Uma cópia de segurança só conta se você também souber que a sua restauração funciona. Não como suposição, mas como algo que realmente tentou: executou uma recuperação, mediu quanto tempo levou e verificou se tudo estava novamente no lugar onde deveria estar. Sem esse teste, você só sabe que uma cópia existe em algum lugar — não se essa cópia o ajudará alguma vez.
Para uma empresa de instalação, esta não é uma questão teórica. Por trás do agendamento de técnicos, dos códigos de acesso aos edifícios dos clientes e das ligações com sistemas de segurança estão sistemas que, se falharem, não afetam apenas o funcionamento do seu próprio negócio, mas também o acesso de um cliente ao seu próprio edifício. Quem trabalha na equipa de serviço que controla remotamente uma porta, um alarme ou um sistema de climatização é, para esse cliente, um elo que tem de funcionar corretamente.
Por que uma cópia de segurança não testada não conta
Uma cópia de segurança pode revelar-se inutilizável no momento em que a necessita por várias razões. O ficheiro está corrompido, a chave para o desencriptar está em falta, a ordem em que os sistemas devem ser restaurados não está documentada em lado nenhum, ou simplesmente demora muito mais do que alguém esperava. Não descobre isto durante uma terça-feira tranquila — descobre quando o agendamento de todos os técnicos caiu e um cliente pergunta por que é que o sistema de acesso dele não responde há dois dias.
A obrigação de diligência que decorre da Diretiva NIS2 não menciona cópia de segurança e recuperação como uma questão técnica secundária, mas como uma das medidas fundamentais. O que a diretiva em si não faz é prescrever uma frequência de teste fixa — com que frequência testa não está em lado nenhum como um número concreto no texto. Ao avaliar medidas deste tipo, as autoridades de supervisão geralmente verificam se uma organização consegue demonstrar que conhece quais os sistemas críticos e se verifica regularmente se a recuperação funciona realmente, de forma adequada à forma como o negócio depende desses sistemas.
O que afeta especificamente as empresas de instalação
Para uma empresa de instalação, não se trata apenas da sua própria contabilidade. Pense no software de agendamento em que os técnicos recebem as suas rotas e tarefas, no CRM com dados de contratos e prazos de garantia dos clientes, e nas ligações com sistemas de acesso ou sistemas de gestão de edifícios em clientes. Um técnico que pode ligar ao rede de um cliente através de uma ligação VPN é, para esse cliente, uma porta adicional para entrar — uma porta que também deve poder fechar-se se algo correr mal.
Exatamente essas ligações tornam a recuperação mais complicada do que num sistema de escritório comum. Não se trata apenas de restaurar os seus próprios dados, mas também da questão de saber se os direitos de acesso, certificados e palavras-passe para ambientes de clientes estão ainda corretos após uma recuperação. Um teste que apenas restaura o seu próprio sistema de ficheiros diz pouco sobre se a ligação com um cliente após uma falha funciona novamente como acordado.
O que um teste concretamente envolve
Um teste de recuperação útil consiste em alguns componentes fixos: restaura uma cópia de segurança de forma real, preferencialmente num ambiente separado para que o teste não represente um risco para o trabalho em curso. Mede quanto tempo leva e compara com o que é aceitável para o seu agendamento e para os acordos com clientes. Verifica se todos os dados estão completos e utilizáveis, incluindo ligações com sistemas externos. E documenta quem fez o teste, quando e que resultados obteve — mesmo que o resultado não tenha sido bom, pois isso é precisamente o motivo para melhorar.
Essa documentação é imediatamente o documento de prova que um cliente pode solicitar num questionário de segurança, e é o elemento que uma autoridade de supervisão espera encontrar num dossiê sobre a obrigação de diligência. Quem quiser verificar por si mesmo se esse dossiê já está em ordem ou ainda tem de começar, encontra em uma breve verificação de onde você está agora uma primeira direção, com uma explicação do porquê.
Para empresas que não têm certeza se essas obrigações as afetam diretamente ou chegam principalmente através dos requisitos de um cliente, a distinção entre estar sujeito a obrigações diretas e ser afetado pela cadeia de suprimentos é frequentemente o ponto de partida. Essa diferença e o que significa para o resto das suas medidas estão detalhados entre os tópicos selecionados para cada situação.
Quem, após ler esse tipo de medidas, fica principalmente com dúvidas práticas — sobre o que uma conta inclui, o que permanece gratuito e o que não é — encontrará a maioria das respostas em perguntas frequentes sobre a plataforma. E para quem realmente quer manter o dossiê, com um status e um proprietário para cada medida, está em página com os planos de subscrição o que vai junto.
Se um backup não testado em sua situação representa um risco que um supervisor avaliaria de forma diferente do que um testado não é algo que este artigo possa determinar para você — isso depende de seus próprios sistemas e acordos, e para isso o caminho para um advogado ou supervisor permanece o correto. Quer obter primeiro uma visão geral de onde você está, então fique à vontade para fazer a verificação rápida gratuita ou navegue pelos tópicos desenvolvidos para seu setor.