O Seu BIA É Provavelmente uma Folha de Cálculo Preenchida por Alguém Sozinho.

Falemos do BIA que vive na vossa partilha de rede.

Aquele em que a equipa de IT preencheu as classificações de impacto numa tarde de terça-feira, enviou ao responsável de BC para "revisão", e ninguém lhe tocou até o auditor perguntar.

Conhecem bem.

As colunas estão todas a "Alto". Ou todas a "Médio". Ninguém se lembra do que significam os limiares. Não há RTO. Não há MTPoD. Não há dependências de sistemas. Não há coluna de contingência, porque ninguém pensou no que acontece depois de a folha de cálculo ser aprovada.

E quando a perturbação real acontece? Ninguém abre o BIA. Porque o BIA não lhes diz nada de útil.

É esse o BIA que vamos substituir.

Por Que Razão a Maioria dos BIAs Falha

Um BIA não é um formulário. É uma conversa. E a maioria das organizações salta a conversa e vai diretamente para o formulário.

O que corre mal:

• A IT faz-o sozinha. Um BIA é um exercício de negócio. Se o CFO, o responsável de Operações e o responsável de Vendas não estiveram presentes, o vosso BIA é um palpite numa folha de cálculo.
• Os níveis de impacto não têm definição. "Alto" não significa nada se não definiram o que "Alto" representa em euros, em clientes perdidos, em exposição regulatória.
• Cobre sistemas mas esquece as pessoas. O ERP em baixo é um problema. Toda a equipa de finanças incapaz de trabalhar é um problema diferente.
• Cobre sistemas mas esquece as localizações. Se a sede estiver inacessível, a contingência funciona mesmo?
• Não tem dimensão temporal. Perder o email durante 4 horas é incómodo. Perdê-lo durante 10 dias é catastrófico. Um BIA sem uma matriz de impacto ao longo do tempo é um instantâneo, não uma análise.
• O RTO e o MTPoD estão em falta. Se não definirem com que rapidez um sistema precisa de ser restaurado e quanto tempo o negócio consegue tolerar a perturbação, a equipa de DR está a adivinhar.

O Que Construímos

Construímos o template de BIA que usamos efetivamente em projetos de consultoria ISO 22301. Depois disponibilizámo-lo gratuitamente.

Três secções de avaliação. Uma framework de definição de impacto. Zero ambiguidade.

Secção 1: Pessoas

ColunaO Que CapturaDepartamento / FunçãoTodas as unidades de negócio, não apenas ITPrioridadeAlto / Médio / Baixo, classificação de criticidade do departamentoResponsável do DepartamentoTitular nomeado, não "a pessoa responsável"Número de ColaboradoresTempo inteiro, tempo parcial, prestadores de serviços, o número afeta a recuperaçãoLocal de TrabalhoOnde operam, determina o planeamento de sites alternativosImpacto ao Longo do TempoMatriz de 4 níveis: 0–1 dias, 2–4 dias, 5–10 dias, >10 diasDependências de SistemasOs sistemas sem os quais esta equipa não consegue funcionar

Não é apenas uma lista de departamentos. É um mapa de como o negócio colapsa quando as pessoas não conseguem trabalhar.

Secção 2: Sistemas

ColunaO Que CapturaO Que FazLinguagem simples, não o nome do produto do fornecedorComo Se ChamaO nome real do sistemaQuem O UsaAs equipas que dependem deste sistemaRTORecovery Time Objective, com que rapidez tem de ser restauradoMTPoDMaximum Tolerable Period of DisruptionImpacto ao Longo do TempoMesma matriz de 4 níveis: escalada de Baixo a CatastróficoDependênciasPessoas, funções e departamentos que dependem deleContingênciaO que implementam quando este sistema cai

Pré-preenchido com sistemas comuns: aplicação core, contabilidade, RH, email, armazenamento de ficheiros, website, alojamento web, gestão de código fonte, CRM, mais linhas em branco para os vossos.

