Como testar o plano de continuidade: o que não exige parar a operação

O plano está escrito. Foi aprovado, assinado, e está numa pasta compartilhada. Alguém pergunta quando ele será testado.

A resposta é sempre a mesma: não dá para parar a operação.

E o plano fica ali, intacto, por dois ou três anos. Até o dia em que ele é executado pela primeira vez, sem ensaio, com a operação parada de verdade e o relógio correndo.

A pergunta parece razoável, mas ela carrega um erro de definição. A maior parte do que valida um plano de continuidade não é teste, e não encosta no ambiente de produção.

“Testar” e “exercitar” não são a mesma coisa

O NIST SP 800-84, guia do instituto de padrões americano publicado em setembro de 2006 e dedicado exatamente a esse assunto, separa três atividades que costumam ser tratadas como uma só.

Teste é ferramenta de avaliação que usa métricas quantificáveis para validar se um sistema ou componente opera no ambiente descrito no plano. Derrubar a energia de um equipamento é um teste. Medir se a árvore de chamadas percorre todos os contatos dentro do prazo também é.

Treinamento é informar as pessoas sobre o papel que cada uma tem no plano.

Exercício é a simulação de uma emergência, feita para validar se uma ou mais partes do plano se sustentam.

O documento é explícito sobre a fronteira: o termo “teste” fica reservado para sistemas e componentes, e não é usado para descrever o exercício de planos.

A consequência prática é grande. Quando a diretoria pergunta se o plano foi testado e a TI responde que não dá para parar a operação, as duas partes estão falando de coisas diferentes. A pergunta é sobre o plano. A objeção é sobre o sistema.

O exercício de mesa não toca na produção

O formato que o NIST chama de tabletop é inteiramente baseado em discussão. As pessoas com papel definido no plano se reúnem, um facilitador apresenta um cenário e faz perguntas, e o grupo responde como responderia na crise.

O documento registra a característica que interessa aqui: o exercício de mesa não envolve mobilizar equipamento nem outros recursos.

Nenhum servidor é desligado. Nenhum serviço sai do ar. E mesmo assim o exercício costuma encontrar o que o documento esconde, porque ele força o plano a responder perguntas que ninguém fez quando ele foi escrito:

• quem declara o desastre, e a partir de que evidência
• quem essa pessoa precisa acionar, e por qual canal, se o sistema de chamados estiver fora
• onde está o plano, e se ele é alcançável quando o servidor de arquivos é justamente o que caiu
• quem decide pelo negócio quando o responsável pelo processo está em viagem
• o que se comunica ao cliente, e em quanto tempo

São perguntas de organização, não de tecnologia. E quase todas elas falham na primeira vez em que são feitas em voz alta.

O exercício funcional roda em ambiente simulado

Um degrau acima está o que o NIST chama de exercício funcional. Ali as pessoas executam o papel que teriam na emergência de verdade, mas em ambiente operacional simulado.

A escala é variável. Pode validar um aspecto específico do plano, como a notificação de emergência ou a configuração de um equipamento, ou pode chegar a um exercício completo que cobre todos os elementos.

É aqui que entram as verificações que exigem mão na massa sem exigir indisponibilidade: restaurar um backup em ambiente isolado e abrir a aplicação para conferir se ela sobe, subir a réplica numa rede separada, validar se a licença do software existe fora do servidor original, cronometrar quanto tempo a equipe leva para executar um procedimento que no papel tem três linhas.

Restaurar não é o mesmo que ter backup. Essa diferença só aparece quando alguém restaura.

O que exige parada de verdade, e como encolher a janela

Seria desonesto dizer que nada precisa de indisponibilidade.

O failover real, em que a operação passa para o ambiente de contingência e volta, prova coisas que nenhuma simulação prova: se o DNS propaga no prazo, se as integrações com terceiros apontam para o endereço novo, se a capacidade do ambiente secundário aguenta a carga real em vez da carga estimada.

