ISO 22301 — Continuidade de negócios e resiliência organizacional

Incêndio no data center, falha no provedor de internet, pandemia, ataque de ransomware, enchente que impede o acesso ao escritório. Interrupções acontecem — a questão é se a organização está preparada para continuar operando quando elas ocorrem. A ISO 22301 trata exatamente disso.

O que é a ISO 22301

A ISO 22301 é a norma internacional que define os requisitos para um Sistema de Gestão de Continuidade de Negócios (SGCN). A versão atual é de 2019 e estabelece como a organização deve se preparar para, responder a e se recuperar de incidentes que interrompam suas operações.

A norma não se limita a desastres naturais. Ela cobre qualquer tipo de interrupção — tecnológica, operacional, regulatória, de fornecimento, de pessoal. O foco é garantir que as atividades essenciais da organização possam continuar (ou ser retomadas rapidamente) independentemente do tipo de incidente.

Por que implementar

Resiliência operacional — a organização sabe antecipadamente quais são suas atividades críticas, os recursos necessários e os planos para mantê-las em caso de interrupção;
Redução de perdas — quanto mais rápido a operação é retomada, menor o impacto financeiro, operacional e reputacional;
Exigência regulatória — setores como financeiro, saúde e serviços notariais possuem exigências específicas de continuidade. O Provimento 213/2026 do CNJ, por exemplo, define parâmetros de RPO e RTO para cartórios;
Confiança de clientes — demonstrar que a organização tem planos de continuidade testados transmite segurança a clientes e parceiros;
Complemento à segurança da informação — a ISO 22301 e a ISO 27001 são complementares. A 27001 protege a informação; a 22301 garante que a organização continue operando se a proteção falhar.

Conceitos fundamentais

Análise de Impacto no Negócio (BIA)

A BIA é o ponto de partida. Ela identifica as atividades essenciais da organização e avalia o impacto de sua interrupção ao longo do tempo. Para cada atividade, define-se:

MTPD (Maximum Tolerable Period of Disruption) — tempo máximo que a organização tolera sem a atividade;
RTO (Recovery Time Objective) — tempo alvo para retomar a atividade;
RPO (Recovery Point Objective) — quanto de dados/trabalho a organização aceita perder;
Recursos mínimos — pessoas, tecnologia, infraestrutura e informações necessárias para operar em modo contingência.

Avaliação de riscos

Identificar as ameaças que podem causar interrupção e avaliar sua probabilidade e impacto. Isso orienta quais cenários a organização deve priorizar nos planos de continuidade.

Estratégias de continuidade

Para cada atividade crítica, definir como ela será mantida ou retomada. As estratégias podem incluir:

Redundância de infraestrutura (sites alternativos, backup em nuvem);
Acordos com fornecedores alternativos;
Trabalho remoto;
Processos manuais de contingência;
Estoque de segurança.

Planos de continuidade

Documentos que detalham as ações a serem executadas quando um incidente ocorre. Incluem:

Critérios de ativação;
Responsáveis e canais de comunicação;
Procedimentos passo a passo;
Recursos necessários;
Critérios de retorno à normalidade.

Como implementar

Defina o escopo — quais áreas, processos ou unidades serão cobertos pelo SGCN. Comece pelas atividades mais críticas;
Realize a BIA — identifique atividades essenciais, avalie impactos da interrupção, defina MTPD, RTO e RPO para cada uma;
Avalie os riscos — identifique ameaças e vulnerabilidades que podem causar interrupção das atividades críticas;
Defina estratégias de continuidade — para cada atividade crítica, determine como ela será mantida ou retomada;
Elabore os planos — documente os procedimentos de resposta, continuidade e recuperação. Seja específico: quem faz o quê, quando, com quais recursos;
Treine as equipes — as pessoas envolvidas precisam conhecer os planos e seus papéis. Não adianta ter o documento se ninguém sabe que ele existe;
Teste os planos — exercícios e simulações são essenciais. Testes de mesa (tabletop), simulações parciais e testes completos revelam falhas que não aparecem no papel;
Mantenha e melhore — planos desatualizados não servem. O SGCN precisa ser revisado periodicamente e após qualquer mudança significativa na organização.

Erros comuns

Confundir plano de continuidade com backup — backup é um controle. Continuidade de negócios é muito mais amplo: envolve pessoas, processos, comunicação, infraestrutura e fornecedores;
Criar planos e nunca testar — um plano não testado é uma hipótese. Só o teste revela se os procedimentos funcionam, se os contatos estão atualizados e se os tempos de recuperação são realistas;
Focar apenas em TI — a continuidade de negócios é da organização, não do departamento de tecnologia. Processos manuais, pessoas-chave, fornecedores críticos e comunicação com clientes são igualmente importantes;
Ignorar dependências — uma atividade crítica pode depender de outra que não foi mapeada. A BIA precisa considerar as interdependências entre processos.

Próximos passos

A continuidade de negócios se integra com a segurança da informação (ISO 27001) e com o compliance (ISO 37301). No SIG Virtual, o SGCN pode ser gerido junto com os demais sistemas de gestão — da análise de impacto ao plano de recuperação, com documentos orientativos e acompanhamento integrado.

Faça o teste gratuito e veja como estruturar a continuidade de negócios da sua organização. Confira nossos planos e preços ou entre em contato.