Secção 3: Localizações

ColunaO Que CapturaNome da LocalizaçãoSede, escritórios regionais, centros de dadosOnde FicaMorada físicaQuem A UsaAs equipas sediadas nesse localRTOCom que rapidez a localização precisa de estar operacional novamenteMTPoDPeríodo máximo tolerável sem esta localizaçãoImpacto ao Longo do TempoMesma matriz de escalada de 4 níveisDependênciasEquipas e funções afetadasContingência"Trabalho remoto" nem sempre é a resposta. Qual é a vossa?

"A maioria dos BIAs ignora completamente as localizações. Depois vem a inundação e ninguém sabe quais as equipas afetadas, que sistemas estavam alojados ali, nem para onde as pessoas devem ir."

Definições de Nível de Impacto

O template inclui uma folha dedicada que define quatro níveis de impacto:

NívelLimiar FinanceiroO Que SignificaCatastrófico>£100.000Risco para a vida. A organização não consegue cumprir obrigações legais. Pode cessar a atividade.Alto£30.000–£50.000Danos excecionais. Potencial perda de clientes e contratos.Médio£10.000–£30.000Danos internos sentidos. Baixo risco para a atividade. Baixo impacto nos clientes.Baixo<£10.000Impacto reduzido ou nulo.

"Adaptem os limiares à vossa organização, mas mantenham a estrutura. O objetivo é que quando alguém seleciona 'Alto', todos na sala saibam exatamente o que isso significa."

Para Quem É Este Template

• Responsáveis de BC que estão a fazer o seu primeiro BIA, ou a refazer um mau
• CISOs e gestores de risco que precisam de ligar a recuperação de desastres de IT ao impacto no negócio
• Implementadores de ISO 22301 que precisam de evidência documentada do BIA para certificação
• Organizações abrangidas pelo NIS2 , o Artigo 21 exige medidas de continuidade de negócio, e o BIA é o ponto de partida
• Entidades reguladas pelo DORA , os Artigos 11–12 exigem testes de continuidade TIC assentes em análise de impacto
• Consultores que estão cansados de construir templates de BIA do zero para cada cliente

Como Utilizar

• Comecem pelas Pessoas. Reúnam os responsáveis de departamento. Não apenas IT. Preencham em conjunto as prioridades, o número de colaboradores, as localizações e o impacto ao longo do tempo.
• Passem aos Sistemas. Para cada sistema, definam o RTO e o MTPoD. Preencham a matriz de impacto. Documentem a contingência, "vemos quando chegar lá" não é uma contingência.
• Cubram as Localizações. Todos os sites físicos. O que acontece se ficar indisponível um dia? Uma semana? Duas semanas?
• Calibrem com a folha de Níveis de Impacto. Garantam que todos concordam com o que significa "Catastrófico" antes de alguém começar a classificar.
• Rever trimestralmente. Um BIA com 12 meses é ficção. Os sistemas mudam, as pessoas movem-se, as prioridades evoluem.

Descarregar

Personalizem os limiares financeiros, adicionem os vossos departamentos e sistemas, e têm um BIA funcional numa tarde. Não perfeito, real. A perfeição vem depois.

👉 Descarregar o Template de Business Impact Assessment, Gratuito

Quer Ir Mais Longe?

O BIA é o passo um. A metodologia, os workshops, os casos de estudo, é o que transforma uma folha de cálculo num programa.

• ISO 22301 Lead Implementer, metodologia de BIA, estratégias de BC, conceção de exercícios
• ISO 27001 Lead Implementer, porque segurança da informação e continuidade de negócio são inseparáveis
• DORA Lead Manager, continuidade TIC para entidades financeiras
• NIS2 Lead Implementer, para entidades essenciais e importantes ao abrigo do NIS2

Todas as formações: Certificado ou Reembolsado.

Cyber Academy, cyberacademy.net

Não ensinamos teoria. Ensinamos a sobreviver.