Como funciona recuperação de desastres: etapas e entrega para empresas

Resumo

• O serviço tem duas fases, o projeto feito com calma e a execução no dia da crise, e a segunda só funciona se a primeira foi ensaiada.
• A réplica mantém uma cópia dos servidores atualizada no local reserva, pronta para ser ligada.
• [object Object]
• O trabalho só termina com o retorno à sala principal, a etapa que mais planos esquecem de escrever.

Como funciona recuperação de desastres: o projeto e o dia da crise

Funciona em duas fases separadas no tempo: a preparação, que leva semanas e acontece sem pressa, e a execução, que acontece em horas no pior dia da empresa. Quase todo o valor do serviço está na primeira.

Desastre, para a TI, é qualquer evento que tira a sala de servidores de cena por mais tempo do que a empresa aguenta: alagamento, incêndio, furto, falta de energia prolongada ou um ataque que embaralha os servidores. A recuperação é o caminho combinado para continuar operando de outro lugar.

Na recuperação de desastres, a preparação produz três coisas: um local reserva com os sistemas prontos para subir, um roteiro escrito e uma equipe que já ensaiou esse roteiro. A execução usa essas três peças, e nenhuma delas pode ser improvisada no dia.

As cópias diárias são a matéria-prima de tudo isso. O guia sobre como funciona backup de servidores mostra como elas são feitas; aqui o assunto é o que acontece quando não existe mais servidor onde restaurá-las.

Que tecnologia mantém o local reserva pronto?

Quatro peças técnicas trabalham juntas para que o local reserva assuma em pouco tempo. Cada uma tem um teste próprio no ensaio.

• Réplica: os servidores virtuais são copiados para o local reserva em intervalos curtos, já no formato pronto para ligar.
• Rede reserva: firewall, links e túneis VPN, as conexões criptografadas entre unidades, configurados no local reserva antes do desastre.
• Troca de endereço: o DNS, sistema que traduz nomes em endereços, aponta os nomes dos sistemas para o local reserva quando ele assume.
• Acesso fora da rede: senhas, roteiro e contatos guardados num cofre que não depende da sala principal.

Com virtualização, a réplica é uma máquina virtual inteira, com sistema e dados. Por isso empresas com servidores físicos antigos costumam virtualizar antes de montar o plano.

As etapas do projeto, da análise ao primeiro ensaio

O projeto passa por seis etapas, e a montagem do local reserva só começa depois que a direção aprova as metas. O primeiro ensaio faz parte da entrega, e não de uma fase posterior.

1. Inventário e dependências: cada sistema é listado com o que precisa para funcionar, como banco de dados, servidor de domínio e integrações externas.
2. Análise de impacto: as áreas dizem o que acontece com o negócio a cada hora sem cada sistema.
3. Metas e local reserva: o Especialista propõe RTO, o tempo máximo fora do ar, e RPO, o trabalho que se aceita perder, para a direção aprovar.
4. Montagem: réplicas, rede reserva, troca de endereços e cofre de acessos são configurados no local escolhido.
5. Roteiro: o passo a passo de cada cenário, com a ordem de subida, os responsáveis e o critério para declarar o desastre.
6. Primeiro ensaio: um sistema crítico sobe no local reserva com a equipe da empresa, e o tempo vai para o relatório.

Quem participa e quanto pesa cada etapa do projeto de recuperação

Etapa	Quem participa	Duração relativa	Entregável
Inventário e dependências	TI da empresa e Especialista	Curta	Mapa de sistemas e do que cada um precisa
Análise de impacto	Gestores de cada área	Média	Custo por hora parada de cada sistema
Metas e local reserva	Direção	Varia com a agenda da direção	Metas aprovadas por escrito
Montagem	Especialista e fornecedor do local reserva	A mais longa	Local reserva pronto e testado por partes
Roteiro	Especialista e TI	Média	Roteiro impresso e em cópia fora da rede
Primeiro ensaio	TI, áreas usuárias e Especialista	Uma janela fora do expediente	Relatório com tempos medidos

O prazo do seu caso sai escrito depois do inventário [PREENCHER prazo típico da Táquion Tech].

Por que a aprovação das metas costuma travar o projeto?

Porque é a primeira vez que a direção vê, lado a lado, quanto custa cada hora parada e quanto custa evitar essa hora. A decisão é de negócio, e muitas vezes pede uma segunda reunião.

O que o gestor precisa levar é a lista de sistemas que realmente faturam. Os números que pesam nessa decisão estão no guia sobre quanto custa recuperação de desastres.

Como funciona recuperação de desastres no dia em que a sala para?

No dia, o roteiro segue sete passos fixos, da detecção à operação no local reserva. A regra é não improvisar: cada passo tem um responsável e um sinal de que terminou.

1. Passo 1

   Detecção

   O monitoramento ou um funcionário percebe a parada, e o responsável de TI confirma o tamanho do problema.

2. Passo 2

   Declaração

   Quem tem autoridade no roteiro declara o desastre, e a partir daí ninguém tenta consertar a sala principal às pressas.

3. Passo 3

   Contenção

   Em caso de ataque, a rede principal é isolada e a cópia a ser usada é conferida antes de subir.

4. Passo 4

   Ativação

   A rede reserva é ligada, os túneis com as filiais sobem e o DNS passa a apontar para o local reserva.

5. Passo 5

   Subida em ordem

   Autenticação, banco de dados, ERP e só depois arquivos e sistemas de apoio, cada um conferido antes do seguinte.

6. Passo 6

   Conferência

   Alguém de cada área abre o sistema, confere os últimos lançamentos e libera o uso.

