A diferença entre ter um plano de cópia de segurança e a verdadeira continuidade do negócio

As organizações que dependem de operações contínuas não carecem de planos de continuidade do negócio. Isto é especialmente verdade na resposta a emergências e infra-estruturas críticas, onde organizações como cidades e fornecedores de energia investiram fortemente em ambientes secundários, definiram procedimentos de failover e testaram o acesso, os logins e a disponibilidade do sistema.

No papel, tudo funciona.

A maioria dos planos de continuidade do negócio falha de uma forma inesperada: os sistemas secundários estão disponíveis, mas as operações continuam a parar. Os utilizadores precisam de mais do que o sistema para estarem disponíveis. Precisam dos seus contactos, dos seus e-mails, dos seus ficheiros. É por isso que os ambientes de espera precisam de mais do que disponibilidade. Precisam de uma sincronização contínua, automática e controlada entre os sistemas de comunicação e de documentos.

A maioria dos planos de continuidade são concebidos e testados em torno da recuperação do sistema. Mas restaurar o acesso não é o mesmo que restaurar as operações. O seu plano de continuidade só está pronto quando garante que os utilizadores poderão trabalhar com os dados e o contexto em que confiam.

Isto significa garantir que as informações críticas, como listas de contactos actualizadas, ficheiros partilhados, calendários e comunicações recentes, são transferidas para o ambiente de espera, e não apenas as contas de utilizador e o acesso genérico. Se isso faltar, mesmo uma transferência em caso de falha bem sucedida expõe uma lacuna crítica entre a disponibilidade do sistema e a verdadeira continuidade operacional.

O julho de 2024 interrupção global das TI e o seu efeito na Delta Airlines ilustram claramente esta lacuna. A Delta Air Lines tinha procedimentos de emergência em vigor e começou a restaurar os sistemas, mas as perturbações continuaram durante dias, ao contrário dos seus concorrentes, porque as operações ainda não puderam ser executadas.

Durante o mesmo incidente, As organizações de emergência e de cuidados de saúde em todo o mundo também enfrentaram perturbações, A interrupção da rede de comunicações foi um dos principais factores de risco para a saúde, com os hospitais a atrasarem os procedimentos e os serviços de emergência a recorrerem a processos manuais, uma vez que o pessoal perdeu temporariamente o acesso aos sistemas e à informação de que dependia. Não foram oficialmente registadas quaisquer mortes relacionadas com a falha de energia de julho de 2024, mas esta perturbou materialmente os sistemas de saúde e de emergência, onde os atrasos podem ter consequências para a segurança da vida.

O aspeto fundamental para qualquer serviço, e ainda mais para a resposta a emergências e serviços críticos, é continuidade operacional.

Ter um ambiente secundário pronto é um ponto de partida, não um ponto de chegada. O que determina se esse ambiente é utilizável no primeiro dia é se todas as informações essenciais dos seus utilizadores já estão no local e são mantidas actualizadas utilizando uma camada de sincronização.

Isto aplica-se quer os utilizadores estejam na sede, em centros de controlo distribuídos ou a operar a partir de locais remotos e móveis. Todos os pontos de acesso devem poder aceder a dados actualizados e fidedignos, disponíveis desde o primeiro momento de uma transição.

Três requisitos definem uma camada de sincronização que assegura esse acesso e mantém a continuidade:

• Em sincronia
  Os ambientes hot standby requerem uma sincronização automática e persistente. Se os dados e documentos forem replicados apenas num horário definido (por exemplo, uma vez por dia), ou acionados manualmente, podem estar obsoletos ou em falta exatamente quando mais precisa deles.
• Completo
  Uma sincronização parcial cria uma continuidade parcial. Certifique-se de que a sincronização inclui tudo o que a equipa precisa:
• Histórico de correio eletrónico, com todo o contexto da conversa
• Dados do calendário e programação partilhada
• Estruturas de pastas partilhadas e bibliotecas de documentos que reflectem o estado atual das operações
• Governado
  Para garantir a integridade operacional, a camada de sincronização deve:
• Manter a conformidade regulamentar - Cumpre as normas CJIS, NERC, HIPAA ou outras normas aplicáveis?
• Preservar as estruturas de segurança - A sincronização deve proteger os controlos de acesso baseados em funções existentes, e não achatá-los.
• Apoiar o acesso multi-agências (se necessário) - Manter o modelo de partilha estabelecido para que a informação flua adequadamente entre as organizações.

