What Is ResOps – and Why Cyber Resilience Needs It

Pontos principais

• O ResOps não é um produto tecnológico. Trata-se de uma disciplina operacional multifuncional que ajuda a promover a resiliência cibernética da organização.
• Ele complementa o backup, a recuperação de desastres, a segurança cibernética, a continuidade dos negócios e a resposta a incidentes, alinhando essas funções em torno de resultados de recuperação de ponta a ponta.
• O ResOps concentra-se em serviços essenciais e nos limites de impacto definidos pela empresa, em vez de componentes isolados da infraestrutura.
• Baseia-se na geração contínua de evidências, incluindo resultados comprovados de Recovery, indicadores de resiliência dos serviços e um registro próprio das lacunas.
• O ResOps é um processo contínuo. Nem a elaboração de um plano nem a realização de um exercício pontual bem-sucedido são suficientes para estabelecer uma capacidade de recuperação duradoura.

O novo desafio da resiliência

A maioria das organizações investe em segurança cibernética, backup,Recovery de desastres,e continuidade dos negócios. No entanto, muitos executivos ainda se deparam com três questões cruciais: Será que conseguiremos nos recuperar? Quanto tempo vai demorar a recuperação? E será que podemos comprovar isso? Parte do desafio reside no fato de que a responsabilidade pela resiliência está distribuída entre equipes que, muitas vezes, operam isoladamente. A equipe de segurança gerencia as ameaças. A equipe de TI mantém os sistemas. As equipes de Backup and Recovery restauram dados e infraestrutura. As equipes de continuidade dos negócios se concentram em manter a organização em funcionamento. Cada uma desempenha um papel importante, mas a responsabilidade pela recuperação pode permanecer fragmentada.

O ResOps reúne essas funções em torno de prioridades, metas de Recovery e evidências compartilhadas. O resultado é uma maneira mais prática de abordar a resiliência: saber o que é mais importante, entender o que é necessário para recuperá-lo, testar se a Recovery funciona e agir sobre as lacunas encontradas.

P: O que é ResOps?

ResOpsé a disciplina operacional que integra segurança, infraestrutura e operações de TI,continuidade dos negócios, e reúne os proprietários de negócios em torno de serviços essenciais, projeto resiliente e validação contínua. Em termos simples, o ResOps ajuda as equipes a se prepararem para interrupções, a recuperar serviços essenciais dentro dos limites de tolerância a impactos definidos pela empresa e a demonstrar, com base em evidências, que a recuperação funciona.

Quatro características definem o ResOps. Ele é:

1. Multifuncional por natureza. O ResOps conecta responsabilidades distribuídas por meio de um modelo operacional compartilhado, responsabilidade nomeada e governança executiva.
2. Focado em serviços essenciais. Prioriza os serviços que a organização deve restabelecer para oferecer valor fundamental, atender aos clientes e gerar receita; além de ajudar a cumprir obrigações urgentes de natureza jurídica, regulatória, de segurança e relacionadas à missão.
3. Validada continuamente. A resiliência é uma postura que as equipes devem praticar e aprimorar — não um estado determinado por um teste anual.
4. Avaliado com base em evidências. O ResOps gera um índice de postura de resiliência (RPS): uma pontuação por serviço, fundamentada em evidências, que mede o grau de recuperabilidade de um único serviço crítico com base nos resultados da validação, na integridade das dependências e na confiança na recuperação sem falhas.

O que não é ResOps?

Não é uma categoria de produto.

Nenhuma plataforma é capaz de criar o ResOps por si só. Tecnologias de proteção de dados, Recovery cibernético, automação, observabilidade e testes podem dar suporte à disciplina, mas o ResOps é uma questão organizacional. Ele depende de governança, responsabilidade compartilhada, prioridades de negócios, práticas operacionais e um padrão comum de evidência.

Isso não substitui o Backup and Recovery nem a Recuperação de Desastres.

O ResOps não substitui recursos robustos de Backup and Recovery: ele depende deles. O backup determina se existem cópias recuperáveis. A Recovery fornece os procedimentos e os recursos técnicos para ajudar a restaurar sistemas e infraestrutura.

Mas, então, o ResOps levanta uma questão mais ampla: o serviço crítico pode retornar de forma completa, sem falhas e dentro dos limites de tolerância, incluindo suas identidades, aplicativos, dados, infraestrutura, serviços em nuvem, terceiros, pessoas e processos de tomada de decisão?

Não se trata de outro nome para continuidade de negócios ou resposta a incidentes.

