Questão de Segurança da Informação — Gestão de Continuidade de Negócio (NBR ISO/IEC 15999-1, 15999-2, 27002, 22313, etc.) — CESPE / CEBRASPE 2024

Plano de contingência e continuidade do negócio

✅ CERTO. A afirmação está correta: um plano de contingência pode, sim, prever a execução manual de processos automatizados enquanto o sistema comprometido é recuperado. Essa é uma estratégia clássica de continuidade de negócio, que busca manter as operações críticas funcionando por meios alternativos até o retorno à normalidade — exatamente o que a assertiva descreve.

O plano de contingência é um documento que define procedimentos e recursos para manter ou restabelecer as operações da organização após um incidente ou desastre. Ele não se limita a ações técnicas de recuperação de sistemas; envolve também soluções de contorno, como a execução manual de processos que normalmente são automatizados. Isso garante que o negócio continue operando, ainda que de forma reduzida, enquanto a infraestrutura de TI é restaurada.

A lógica por trás disso é simples: o objetivo central da continuidade de negócio é preservar a disponibilidade dos processos críticos. Se um sistema está comprometido, a organização precisa de alternativas para não parar. A execução manual é uma dessas alternativas — um "plano B" que mantém o fluxo de trabalho ativo, mesmo que com menor eficiência, até que o sistema volte a operar normalmente.

Na prática, imagine um sistema de emissão de notas fiscais que sofre um ataque de ransomware. Enquanto a equipe de TI trabalha na restauração dos dados, a empresa pode orientar os funcionários a emitir as notas manualmente, por meio de planilhas ou formulários em papel, para não interromper as vendas. Esse procedimento estaria previsto no plano de contingência, exatamente como descreve a assertiva.

A distinção importante aqui é entre plano de contingência e plano de recuperação de desastres. O primeiro foca em manter as operações funcionando por meios alternativos (como a execução manual); o segundo foca em restaurar a infraestrutura original (como recuperar o sistema comprometido). São complementares: o plano de contingência "segura a onda" enquanto o plano de recuperação "conserta o estrago".

A pegadinha que a banca poderia explorar seria inverter esses papéis — dizer que o plano de contingência trata apenas da recuperação técnica do sistema, ou que a execução manual não é uma medida válida. Mas a assertiva está alinhada com o conceito correto: o plano de contingência prevê soluções alternativas, incluindo a execução manual, para garantir a continuidade do negócio.

Guarde essa fronteira: contingência = manter operando por meios alternativos; recuperação = restaurar o ambiente original. É exatamente nessa distinção que a assertiva se apoia para estar correta.

Item — ✅ CERTO

A afirmação descreve uma prática legítima e prevista em planos de contingência. Quando um sistema de informação é comprometido, a organização pode recorrer a procedimentos manuais para manter os processos críticos em funcionamento, enquanto a equipe técnica trabalha na recuperação do sistema. Isso está alinhado com o objetivo da gestão de continuidade de negócio, que é não permitir a interrupção das atividades e proteger os processos críticos contra efeitos de falhas ou desastres.

A norma de referência para esse tema é a ABNT NBR ISO/IEC 27002, que trata da gestão da continuidade do negócio no contexto da segurança da informação. Ela estabelece que os planos devem ser desenvolvidos para a manutenção ou recuperação das operações e para assegurar a disponibilidade da informação no nível e na escala de tempo requeridos, após a ocorrência de interrupções ou falhas dos processos críticos. A execução manual de processos automatizados é uma forma de manter as operações, portanto, está dentro do escopo do plano de contingência.

ABNT NBR ISO/IEC 27002 (Seção 14 — Gestão da Continuidade do Negócio):

14.1.3 — "Os planos devem ser desenvolvidos e implementados para a manutenção ou recuperação das operações e para assegurar a disponibilidade da informação no nível requerido e na escala de tempo requerida, após a ocorrência de interrupções ou falhas dos processos críticos do negócio."

O trecho citado confirma que o plano deve prever a manutenção das operações, o que inclui a execução manual como alternativa. A assertiva está, portanto, correta.

Gabarito: ✅ CERTO