( )
Julgue o próximo item, relativos a continuidade do negócio e resposta a incidentes de segurança da informação. As siglas RTO e RPO referem-se, respectivamente, ao tempo necessário para a recuperação dos dados e ao estado pontual que se deve recuperar em um sistema afetado por um incidente de segurança.
CCerto
EErrado
Revelar gabarito e comentário▾
GabaritoE — Errado
Comentário gerado por IA. É um apoio ao estudo, ancorado em fontes, mas pode conter imprecisões — confira sempre na fonte oficial (lei, súmula, edital e gabarito da banca). Encontrou um erro? Use “Reportar”.
RTO e RPO: tempo de recuperação × ponto de recuperação
❌ ERRADO. A assertiva inverte os conceitos: RTO (Recovery Time Objective) refere-se ao tempo necessário para retomar o serviço/sistema após o incidente, enquanto RPO (Recovery Point Objective) refere-se ao ponto (estado) em que os dados devem ser recuperados, ou seja, a perda máxima de dados aceitável. O gabarito é a letra E.
Para entender a questão, é preciso dominar dois conceitos centrais da gestão de continuidade de negócios. O RTO (Tempo Objetivado de Recuperação) é o período de tempo após um incidente em que o produto, serviço ou atividade deve ser retomado, ou os recursos devem ser recuperados. Em outras palavras, é o tempo máximo que a organização aceita ficar sem o sistema — o tempo de inatividade tolerável. Já o RPO (Ponto Objetivado de Recuperação) é o ponto em que a informação usada por uma atividade deve ser restaurada para permitir a operação na retomada. Ele define o quanto de dados pode ser perdido, ou seja, a janela de dados que pode ser descartada entre o último backup válido e o momento do desastre.
A distinção fundamental é que o RTO olha para frente (quanto tempo até voltar a funcionar), enquanto o RPO olha para trás (até que ponto no passado os dados devem ser restaurados). Uma forma de fixar: RTO é sobre tempo de parada, RPO é sobre perda de dados. Por exemplo, se uma empresa define RTO de 4 horas e RPO de 1 hora, isso significa que o sistema deve voltar a operar em até 4 horas após o incidente, e que os dados podem ser perdidos apenas da última hora antes do desastre — ou seja, o backup deve ter no máximo 1 hora de defasagem.
A banca explora exatamente essa confusão: o candidato que não domina os conceitos pode achar que RTO é sobre dados e RPO é sobre tempo, quando é o contrário. A pegadinha está em trocar as definições, fazendo parecer que RTO é o tempo de recuperação dos dados (quando na verdade é o tempo de retomada do serviço) e que RPO é o estado pontual a recuperar (quando na verdade é o ponto de recuperação dos dados).
NÃO CAIA NESSA!
A banca inverte os conceitos de RTO e RPO. RTO é o tempo para retomar o serviço; RPO é o ponto de recuperação dos dados (perda máxima aceitável). Guarde: RTO = tempo de parada; RPO = perda de dados. Quem confunde os dois cai direto na armadilha.
Critério
RTO (Recovery Time Objective)
RPO (Recovery Point Objective)
O que mede
Tempo para retomar o serviço/sistema
Ponto (estado) de recuperação dos dados
Olha para
Frente (quanto tempo até voltar)
Trás (até que ponto no passado restaurar)
Conceito-chave
Tempo de parada (inatividade tolerável)
Perda máxima de dados aceitável
Relação
Deve ser menor que o MTPD
Define a defasagem máxima do backup
Item — ❌ ERRADO
A assertiva afirma que RTO refere-se ao tempo necessário para a recuperação dos dados e RPO ao estado pontual que se deve recuperar. Isso está invertido. O RTO é o tempo para retomar o serviço/sistema, não especificamente os dados. O RPO é o ponto de recuperação dos dados, não o estado do sistema. A definição correta é:
RTO (Recovery Time Objective): período de tempo após um incidente em que o produto/serviço/atividade deve ser retomado ou os recursos devem ser recuperados. O RTO deve ser menor que o MTPD (Maximum Tolerable Period of Disruption).
RPO (Recovery Point Objective): ponto em que a informação usada por uma atividade deve ser restaurada para permitir a operação da atividade na retomada. Também pode ser referido como "perda máxima de dados".