O que se negocia não é a existência da parada, é o tamanho dela:

• um sistema por vez, em vez do ambiente inteiro, começando pelo de menor impacto
• janela combinada, em período de baixa, com o retorno planejado antes do início
• critério de aborto definido, com o ponto em que o exercício é interrompido e a operação volta ao normal, acordado por escrito antes de começar
• failback ensaiado, porque a volta costuma ser a parte menos documentada e a que mais surpreende

Uma parada de duas horas marcada em calendário custa menos que uma parada de dois dias que ninguém marcou.

A norma brasileira pede programa, não evento

A ABNT NBR ISO 22301:2020, versão brasileira da norma de gestão de continuidade de negócios, trata do assunto na cláusula 8.5, chamada programa de exercícios.

O texto exige que a organização implemente e mantenha um programa de exercícios e testes para validar, ao longo do tempo, a eficácia das suas estratégias e soluções de continuidade. Os exercícios precisam ser coerentes com os objetivos de continuidade e, tomados em conjunto ao longo do tempo, precisam validar as estratégias adotadas.

Duas palavras fazem a diferença nessa redação.

A primeira é programa. A norma não pede um evento anual. Pede uma sequência de exercícios que, somados, cubram o que precisa ser validado.

A segunda é ao longo do tempo. A norma não fixa periodicidade. Quem define a frequência é a organização, a partir dos próprios objetivos de continuidade e da velocidade com que o ambiente muda.

Isso abre espaço para o desenho que funciona na prática: exercícios de mesa mais frequentes e baratos, exercícios funcionais em intervalos maiores, e o failover completo nos sistemas em que o risco justifica a janela.

Para instituição financeira, não é escolha

Em parte do mercado brasileiro o teste de continuidade deixou de ser boa prática e virou obrigação.

A Resolução CMN nº 4.893, de 26 de fevereiro de 2021, que trata da política de segurança cibernética das instituições autorizadas a funcionar pelo Banco Central, determina no artigo 3º que a política estabeleça as diretrizes para a elaboração dos cenários de incidentes considerados nos testes de continuidade de negócios.

A mesma resolução exige que o plano de ação e de resposta a incidentes registre os resultados desses testes, considerando cenários de indisponibilidade causada por incidentes. A norma foi alterada pela Resolução CMN nº 5.274, de 18 de dezembro de 2025.

Para instituições de pagamento, a regra equivalente está na Resolução BCB nº 85, de 8 de abril de 2021.

Em termos práticos, para quem está sob essa regulação, o cenário do teste precisa estar definido em política, e o resultado precisa existir em documento. Um plano que nunca foi exercitado não produz esse documento.

O que o exercício encontra e o documento nunca encontra

Planos de continuidade falham em lugares previsíveis, e é por isso que o exercício funciona.

O NIST registra que exercícios ajudam a identificar lacunas e inconsistências nos planos e nos procedimentos, além de revelar onde as pessoas precisam de treinamento adicional.

Na prática, as falhas costumam estar nas junções:

• o procedimento assume que duas tarefas acontecem em paralelo, e na execução elas são sequenciais, o que estoura o RTO sem que nada tenha dado errado
• o responsável por uma etapa saiu da empresa, e o plano continua com o nome dele
• a credencial necessária está guardada no sistema que o cenário derrubou
• o tempo de restauração foi estimado com o volume de dados de três anos atrás
• o fornecedor que o plano aciona tem SLA de resposta maior que o RTO prometido ao negócio

Nenhuma dessas aparece na revisão do documento, porque o documento está coerente consigo mesmo. Elas aparecem quando alguém tenta executar.

Se os números de RTO e RPO do seu plano ainda não passaram por esse tipo de verificação, o método para defini-los é o passo anterior a este.

Como a Integrity-UX conduz esse trabalho

O trabalho começa pelo cenário, não pelo ambiente. Definimos o que será exercitado, quem participa e qual pergunta o exercício precisa responder, e isso fica acordado antes de qualquer agendamento.

