ISO 22301:2019 Norma — continuidade

33 controles, organizados por grupo, com resumo em português.

Norma internacional de gestão de continuidade de negócios (SGCN). Segue a estrutura harmonizada Cláusulas 4-10, sem Anexo A — todo o conteúdo específico de continuidade (análise de impacto no negócio, estratégias de recuperação, planos, exercícios) fica concentrado na Cláusula 8 (Operação). Serve para preparar a organização para interrupções, não só riscos de segurança da informação.

Fonte oficial · A cor indica o perfil em que cada controle entra: Básico Intermediário Avançado.

Estrutura (Cláusulas 4-10) e códigos são referências factuais, verificados contra a tabela de conteúdo oficial e cruzados com múltiplas fontes independentes convergentes. As descrições em português são redigidas pela InfoCuestaSec (não reproduzem o texto da norma, protegido por direitos autorais). Divisão em perfis é didática.

4 Cláusula 4 — Contexto da organização

4.1
Entender a organização e o contexto relevante para a continuidade de negócios. Sem entender o contexto (setor, dependências críticas, regulação), o plano de continuidade protege a coisa errada.
Básico
4.2
Entender necessidades e expectativas das partes interessadas, incluindo requisitos legais e regulatórios. Requisito legal de continuidade (ex.: setor financeiro, saúde) que não é mapeado vira exposição regulatória, não só operacional.
Intermediário
4.3
Determinar o escopo do sistema de gestão de continuidade de negócios. Um escopo mal definido deixa atividades críticas de fora do plano de continuidade sem que ninguém perceba até o incidente acontecer.
Intermediário
4.4
Estabelecer, implementar, manter e melhorar continuamente o sistema de gestão de continuidade. É o compromisso de manter o sistema de gestão vivo, não um plano criado uma vez e nunca mais revisado.
Básico

5 Cláusula 5 — Liderança

5.1
A alta direção demonstra liderança e comprometimento com a continuidade de negócios. Sem apoio visível da liderança, continuidade de negócios vira exercício de papel que ninguém financia de verdade.
Básico
5.2
Estabelecer e comunicar uma política de continuidade de negócios. A política de continuidade é a referência que orienta prioridades quando um incidente real força escolhas difíceis.
Básico
5.3
Definir papéis, responsabilidades e autoridades relacionados à continuidade de negócios. Numa crise real, sem papéis definidos antes, a resposta se perde em quem deveria decidir o quê.
Básico

6 Cláusula 6 — Planejamento

6.1
Planejar ações para tratar riscos e oportunidades relacionados à continuidade de negócios. Risco de continuidade não tratado no planejamento só aparece como surpresa no meio de um incidente real.
Intermediário
6.2
Definir objetivos de continuidade de negócios e planejar como alcançá-los. Objetivo vago de continuidade ("ficar resiliente") não é mensurável — sem meta clara, não dá pra saber se o programa funciona.
Intermediário
6.3
Planejar as mudanças no sistema de gestão de continuidade de forma controlada. Mudar processo crítico sem replanejar a continuidade pode deixar um plano de recuperação inteiro desatualizado e inútil.
Avançado

7 Cláusula 7 — Apoio

7.1
Prover os recursos necessários ao sistema de gestão de continuidade. Um plano de continuidade sem recurso alocado (orçamento, pessoal, infraestrutura de contingência) não sobrevive ao primeiro teste real.
Intermediário
7.2
Garantir a competência das pessoas envolvidas na continuidade de negócios. Time sem treinamento de continuidade hesita ou erra justamente no momento em que a velocidade de resposta mais importa.
Básico
7.3
Assegurar que as pessoas tenham consciência da política de continuidade e do seu papel nela. Se ninguém souber que o plano existe ou qual é seu papel nele, o plano só existe no papel, não na prática.
Básico
7.4
Determinar as necessidades de comunicação interna e externa sobre continuidade de negócios. Sem canal de comunicação definido, informação crítica durante um incidente não chega a quem precisa decidir.
Intermediário
7.5
Controlar a informação documentada exigida pelo sistema de gestão de continuidade. Documentação de continuidade desatualizada ou inacessível no momento do incidente é o mesmo que não ter documentação.
Básico

