A continuidade de negócio para lá do backup

Como é que o conceito de continuidade de negócio tem evoluído nos últimos anos? O que mudou em termos de prioridades para as organizações?

Pedro Morais, Data Protection Segment Manager for Latin America and Europe South and Data Services Category Manager for Portugal, HPE: “Grande parte das empresas, se formos analisar bem, têm falhas. Não estão totalmente impreparadas, mas vamos vendo alguns casos de pedidos de ajuda como consequência de um ataque ou um problema. No início da minha carreira, o business continuity era muito focado nos grandes grupos económicos onde um backup à sexta-feira era suficiente para a maior parte do tecido empresarial. Nos últimos 15 anos, a dependência das tecnologias por parte das organizações cresceu bastante. Os sistemas de informação e os dados são muito necessários para operar a sociedade”

Adrián Groba, Country Manager, QNAP: “Antes, a batalha era se tinham um backup e capacidade de recuperação. Isso já não é suficiente. É preciso ter a capacidade de recuperar os dados, mas o tema mudou; é preciso ter uma estratégia unificada de backup, de recuperação de desastres e de cibersegurança. Isso está cada vez mais unificado junto dos Parceiros. É preciso fazer uma análise de risco mais variada. O timing também é muito importante; o custo médio do minuto de não poder utilizar sistemas, nos Estados Unidos, é de centenas de milhares de dólares”

A continuidade de negócio é, por vezes, confundida com disaster recovery ou apenas com backup. Como é que posicionam esta discussão junto dos vossos clientes? Qual é a abordagem mais eficaz para comunicar o verdadeiro valor?

	“A soberania dos dados e a independência estratégica é uma perspetiva a ter. Podemos ter os melhores testes, backups e infraestrutura do mundo, mas a desgraça ou o desastre pode acontecer de uma outra perspetiva que, até há pouco tempo, era menos valorizada do que o que tem sido nos últimos meses, que tem a ver com a soberania dos dados” João Miranda, Arquitetura de Sistemas, IP Telecom

João Miranda, Arquitetura de Sistemas, IP Telecom: “Nestas temáticas da continuidade de negócio, à data de hoje, esta questão da comunicação passa por fazer passar a mensagem aos stakeholders de que isto não é um tema tecnológico, mas muito mais um assunto que tem de partir do negócio, mais processual, mais até conceptual. Está ligado à própria evolução tecnológica das coisas e a dependência dos sistemas de informação na operação das empresas e da sociedade em geral. Esta questão da confusão entre o backup, o disaster recovery, a continuidade de negócio e a segurança da informação é uma área onde gastamos muito do nosso tempo. A minha perspetiva é mais de arquitetura e de olhar para o problema e encontrar as soluções mais adequadas, mas há um gap significativo entre as entidades”

Adrián Groba, QNAP: “O backup é a possibilidade de recuperação; ter um backup não assegura nada, mas dá-nos a segurança de poder recuperar os dados. O business continuity tem de incluir o departamento de IT, mas todas as pessoas que utilizam as funcionalidades de IT, que neste momento é quase 100% dos colaboradores de uma organização. É preciso uma compreensão muito mais funcional e financeira. O backup salva os ficheiros, o disaster recovery recuperar os sistemas; o business continuity mantém o negócio a funcionar”

Pedro Morais, HPE: “O business continuity não é um backup nem é um disaster recovery. Se um cliente tem um backup ou disaster recovery e pensa que está seguro, aconselho a rever essa estratégia. O criminoso pode entrar pela rede, consegue acesso à password de appliance de backup e pode apagar o backup. Se não houver a característica de imutabilidade no backup, estamos muito expostos. Mesmo ter um disaster recovery, se um criminoso encripta na origem, como estamos a replicar para o disaster recovery, ele está a pegar nos dados encriptados e vai escrever os encriptados do outro lado. Temos de ter mais do que backups”

A diversidade de ambientes está a contribuir para dificultar a criação de políticas consistentes de backup e disaster recovery?