7. Passo 7

   Aviso

   Funcionários, clientes e fornecedores recebem a orientação combinada sobre o que funciona e o que espera.

O passo 2 é o que mais atrasa sem roteiro. Sem critério escrito, a equipe passa horas tentando salvar o servidor principal antes de admitir que precisa do local reserva.

Quando o desastre é um ataque, o passo 3 ganha peso, porque subir uma cópia que já carregava o invasor recomeça o problema. O guia sobre provedor invadido mostra o que se faz antes de restaurar.

A volta para a sala principal

Depois que a sala principal é refeita, os sistemas precisam voltar, e essa viagem de retorno também tem roteiro. Em inglês ela se chama failback.

1. Sincronizar: os dados gerados durante a contingência são copiados de volta para os servidores principais, com o local reserva ainda em uso.
2. Janela: numa janela combinada, o uso para por pouco tempo, a última diferença é copiada e o DNS volta a apontar para a sala principal.
3. Conferir e rearmar: as áreas conferem os sistemas, e a réplica volta a correr no sentido normal, da sala para o local reserva.

O que a empresa prepara e o que recebe no fim

A empresa entra com acessos, pessoas e decisões, e sai com o local reserva pronto e quatro documentos. Sem esses documentos guardados fora da rede, o local reserva não serve no dia.

Documentos entregues no fim do projeto de recuperação e quando cada um é usado

Documento	O que contém	Quando é usado
Mapa de dependências	Cada sistema e o que ele precisa para funcionar	Para decidir a ordem de subida e avaliar sistema novo
Metas aprovadas	RTO e RPO por sistema, assinados pela direção	Para conferir se o ensaio cumpriu o combinado
Roteiro por cenário	Passos, responsáveis e critério de declaração	No dia do desastre, impresso e fora da rede
Relatório de ensaio	Tempos medidos e o que falhou	Para corrigir o roteiro e comparar com o próximo ensaio

A Táquion Tech não vende servidores, nuvem nem espaço em data center. O local reserva é contratado pela empresa, e o projeto entrega a especificação do que ele precisa ter.

Onde o plano de recuperação falha: erros comuns por fase

Cada fase tem uma falha típica que só aparece no ensaio ou no desastre real. A tabela mostra onde cada uma nasce e o sinal que ela deixa.

Falha típica de cada fase da recuperação de desastres e o sinal que a denuncia

Fase	O que dá errado	Como se percebe
Inventário	Planilha crítica de uma área fora da lista	No ensaio, o faturamento não fecha o dia sem ela
Montagem	Licença do sistema presa ao servidor físico	O sistema sobe no local reserva e pede ativação
Rede reserva	Certificado da VPN vencido desde a montagem	As filiais não conectam ao local reserva
Troca de endereço	Registro de DNS com tempo de cache longo	Parte dos funcionários continua indo para a sala morta por horas
Réplica	Arquivos corrompidos copiados para o local reserva	O sistema reserva abre com os mesmos erros do principal
Roteiro	Contatos e suplentes desatualizados	O responsável pela declaração saiu da empresa e ninguém foi nomeado

Quase todas essas falhas se corrigem em minutos quando aparecem no ensaio. No desastre real, cada uma soma horas ao tempo de volta.

Ensaio de mesa ou ensaio real: qual fazer?

Os dois têm lugar no calendário. O ensaio de mesa reúne a equipe numa sala para percorrer o roteiro em voz alta; o ensaio real sobe sistemas de verdade no local reserva.

• Ensaio de mesa: revela papéis confusos, contatos errados e passos esquecidos, sem parar nada.
• Ensaio real: revela licença, rede, DNS e desempenho do local reserva, e mede o tempo de verdade.

Um plano que só fez ensaio de mesa ainda não provou que a empresa volta. Quando o técnico que montou tudo sai, o ensaio real é também a forma de passar o conhecimento adiante; o guia sobre o que fazer quando o técnico de rede saiu trata desse risco.

Exemplo: uma distribuidora com a sala alagada, do alarme ao retorno

O caso abaixo é ilustrativo e acompanha uma distribuidora que preparou o plano meses antes. Ele mostra a execução do roteiro no dia e a volta à sala principal semanas depois.

1. Preparação: o inventário mostrou que o ERP depende do banco de dados e do servidor de domínio; a direção aprovou volta no mesmo dia para o ERP e em dois dias para os arquivos, com réplica num data center contratado.
2. Alarme: numa madrugada de chuva, o sensor de água da sala dispara e o monitoramento perde os servidores; às seis da manhã, o gerente de TI confirma a sala alagada.
3. Declaração: o diretor administrativo, nomeado no roteiro, declara o desastre por telefone celular, e a equipe abre o roteiro impresso guardado fora da empresa.
4. Subida: a rede reserva é ligada, o servidor de domínio sobe, depois o banco de dados e o ERP; o DNS passa a apontar para o data center.
5. Conferência: o faturamento confere os pedidos da véspera e libera o uso; os vendedores trabalham pelo ERP no local reserva ainda pela manhã.
6. Retorno: com a sala refeita e os equipamentos trocados, os dados da contingência voltam numa janela de sábado e a réplica é religada no sentido normal.

O ensaio feito meses antes tinha revelado o certificado da VPN vencido. Foi essa correção que permitiu às filiais conectarem ao local reserva logo cedo.

Perguntas frequentes

Fontes

1. NIST SP 800-34 Rev. 1, Contingency Planning Guide for Federal Information Systems: fases do plano de contingência, ativação, recuperação e reconstituição
2. Failover (Wikipédia em inglês): troca automática ou manual para o sistema reserva e o retorno ao principal