O primeiro formato é o exercício de mesa, com as áreas que têm papel no plano. Sai dali a lista do que ninguém soube responder, que quase sempre é sobre decisão e comunicação, e não sobre tecnologia.

Depois vem o exercício funcional, em ambiente isolado: restauração com a aplicação aberta, tempos cronometrados contra o RTO e o RPO definidos, e verificação das dependências que o papel assume e a execução desmente. O failover completo entra onde a criticidade justifica a janela, com critério de aborto e failback combinados por escrito antes de começar.

Cada rodada termina em registro: cenário usado, quem participou, tempos alcançados contra os objetivos, falhas encontradas e ajustes feitos no plano. É esse registro que a ABNT NBR ISO 22301 espera de um programa de exercícios, e que a regulação do Banco Central exige de quem está sob ela.

Somos parceiro Microsoft e trabalhamos tanto sobre o ambiente que o cliente já tem, em nuvem pública, data center próprio ou híbrido, quanto sobre Azure, quando essa é a escolha. O trabalho pode ser contratado junto com a construção do plano de continuidade e do DRP ou aplicado sobre um plano que já existe.

Próximos passos

Se o plano da sua empresa está escrito e nunca foi exercitado, existe uma verificação que não precisa de agendamento nem de janela. Pegue o procedimento de retomada de um sistema e tente responder três perguntas: quem declara o desastre, onde o plano fica acessível se o servidor de arquivos for justamente o que caiu, e se a pessoa nomeada em cada etapa ainda trabalha na empresa.

Se as três respostas não vierem, o exercício de mesa é o próximo passo, e ele cabe em duas horas.

Para a camada anterior, de onde saem os números que o exercício vai cobrar, o artigo sobre como definir RTO e RPO trata do método. Para a estrutura do documento em si, o artigo sobre DRP cobre o que entra no plano.

Se preferir conversar sobre o seu caso, a página de plano de continuidade e DRP tem o contato direto.

Perguntas frequentes

Testar o plano de continuidade exige parar a operação?

Não na maior parte dos casos. O NIST SP 800-84 reserva o termo teste para sistemas e componentes, e usa exercício para planos. O exercício de mesa é baseado apenas em discussão e não mobiliza equipamento. O exercício funcional roda em ambiente simulado. Só o failover completo exige indisponibilidade real, e mesmo ele pode ser feito por sistema, em janela combinada.

Com que frequência o plano deve ser exercitado?

A ABNT NBR ISO 22301:2020 não fixa periodicidade. A cláusula 8.5 exige um programa de exercícios e testes que valide as estratégias de continuidade ao longo do tempo. A frequência sai dos objetivos de continuidade da organização e da velocidade com que o ambiente muda. Ambiente que muda muito pede ciclo mais curto.

Qual a diferença entre exercício de mesa e exercício funcional?

O exercício de mesa é uma discussão conduzida por um facilitador sobre um cenário, sem mobilizar equipamento. Ele valida decisão, papéis e comunicação. O exercício funcional coloca as pessoas executando seus papéis em ambiente operacional simulado, e valida procedimento, restauração e tempo.

O que precisa ficar registrado depois de um exercício?

O cenário usado, quem participou, os tempos alcançados comparados aos objetivos definidos, as falhas encontradas e os ajustes feitos no plano. Para instituições autorizadas a funcionar pelo Banco Central, a Resolução CMN nº 4.893/2021 exige que os resultados dos testes de continuidade constem do plano de ação e de resposta a incidentes.

Restaurar um backup já conta como teste de continuidade?

Conta como uma parte. A restauração valida que a cópia existe e que o dado volta. Ela não valida quanto tempo a operação leva para voltar, se a aplicação sobe no ambiente alternativo, se as integrações apontam para o lugar certo, nem se as pessoas sabem o que fazer. Esses pontos exigem exercício, não só restauração.