“A inteligência artificial e a automação vai reduzir o tempo de resposta, vai reduzir a exposição ao erro humano e pode, potencialmente, aumentar muito a efetividade. São ferramentas que têm de ser utilizadas pelas pessoas que estão a gerir estes temas, mas ainda não estamos numa fase de automação completa” Adrián Groba, Country Manager, QNAP

Adrián Groba, QNAP: “Há duas dimensões. Uma a nível de infraestrutura, com arquiteturas multicloud, computação edge, sistemas de Inteligência Artificial [IA]… temos uma fragmentação e diversidade de soluções que estão a funcionar juntas. Depois temos a localização física dos colaboradores; podemos trabalhar juntos, mas não juntos fisicamente e isso cria desafios de segurança. Temos de adicionar o departamento do negócio para a continuidade de negócio, mas os fabricantes também têm de ter certificações e de ser compatíveis. Pode ser uma vulnerabilidade ter uma infraestrutura apenas com um fabricante, ou 100% na cloud ou 100% em on-premises”

Quais são os principais conselhos para os Parceiros na hora de construírem arquiteturas resilientes que combinem computação edge, cloud e conectividade segura?

João Miranda, IP Telecom: “Em última análise, esta chain entre os fabricantes de equipamento de base, nós que somos providers de conectividade e recursos, os Parceiros e integradores, até chegar ao cliente, é fundamental. As coisas têm evoluído positivamente, ainda que devagar, para que a proposta de valor ao cliente seja orientada pelos mesmos princípios. Não é, excetuando no muito curto prazo, interessante para ninguém encontrar soluções para o cliente que lhe resolva a continuidade de negócio. Vender backup ou disaster recovery só pelo chavão tem muito pouco valor. Aqui, os Parceiros são fundamentais”

Como é que as organizações devem estruturar uma estratégia de proteção de dados que suporte efetivamente a ideia de continuidade de negócio?

“O business continuity não é um backup nem é um disaster recovery. Se um cliente tem um backup ou disaster recovery e pensa que está seguro, aconselho a rever essa estratégia. O criminoso pode entrar pela rede, consegue acesso à password de appliance de backup e pode apagar o backup” Pedro Morais, Data Protection Segment Manager for Latin America and Europe South and Data Services Category Manager for Portugal, HPE

Pedro Morais, HPE: “Proteger os dados tem duas áreas: que os dados estejam disponíveis para o negócio para tomada de decisão, e aí é garantir que só as pessoas corretas podem aceder aquele conjunto de dados e saber quem pode apagar ou precisar de duas pessoas para confirmar que se podem apagar os dados; mas também temos o RGPD que procura garantir que os dados dos clientes estão protegidos e não estão expostos e isso também é responsabilidade da empresa”

Adrián Groba, QNAP: “Ainda é interessante falar da estratégia 3-2-1-0, ou seja, das três cópias, em duas plataformas diferentes, uma cópia fora do escritório e uma cópia imutável e offline, como tecnologia airgap. O zero é o interessante, que é ter a certeza de que não há falhas de integridade nem corrupção dos dados. É preciso ter uma verificação periódica e acrescentar um ‘1’ no fim da estratégia para ter a certeza que a recuperação funciona”

João Miranda, IP Telecom: “A palavra estruturar na questão é a palavra-chave, ou seja, já sabemos a criticidade destas coisas todas, a dependência que o negócio tem da tecnologia, mas estruturar a proteção dos dados, visto na segurança e proteção da informação, é fundamental. Não podemos cair na tentação de ir à procura de uma solução pré-feita, onde assinamos o cheque e o fabricante entrega a solução pronta. Existem soluções pré-feitas para contextos muito específicos, mas, no geral, o que é necessário é estruturar com múltiplas perspetivas”

Que papel pode assumir a automação, a inteligência artificial e a monitorização preditiva na prevenção de falhas e na resposta rápida a incidentes?

Adrián Groba, QNAP: “A inteligência artificial e a automação vai reduzir o tempo de resposta, vai reduzir a exposição ao erro humano e pode, potencialmente, aumentar muito a efetividade. São ferramentas que têm de ser utilizadas pelas pessoas que estão a gerir estes temas, mas ainda não estamos numa fase de automação completa. É uma ferramenta que tem de ser começada a pensar já para ajudar na cibersegurança. Pode ajudar na análise de falhas, por exemplo. Os nossos equipamentos têm IA com alertas preditivos para indicar uma potencial falha no futuro”

Como é que a regulamentação como a NIS2 e outras frameworks de compliance estão a influenciar as decisões sobre continuidade de negócio?