8 Cláusula 8 — Operação

8.1
Planejar e controlar os processos operacionais necessários para a continuidade de negócios. É a diferença entre ter uma política de continuidade e realmente operacionalizá-la no dia a dia.
Básico
8.2.2
Realizar análise de impacto no negócio (BIA) para identificar atividades críticas e seus prazos de recuperação. Sem saber quais atividades são realmente críticas e em quanto tempo precisam voltar, não dá pra priorizar recurso de recuperação.
Básico
8.2.3
Realizar avaliação de risco voltada especificamente à continuidade de negócios. Risco não avaliado especificamente para continuidade (ex.: dependência de um único fornecedor) fica invisível até o incidente.
Básico
8.3.2
Identificar as estratégias e soluções de continuidade possíveis para cada atividade crítica. Pular direto para uma solução sem mapear alternativas possíveis costuma produzir a resposta mais óbvia, não a mais eficaz.
Intermediário
8.3.3
Selecionar as estratégias e soluções de continuidade mais adequadas ao contexto da organização. Nem toda estratégia identificada é viável — selecionar exige balancear custo, tempo de recuperação e risco aceitável.
Intermediário
8.3.4
Determinar os recursos necessários para executar as estratégias de continuidade escolhidas. Uma estratégia de continuidade sem recurso dimensionado (gente, site alternativo, backup) é só uma intenção no papel.
Intermediário
8.3.5
Implementar as soluções de continuidade selecionadas. Estratégia escolhida e nunca implementada de fato não protege ninguém quando o incidente acontece.
Intermediário
8.4.2
Definir a estrutura de resposta a incidentes (papéis, equipes, critérios de acionamento e escalonamento). Sem estrutura de resposta clara, um incidente real gera confusão sobre quem está no comando da recuperação.
Intermediário
8.4.3
Definir processos de alerta e comunicação durante um incidente de continuidade. Alerta tardio ou comunicação confusa durante um incidente amplia o dano em vez de conter.
Intermediário
8.4.4
Documentar planos de continuidade de negócios com procedimentos claros de resposta. Plano só na cabeça de uma pessoa desaparece se essa pessoa não estiver disponível no momento do incidente.
Básico
8.4.5
Definir procedimentos de recuperação das atividades críticas após um incidente. Sem procedimento de recuperação claro, a volta à normalidade fica mais lenta e mais sujeita a erro do que precisaria.
Intermediário
8.5
Manter um programa de exercícios para testar os planos de continuidade na prática. Um plano nunca testado tende a falhar de formas que só aparecem na prática, não na teoria.
Intermediário
8.6
Avaliar periodicamente a documentação e as capacidades reais de continuidade de negócios. Capacidade de continuidade se degrada com o tempo (gente sai, sistema muda) — avaliar periodicamente é o que detecta isso antes do incidente real.
Avançado

9 Cláusula 9 — Avaliação de desempenho

9.1
Monitorar, medir, analisar e avaliar o desempenho do sistema de gestão de continuidade. Sem medir o desempenho do próprio sistema de gestão, não dá pra saber se ele está funcionando ou só existindo no papel.
Intermediário
9.2
Realizar auditorias internas periódicas do sistema de gestão de continuidade. Auditoria interna encontra lacunas do plano de continuidade antes que um incidente real as encontre por você.
Intermediário
9.3
Realizar análises críticas do sistema de gestão de continuidade pela alta direção. Sem revisão da alta direção, decisões estratégicas sobre continuidade ficam só no nível operacional.
Avançado

10 Cláusula 10 — Melhoria

10.1
Tratar não conformidades relacionadas à continuidade de negócios e adotar ações corretivas. Não conformidade sem ação corretiva formal tende a se repetir — é o elo que fecha o ciclo de aprendizado.
Intermediário
10.2
Melhorar continuamente a adequação, suficiência e eficácia do sistema de gestão de continuidade. Um sistema de continuidade que nunca melhora fica cada vez mais desalinhado com os riscos reais da organização.
Avançado