Questão de Segurança da Informação — Gestão de Continuidade de Negócio (NBR ISO/IEC 15999-1, 15999-2, 27002, 22313, etc.) — FCC 2026

Gestão de Continuidade de Negócios: DRP, BCP e ITSCM

Gabarito: letra B. O caso descreve a execução do Plano de Recuperação de Desastres (DRP) — a etapa prática do ITSCM (Gerenciamento de Serviços de TI e Continuidade) e parte integrante do BCP — que visa restaurar os serviços críticos em um local alternativo após uma interrupção significativa, exatamente o que ocorreu com a ativação do site alternativo, restauração do backup e redirecionamento do tráfego.

A Gestão de Continuidade de Negócios (GCN) é o guarda-chuva que engloba todos os processos e planos para garantir que a organização continue operando, ou retome rapidamente, após um incidente ou desastre. Dentro desse guarda-chuva, existem vários planos específicos, cada um com um foco distinto. O BCP (Business Continuity Plan) é o plano abrangente que cobre toda a organização, incluindo pessoas, processos, instalações e tecnologia. O DRP (Disaster Recovery Plan) é um subconjunto do BCP, focado especificamente na recuperação da infraestrutura de TI e dos sistemas críticos. Já o ITSCM (IT Service Continuity Management) é a disciplina que gerencia a continuidade dos serviços de TI dentro do contexto mais amplo da GCN.

O caso narrado é um exemplo clássico de execução do DRP. A falha elétrica prolongada é um desastre que interrompeu os sistemas críticos. As ações tomadas — ativar o ambiente em site alternativo, restaurar dados do backup e redirecionar o tráfego — são exatamente os procedimentos previstos no DRP para recuperar a infraestrutura de TI. A análise dos tempos de recuperação e a reunião de lições aprendidas são as etapas finais do processo, visando a melhoria contínua do plano.

É importante distinguir o DRP de outros conceitos que aparecem nas alternativas. O plano de resposta a incidentes (alternativa C) lida com a contenção e erradicação de uma ameaça ativa (como um ataque cibernético), enquanto o DRP foca na recuperação após um desastre que já causou interrupção. O gerenciamento de problemas (alternativa D) busca a causa raiz de incidentes recorrentes, enquanto o DRP é acionado para restaurar serviços após um evento específico. A gestão de mudanças emergenciais (alternativa E) é um processo de aprovação rápida de mudanças, não um plano de recuperação. Por fim, um exercício de simulação (alternativa A) é um teste do plano, não a execução real dele.

A pegadinha desta questão está em confundir a execução real do DRP com um exercício de simulação ou com outros planos de gestão de TI. A banca explora a semelhança entre os conceitos, mas o detalhe de "falha elétrica prolongada" e "ativação do site alternativo" deixa claro que se trata de uma execução real do DRP, não de um teste.

Alternativa A — ❌ Incorreta

A alternativa descreve um exercício de simulação do BCP, mas o caso narra uma execução real do plano após uma falha elétrica. A simulação é um teste planejado para validar o plano, enquanto o caso descreve a ativação do plano em resposta a um incidente real. Além disso, o foco da simulação seria a identificação prévia de riscos e a revisão de procedimentos, não a restauração efetiva dos serviços.

Alternativa B — ✅ Correta ⟵ GABARITO

A alternativa descreve corretamente a execução do DRP (Disaster Recovery Plan), que é a etapa prática do ITSCM e parte do BCP. O DRP garante a restauração dos serviços críticos em um local alternativo após uma interrupção significativa, exatamente o que foi feito: ativar o site alternativo, restaurar o backup e redirecionar o tráfego. A análise dos tempos de recuperação e as lições aprendidas são etapas de melhoria contínua do plano.

Alternativa C — ❌ Incorreta

A alternativa descreve um plano de resposta a incidentes, que é acionado para conter e erradicar uma ameaça ativa (como um ataque cibernético), não para recuperar serviços após um desastre já ocorrido. O caso descreve a recuperação de uma infraestrutura que já foi interrompida, o que é função do DRP, não da resposta a incidentes.

Alternativa D — ❌ Incorreta

A alternativa descreve o gerenciamento de problemas, que busca eliminar as causas-raiz de incidentes recorrentes e registrar soluções definitivas. O caso descreve a recuperação de serviços após um evento específico (falha elétrica), não a investigação de uma causa raiz. O gerenciamento de problemas é um processo contínuo, enquanto o DRP é acionado em resposta a um desastre.

Alternativa E — ❌ Incorreta

A alternativa descreve a gestão de mudanças emergenciais, que é um processo para aprovar e implementar mudanças urgentes nos sistemas de produção. O caso descreve a execução de um plano de recuperação, não a implementação de mudanças. A gestão de mudanças emergenciais é um processo de controle de mudanças, enquanto o DRP é um plano de recuperação de desastres.

Gabarito: letra B