João Miranda, IP Telecom: “Na prática, a questão da segurança da informação, da cibersegurança e continuidade de negócio, no final andam à volta do mesmo puzzle. Nesse sentido, a NIS2 é uma das mais contundentes, embora ainda não seja de aplicação universal, mas sim naqueles que se devem aplicar as práticas mais restritivas. A NIS2 e as outras frameworks que vieram antes delas, que têm uma perspetiva diferente, trazem uma componente de obrigatoriedade para que as organizações implementem as coisas de uma determinada forma, mais segura”

Pedro Morais, HPE: “A NIS2 vem pôr na agenda dos decisores a necessidade de provarem que estão preparados, e veio ajudar os IT managers ou os CIO a garantir orçamentos para executar os planos. As empresas têm de demostrar que estão preparados para quando forem atacados e avisar que foram atacados. Enquanto sociedade, não estamos dependentes de uma entidade que está mal preparada que não tem um plano de continuidade de negócio. Veio garantir que todos, enquanto sociedade, temos uma resposta adequada e não impacta a sociedade”

Os modelos de consumo estão a mudar de CapEx para OpEx e de compra para subscrição. Como é que esta mudança impacta a forma como as soluções de continuidade de negócio são vendidas e implementadas?

João Miranda, IP Telecom: “No nosso posicionamento enquanto fornecedor de infraestrutura, mas também de soluções, esta questão de modelos de CapEx e OpEx parecem detalhes comerciais, mas não são. Do ponto de vista pragmático, estas questões afetam sempre a realidade das implementações. A maturidade que as organizações estão a ganhar é muito bonita, mas quando chega a hora de implementar, começa tudo a fazer contas. Esta mudança tem sido significativa. O advento da cloud, no início, veio logo mudar essa perspetiva. A mudança para o OpEx facilita o desenho das soluções e a implementação da estratégia”

Pedro Morais, HPE: “Há uns anos, quando apareceu a cloud pública, era um oásis: não tínhamos de nos preocupar com a instalação, com o firmware ou as manutenções; era só subscrever um serviço e estava automaticamente disponível. Esse modelo é, do ponto de vista teórico, interessante, mas o controlo e a soberania dos dados também são importantes. Conseguimos replicar esse modelo do as-a-Service para os nossos clientes diretos. O cliente tem de usar o espaço ou escolher que capacidade computacional precisa e tem uma fatura mensal que lhes pode ajudar nos temas financeiros”

Uma coisa é ter um plano de continuidade, outra é ter a certeza de que funciona. Como é que as organizações devem abordar os testes dos seus planos de continuidade de negócio?

Pedro Morais, HPE: “Nós só sabemos se vai funcionar se testarmos. Assim, temos de testar a tecnologia, sim, mas também o processo, quem vai fazer o quê e quando; isso tem de ser testado. Temos de testar vários tipos de incidentes, não só ciberataques, mas também incêndios ou inundações. Sem testar, fica sempre a dúvida sobre o que vai acontecer no dia do impacto. Essa dúvida não deve ser esclarecida no momento; equipas preparadas vão poder vivenciar a má experiência de uma forma tranquila”

João Miranda, IP Telecom: “Já passámos por esta questão porque tem a ver com o backup e o restore. Na prática, este é o ponto fulcral. Nas implementações, há um momento em que temos as coisas suficientemente bem preparadas e prontas a usar na área da proteção. A resistência dos stakeholders aos testes é uma realidade. É mais fácil proteger do que garantir que vai funcionar, e isso tem várias camadas; não é só tecnologia ou processos tecnológicos”

Quais são as principais oportunidades de negócio que o mercado atual de continuidade de negócio oferece aos Parceiros de Canal?

Adrián Groba, QNAP: “Há duas oportunidades que identificamos. A primeira é a estratégia comercial dos Parceiros adotar a perspetiva do negócio, como Backup-as-a-Service ou Disaster Recovery-as-a-Service, onde os Parceiros têm uma gestão maior do valor final, em vez de oferecer apenas uma tecnologia específica. Depois, a nível técnico também é preciso explorar as novas tecnologias, como inteligência artificial, para aproveitar o que já foi feito”

João Miranda, IP Telecom: “A soberania dos dados e a independência estratégica é uma perspetiva a ter. Podemos ter os melhores testes, backups e infraestrutura do mundo, mas a desgraça ou o desastre pode acontecer de uma outra perspetiva que, até há pouco tempo, era menos valorizada do que o que tem sido nos últimos meses, que tem a ver com a soberania dos dados. Esta nova questão de associar à segurança da informação a perspetiva das dependências estratégicas e da soberania tem tendência para ganhar um peso muito grande”

Pedro Morais, HPE: “Os Parceiros têm um papel importantíssimo na vida da HPE e 90% do negócio vem através do Canal. Temos a felicidade de ter uma posição diferenciadora porque conseguimos endereçar desde a rede até à computação e à parte de armazenamento de dados, incluindo os serviços. Conseguimos dar a garantia do acesso garantido e depois todas as soluções que temos na área de proteção de dados”