A continuidade dos negócios define como a empresa opera durante interrupções. A resposta a incidentes detecta, contém e gerencia o evento. O ResOps conecta essas disciplinas ao resultado da Recovery. Ele cria um ritmo operacional para que as equipes cheguem a um consenso sobre o que é importante, validem a Recovery em condições realistas, avaliem os resultados e corrijam as lacunas reveladas pelos testes.

Não se trata de um exercício de conformidade nem de um projeto pontual.

Um programa maduro de ResOps pode ajudar a gerar evidências para conselhos administrativos, órgãos reguladores, seguradoras, clientes e auditores. Mas a documentação é um subproduto, não o objetivo. O objetivo é a capacidade comprovada de recuperação.

E como os sistemas, as dependências, as ameaças e as prioridades de negócios estão em constante mudança, o ResOps nunca está “concluído”. Ele opera continuamente, da mesma forma que o planejamento financeiro ou as operações de segurança.

O que muda com o ResOps?

O ResOps muda o foco: em vez de verificar se sistemas e processos individuais estão funcionando, ele analisa se o serviço crítico como um todo é capaz de se recuperar. Isso muda as perguntas que os líderes podem fazer.

Um backup bem-sucedido é importante. Ter um plano de recuperação também é. Mas nenhum dos dois indica se um serviço crítico pode realmente ser restaurado quando for necessário. O ResOps analisa o panorama geral:

• Recovery was performed from a valid and verified recovery point?
• Quanto tempo demorou?
• Conseguimos nos recuperar dentro dos limites estabelecidos pela empresa?
• E o que ainda precisa de atenção?

É por isso que o ResOps é importante. Ele oferece às organizações uma maneira de ir além de suposições sobre resiliência e passar a demonstrar, de forma programática e confiável, sua capacidade de recuperação. E isso é feito por meio da produção contínua de evidências e da rastreabilidade. Assim, quando ocorre uma interrupção, a questão não é se cada equipe cumpriu sua parte ou quem falhou em qual tarefa. A questão é se a empresa consegue restaurar os serviços essenciais dos quais seus clientes dependem.

Saiba mais

A Commvault publicouResOps: Um guia para executivospara oferecer aos CISOs, CIOs e líderes das áreas de TI, segurança, resiliência e Risk uma estrutura prática para implementar o ResOps em suas organizações.

Os líderes aprenderão a identificar os serviços mais importantes, validar a Readiness para recuperação com evidências concretas e testar continuamente a resiliência. Com isso, as organizações poderão estabelecer um modelo operacional único que una os líderes de segurança, infraestrutura, operações de TI e negócios em torno da capacidade de recuperação baseada em evidências.Baixe oguia aqui. 

Perguntas frequentes

P: O ResOps é simplesmente um novo nome para Recovery?

R: Não. A recuperação de desastres é uma parte essencial do ResOps, mas o ResOps analisa o serviço crítico como um todo — incluindo dependências técnicas, de terceiros, humanas e de tomada de decisão — e avalia se ele pode ser recuperado dentro de uma tolerância a impactos definida pela empresa.

P: O ResOps exige a aquisição de uma nova plataforma?

R: Não. A tecnologia pode auxiliar no mapeamento, nos testes, na Recovery e na coleta de evidências, mas o ResOps começa com a responsabilidade, a governança, as prioridades de negócios e as práticas operacionais.

P: Quem é o proprietário da ResOps?

R: A ResOps precisa de um líder designado, com autoridade multifuncional e apoio da alta administração. Os responsáveis por cada serviço continuam sendo responsáveis por seus respectivos serviços, enquanto as equipes de segurança, TI, continuidade de negócios e de negócios contribuem para o resultado comum de Recovery.

P: Como se mede o sucesso do ResOps?

R: O sucesso decorre da comprovação atual de que os serviços essenciais podem se recuperar de forma adequada dentro dos limites de tolerância a impactos definidos — e não simplesmente da conclusão de um plano ou da execução bem-sucedida de uma tarefa de backup.

A pontuação de resiliência (RPS) também é uma ferramenta de medição útil. Por ser uma pontuação baseada em evidências e calculada por serviço, a RPS ajuda a demonstrar o grau de recuperabilidade de um único serviço crítico com base nos resultados da validação, no estado das dependências e na confiança na recuperação sem falhas.

P: Como as organizações começam a utilizar o ResOps?

R: Comece identificando os serviços essenciais dos quais a empresa depende, quem é o responsável por eles, de que eles dependem e com que rapidez precisam ser restaurados. A partir daí, as equipes podem validar o processo de Recovery, identificar lacunas e priorizar o trabalho necessário para fortalecer a resiliência.

Michael Thelanderé diretor sênior de marketing de produto na Commvault.