Questão de Segurança da Informação — Gestão de Continuidade de Negócio (NBR ISO/IEC 15999-1, 15999-2, 27002, 22313, etc.) — CESPE / CEBRASPE 2024

Plano de contingência e continuidade do negócio

✅ CERTO. Quando um incidente de segurança afeta o funcionamento de um sistema de TI, o plano de contingência é exatamente o instrumento acionado para manter a continuidade do negócio. A afirmativa descreve com precisão o papel do plano de contingência dentro da Gestão de Continuidade de Negócios (GCN): ele é a resposta operacional a uma interrupção, garantindo que os processos críticos sejam retomados ou mantidos até a volta à normalidade.

A Gestão de Continuidade de Negócios (GCN) é o processo mais amplo que visa assegurar que a organização continue operando seus processos críticos diante de interrupções, sejam elas causadas por desastres naturais, falhas técnicas ou incidentes de segurança. Dentro desse guarda-chuva, existem diversos planos com papéis específicos: o Plano de Continuidade de Negócios (PCN), o Plano de Recuperação de Desastres (PRD) e o Plano de Contingência. O plano de contingência, em particular, é o conjunto de procedimentos pré-definidos para responder a uma falha ou incidente específico, como a queda de um sistema de TI, com o objetivo de minimizar o impacto e restaurar o serviço o mais rápido possível.

A norma ABNT NBR ISO/IEC 27002, que trata do código de prática para controles de segurança da informação, dedica uma seção inteira à gestão da continuidade do negócio. Nela, fica claro que os planos devem ser desenvolvidos e implementados para a manutenção ou recuperação das operações e para assegurar a disponibilidade da informação no nível e na escala de tempo requeridos, após a ocorrência de interrupções ou falhas dos processos críticos do negócio. Ou seja, a norma expressamente prevê que, diante de uma interrupção (como um incidente de segurança), o plano de continuidade — que inclui o plano de contingência — é o mecanismo a ser acionado.

A relação entre incidente e plano de contingência é direta e sequencial: primeiro, um risco se materializa em um incidente (uma ameaça explora uma vulnerabilidade); em seguida, o plano de contingência, que deve ter sido criado e testado antes do incidente ocorrer, é ativado para garantir a continuidade. O plano não é um documento estático; ele precisa ser testado, mantido e reavaliado regularmente para assegurar sua efetividade quando for realmente necessário.

A pegadinha que a banca poderia explorar aqui seria confundir o plano de contingência com outras ferramentas, como o plano de recuperação de desastres (que é mais focado na infraestrutura de TI) ou com a gestão de riscos (que é anterior ao incidente, buscando preveni-lo). Mas a afirmativa é precisa: ela descreve exatamente o cenário em que o plano de contingência é acionado — um incidente que impacta um sistema de TI — e o objetivo dele — a manutenção da continuidade do negócio. Não há erro conceitual ou inversão de termos.

✅ CERTO.

Gabarito: C (Certo).