1. Identificação e qualificação dos riscos
Apuramos os ativos e as informações críticas do processo de negócio e identificamos os principais riscos e fragilidades do ambiente, mapeando causa e efeito.
CYBER ANTIFRÁGIL® | RESILIÊNCIA E CONTINUIDADE
Ser antifrágil é estar além do resiliente
Empresas frágeis quebram com a crise. As resilientes resistem e voltam ao que eram. As antifrágeis saem mais fortes. Com o Cyber Antifrágil®, você instala esse ciclo na sua operação e preserva os investimentos de segurança que já fez.
COMO FUNCIONA
O maior risco é aquele que você não conhece
Partimos do apetite de risco da empresa e dos ativos críticos do processo de negócio escolhido, e seguimos até a melhoria contínua virar rotina.
2. Plano de mitigação
Com os riscos classificados e priorizados, preparamos as recomendações de tratamento das fragilidades que podem ser endereçadas ou eliminadas.
3. Coerência com continuidade e resposta
Revisamos os planos de continuidade de negócios e de resposta a incidentes que cobrem o processo, para que conversem com o cenário de riscos real.
4. Baterias de teste
Com os planos implementados, programamos testes de validação que verificam, na prática, se o processo, os ativos e a cultura respondem como o plano prevê.
5. Plano de evolução
Os resultados quantificados do primeiro ciclo viram referência: metas, periodicidade e avaliação de maturidade para os ciclos seguintes.
6. Melhoria contínua
Cada iteração deixa a empresa mais forte. Adversidade e incidente deixam de ser só prejuízo e passam a alimentar a defesa.
O que sua empresa ganha
- Mais resiliência e controle de risco, com recuperação mais rápida
- Capacidade real de atravessar crises sem perder a confiança do cliente
- Tranquilidade para a direção e para as áreas de negócio focarem no que fazem
- Maior aderência às exigências regulatórias de cibersegurança
- Investimentos otimizados: soluções escolhidas pela necessidade, não pela moda
- Confiança para expandir e lançar novos negócios digitais
AUTODIAGNÓSTICO
Se tudo parar amanhã, sua empresa sabe o que fazer?
Perguntas objetivas sobre a capacidade da sua empresa de atravessar uma parada grave e voltar a operar. O resultado mostra onde a continuidade está de pé e onde ela ainda é uma esperança escrita.
Impacto conhecidoPergunta 1 de 16
A empresa sabe quais processos de negócio não podem parar, em ordem de prioridade acordada com a direção?
Na crise, tudo parece urgente. A ordem do que volta primeiro é uma decisão de negócio, e a hora de tomá-la é com calma, antes.
O que cada resultado significa
A leitura de cada área, nas três faixas de resultado. É o mesmo texto que chega por e-mail a quem se identifica, publicado aqui para quem quer entender o que a nota mede antes de responder.
Impacto conhecido
Abaixo de 50
Sem saber o que não pode parar, quanto tempo pode ficar parado e quanta informação pode se perder, todo plano de continuidade é chute. Comece por um único processo crítico: liste do que ele depende e o que custa cada dia de parada. A primeira versão cabe em uma página e já orienta decisões.
De 50 a 79
Existe noção de impacto, mas parte dela vive na cabeça das pessoas, não em acordo formal com o negócio. Vale transformar em número: prazo máximo de parada e perda de dados tolerável, por processo, validados por quem responde pela operação. É esse acordo que impede o investimento em recuperação de ser demais ou de menos.
80 ou mais
O impacto está mapeado e acordado, uma das frentes mais fortes das suas respostas. O próximo ganho é manter o mapa vivo: revisitar prioridades e dependências quando o negócio muda, porque a análise de impacto envelhece junto com a empresa.
Planos que existem
Abaixo de 50
Se hoje não existe plano, a boa notícia é que o primeiro passo errado seria escrever um documento extenso. Comece pelo essencial: para os cenários mais prováveis, quem faz o quê, em que ordem, com quais contatos. Um roteiro de duas páginas acessível fora do ambiente vale mais que um manual que ninguém abre.
De 50 a 79
Os planos existem, mas com as lacunas típicas: cenários genéricos, cópia única dentro do próprio ambiente, conteúdo que já não corresponde aos sistemas reais. Verifique três coisas: o plano responde ao ransomware, sobrevive à queda da rede e descreve o ambiente de hoje. É uma checagem de um dia que evita a pior surpresa.