As duas secções seguintes analisam a forma como estes requisitos se traduzem na prática: para a infraestrutura de comunicações construída sobre o Exchange e para a camada de documentos que liga o SharePoint a um ambiente de espera em funcionamento baseado na nuvem.

Quando ocorre uma perturbação, a infraestrutura de comunicação é a primeira coisa a que as equipas de resposta recorrem. Os contactos, o correio eletrónico e os calendários partilhados fazem parte da espinha dorsal operacional da coordenação de crises.

CB Exchange Server Sync for Google Workspace garante que, quando os utilizadores iniciam sessão no ambiente de espera ou de continuidade, não começam do zero. As suas caixas de correio já lá estão. As conversas têm contexto. A coordenação pode continuar em vez de ser reiniciada.

Duas capacidades tornam isto possível na prática:

• Sincronização bidirecional garante que, a partir do momento em que os utilizadores mudam, o ambiente de espera ativa está totalmente operacional. As mensagens estão actualizadas. Os contactos estão intactos - coordenadores no terreno, agências externas, operadores de serviços públicos, pessoal técnico de serviço - exatamente como estavam antes da interrupção. Quaisquer alterações efectuadas durante o incidente são automaticamente sincronizadas com o ambiente principal assim que este fica novamente disponível.
• Não é necessário restaurar graças à sincronização contínua e aos ajustes efectuados no gateway de correio. Não existe uma janela de recuperação nem um instantâneo pontual a carregar. O ambiente de espera ativa reflecte o estado das caixas de correio do ambiente primário tal como estavam antes do incidente. Quando esse ambiente primário ficar novamente disponível, reflectirá as alterações efectuadas no ambiente secundário, uma vez que estas são sincronizadas automaticamente.

Durante um incidente, as equipas de resposta não precisam apenas de comunicar. Precisam de atuar. Isso significa aceder a documentos como planos de resposta, mapas de infra-estruturas, contratos de fornecedores, atribuições de canais de rádio, actualizações do último estado conhecido e procedimentos de escalonamento. Se o ambiente principal onde esses documentos se encontram for SharePoint e o ambiente de reserva ou de continuidade for executado no Google Drive, esses ficheiros têm de estar no Google Drive antes de alguém precisar deles. Não é desejável ter de os recuperar, migrar ou solicitar às TI sob pressão.

Sincronização segura para SharePoint e Google Drive cria uma sincronização contínua, para que, quando o ambiente primário se tornar inacessível, os ficheiros já estejam do outro lado.

As principais capacidades para a continuidade do negócio são:

• Acesso com tempo de inatividade zero. Os ficheiros não são migrados durante uma interrupção. Eles já estão presentes no Google Drive e são sincronizados com antecedência.
• Sincronização selectiva com filtros. Se não acredita que tudo no SharePoint pertence ao ambiente de espera ativa, pode utilizar a filtragem granular para que apenas os ficheiros operacionalmente relevantes sejam espelhados. É possível configurar filtros com base na data de início, nome do arquivo, tipo de arquivo e outros critérios.
• Tratamento de dados sensíveis. As permissões e os controlos de acesso são preservados através do processo de sincronização. Os ficheiros não chegam ao ambiente de espera despojados da sua estrutura de governação.

A maioria das organizações testa se o seu ambiente de espera pode ser acedido. Poucas testam se pode ser efetivamente utilizado. Uma validação significativa abrange três questões:

1. Os utilizadores podem iniciar sessão? Esta é a linha de base. Confirma que o ambiente técnico é acessível, mas não diz nada sobre se as pessoas que acabaram de iniciar sessão podem efetivamente fazer o seu trabalho.
2. Podem aceder aos contactos, e-mails e calendários tal como estavam no dia anterior? Isto testa a camada de comunicações e a qualidade da sincronização em curso.
3. Podem abrir documentos críticos com as permissões corretas? Este teste verifica se a camada de documentos é atual, completa e devidamente gerida.

A menos que a resposta seja "sim" a todas as três, o plano de continuidade não está pronto. Estes testes devem ser efectuados regularmente - e não apenas na implementação inicial - porque a qualidade da sincronização pode degradar-se silenciosamente ao longo do tempo, à medida que os sistemas primários mudam.