13. Continuidade, backup e mudanças

A continuidade dos serviços de TI depende do controle de mudanças, da proteção de dados críticos e da existência de ações de contingência para sistemas e recursos essenciais à operação.

Mudanças relevantes em sistemas, infraestrutura, rede, acessos, integrações ou automações devem ser planejadas, avaliadas quanto ao risco e comunicadas às partes impactadas.

Backups devem ser definidos para dados e sistemas críticos, considerando periodicidade, retenção, responsabilidade e testes de restauração.

Incidentes com potencial de impacto operacional devem possuir registro, análise de causa, tratamento e plano de ação quando aplicável.

Sistemas críticos devem possuir alternativas de contingência proporcionais à sua importância para a operação e para os requisitos contratuais.

Melhorias e novas soluções digitais devem considerar segurança, escalabilidade, suporte, documentação, treinamento e aceite do usuário.

13.1. Respostas a incidentes de segurança e continuidade (BCP/DRP)

• Incidentes de segurança da informação devem seguir um fluxo formal de resposta, com etapas de identificação, contenção, erradicação, recuperação e registro de lições aprendidas.
• Deve ser definido um Plano de Continuidade de Negócios (BCP) e um Plano de Recuperação de Desastres (DRP) para os sistemas e processos considerados críticos.
• Para cada sistema crítico devem ser estabelecidos o tempo máximo tolerável de indisponibilidade (RTO) e a perda máxima aceitável de dados (RPO).
• Os planos de continuidade e recuperação devem ser testados periodicamente, com registro de resultados e ajustes necessários.