Questão de Segurança da Informação — Gestão de Continuidade de Negócio (NBR ISO/IEC 15999-1, 15999-2, 27002, 22313, etc.) — VUNESP 2025

Plano de Continuidade de Negócios (PCN)

Gabarito: letra D. O propósito primordial de um Plano de Continuidade de Negócios é permitir que a organização recupere ou mantenha suas atividades em caso de interrupção das operações normais de negócios — é a essência da continuidade: garantir a disponibilidade dos processos críticos e a retomada em tempo hábil após um incidente. As demais alternativas descrevem funções que não são o cerne do PCN, mas sim de outras áreas (economia, comunicação a autoridades, otimização de operações normais, auditoria).

O Plano de Continuidade de Negócios (PCN) é um documento estratégico que define diretrizes, ações, técnicas e recursos para garantir que os serviços essenciais de uma organização sejam identificados e preservados após a ocorrência de um desastre, até o retorno à situação normal de funcionamento. Ele não trata de melhorar o desempenho em operações normais, nem de gerar economia, mas sim de preparar a organização para responder a interrupções — sejam elas causadas por falhas técnicas, desastres naturais, ataques cibernéticos ou qualquer outro incidente que comprometa a operação.

A norma ABNT NBR ISO/IEC 27002, em sua seção sobre Gestão da Continuidade do Negócio, estabelece o objetivo central dessa prática:

ABNT NBR ISO/IEC 27002 (Seção 14.1):

Objetivo: Não permitir a interrupção das atividades do negócio e proteger os processos críticos contra efeitos de falhas ou desastres significativos, e assegurar a sua retomada em tempo hábil, se for o caso.

Esse objetivo se desdobra em ações concretas: identificar os processos críticos, analisar riscos que possam interrompê-los, desenvolver planos para manutenção ou recuperação das operações e testar esses planos regularmente. O PCN, portanto, é reativo e preventivo ao mesmo tempo: preventivo porque antecipa cenários de impacto e define estratégias; reativo porque sua execução se dá justamente quando a operação normal é interrompida.

É importante distinguir o PCN de outros instrumentos de gestão. Enquanto a Gestão de Riscos (ISO 27005) se concentra em identificar, analisar e avaliar riscos para decidir como tratá-los, o PCN foca em garantir a continuidade das operações após um incidente. A gestão de riscos alimenta o PCN (a análise de ameaças e impactos é uma fase da construção do plano), mas o propósito final do PCN é a recuperação e manutenção das atividades, não a gestão do risco em si. Da mesma forma, o PCN não se confunde com auditoria (que é uma atividade de verificação e conformidade), nem com otimização de processos (que busca eficiência em operações normais).

A pegadinha desta questão está em confundir o PCN com outras práticas de gestão. O candidato que não tem claro o conceito pode ser atraído por alternativas que descrevem atividades legítimas, mas que não são o propósito primordial do plano. A palavra-chave é interrupção: o PCN existe para o cenário de crise, não para o dia a dia.

Guarde essa fronteira: PCN = resposta a interrupções (recuperar ou manter atividades). É exatamente nela que as alternativas se dividem.

Alternativa A — ❌ Incorreta

Propiciar economia em operações envolvendo recursos humanos não é função do PCN. O plano pode até considerar custos ao definir estratégias (como a duplicação de recursos), mas seu propósito não é gerar economia — é garantir continuidade. Essa alternativa confunde o PCN com práticas de gestão de custos ou eficiência operacional, que não fazem parte do escopo da continuidade de negócios.

Alternativa B — ❌ Incorreta

Comunicar às autoridades competentes a ocorrência de falha grave pode ser uma ação prevista dentro do PCN (por exemplo, em um plano de comunicação de crise), mas não é o propósito principal do plano. O PCN não existe para comunicar autoridades; ele existe para manter o negócio funcionando. Essa alternativa troca o objetivo central por uma atividade periférica que pode estar contida no plano, mas não o define.

Alternativa C — ❌ Incorreta

Permitir o máximo rendimento em operações normais é objetivo de gestão de desempenho ou otimização de processos, não do PCN. O plano de continuidade atua justamente no cenário anormal — quando as operações são interrompidas. Essa alternativa inverte a lógica: o PCN não melhora o funcionamento normal; ele garante a recuperação quando o funcionamento normal falha.

Alternativa D — ✅ Correta ⟵ GABARITO

Esta alternativa descreve com precisão o propósito primordial do PCN: permitir que a organização recupere ou mantenha suas atividades em caso de interrupção das operações normais de negócios. Isso está alinhado com o objetivo da norma ABNT NBR ISO/IEC 27002, que define a gestão da continuidade como a prática de "não permitir a interrupção das atividades do negócio e proteger os processos críticos contra efeitos de falhas ou desastres significativos, e assegurar a sua retomada em tempo hábil". A palavra "recupere ou mantenha" captura exatamente a dupla natureza do PCN: preventiva (manter) e reativa (recuperar).

Alternativa E — ❌ Incorreta

Paralisar operações para execução de auditoria é o oposto do propósito do PCN. O plano existe para evitar a paralisação ou minimizar seus efeitos, não para provocá-la. Auditoria é uma atividade de verificação e conformidade, que pode até ser planejada, mas não é função do PCN. Essa alternativa confunde o plano de continuidade com procedimentos de auditoria, que têm finalidade completamente distinta.

Gabarito: letra D — o PCN existe para garantir a recuperação ou manutenção das atividades da organização diante de interrupções nas operações normais.