80 ou mais
Planos concretos, acessíveis e atualizados. O refinamento seguinte é integrá-los: continuidade, resposta a incidentes e comunicação de crise contando a mesma história, para que ninguém descubra uma contradição entre documentos no meio da crise.
Backup e recuperação
Abaixo de 50
Se um atacante com acesso de administrador consegue apagar todas as cópias, o backup protege contra defeito de disco, não contra o cenário que mais derruba empresas hoje. Uma cópia imutável ou desconectada é a prioridade, seguida de um ensaio de restauração de ponta a ponta. O resto pode esperar; isso não.
De 50 a 79
O backup existe e passa no teste isolado, mas restaurar um arquivo é diferente de reerguer um processo: ordem de retorno, dependências e tempo total só aparecem no ensaio completo. Vale também definir como a operação funciona no modo mínimo enquanto a restauração corre. É essa combinação que transforma backup em recuperação.
80 ou mais
Recuperação madura nas suas respostas: cópia protegida, restauração ensaiada e um caminho alternativo para operar. Mantenha o ensaio completo em cadência e cronometre contra os prazos acordados com o negócio, porque o ambiente muda e o tempo de restauração muda junto.
Exercícios e testes
Abaixo de 50
Plano sem exercício é hipótese. O primeiro teste não precisa ser grande: duas horas de exercício de mesa, com quem decide na sala, sobre um cenário realista. O que ele revela sobre decisão, comunicação e lacunas costuma valer mais que meses de escrita de plano.
De 50 a 79
Os exercícios acontecem, mas em condição favorável: data conhecida, sistemas de pé, todo mundo disponível. O salto é aproximar do real: menos aviso, uma pessoa-chave fora, um sistema de fato indisponível. E registrar o resultado em número, para o próximo exercício ter contra o que se comparar.
80 ou mais
Exercícios regulares e medidos, o coração da antifragilidade. O próximo passo é ampliar o alcance: cenários com fornecedor crítico fora, crises longas de vários dias e a participação de áreas que ainda não sentaram à mesa.
Papéis na crise
Abaixo de 50
Na crise sem papéis definidos, as primeiras horas se perdem descobrindo quem decide, e são as horas mais caras. Defina três coisas em uma página: quem declara a crise e com que critério, quem fala com clientes e autoridades, quem tem autoridade para desligar sistemas. Nomeie suplentes no mesmo ato.
De 50 a 79
Os papéis existem, mas concentrados em poucas pessoas, e disponibilidade nunca é garantida em crise. Vale nomear suplente para cada papel e garantir um canal de comunicação que funcione com o ambiente fora do ar. O teste é simples: se as duas pessoas mais importantes estiverem inalcançáveis, o plano ainda anda?
80 ou mais
Papéis claros, com suplência e canal alternativo. O refinamento é treinar o julgamento: ensaiar as decisões difíceis, como desligar o faturamento por precaução ou comunicar antes de ter certeza, para que a primeira vez não seja ao vivo.
Aprendizado pós-incidente
Abaixo de 50
Sem análise depois do incidente ou do exercício, a empresa paga o preço da falha e joga fora o produto dela, que é a lição. Comece com uma reunião curta e uma regra: procura-se causa, não culpado. A pergunta que organiza tudo: o que sabemos agora que gostaríamos de ter sabido antes?
De 50 a 79
A análise acontece, mas as ações que saem dela competem com a rotina e perdem. Dono, prazo e verificação de que aconteceu é o que separa lição aprendida de lição anotada. Um sinal de alerta barato: a mesma falha aparecendo em dois exercícios seguidos.
80 ou mais
O ciclo de aprendizado funciona, e é ele que faz a empresa sair de cada rodada mais forte. O ganho seguinte é dar visibilidade à curva: mostrar à direção a evolução entre ciclos, porque prontidão que a direção enxerga é prontidão que mantém orçamento.
Prepare sua empresa para resistir, responder e se recuperar
Escolha um processo de negócio crítico e comece por ele. Em um ciclo você já enxerga onde estão as fragilidades e quanto a sua defesa evoluiu.