Quais as Melhores práticas?

Backup em Nuvem ou Backup Off-site?

Seria uma “Boa prática” escolher entre uma dessas duas alternativas ou seria exagero pecar pelo excesso, investindo nas “Melhores práticas” ?

Desde o “Onze de Setembro” (11/09/2001), no qual as duas torres do World Trade Center vieram abaixo pelos atendados terroristas, algumas empresas simplesmente desapareceram! Não desapareceram apenas fisicamente, mas perderam toda sua infraestrutura de T.I. além dos bancos de dados e tudo o mais. Isso aconteceu, pois mantinham estruturas de redundância de processamento de dados espelhadas em escritórios distintos em cada uma das torres. Quem imaginaria que as duas torres iriam desaparecer?! Fizeram aparentemente a coisa certa, mas trouxeram à luz reflexões sobre o que pode acontecer com redundâncias que estejam próximas uma da outra.

A partir desse evento, muita coisa mudou no mundo em relação à segurança, de um modo geral, e não foi diferente no ambiente de Segurança da Informação.
A partir de então, o conceito de “Off-site” ganhou força e passou a ser uma “boa prática” para as empresas com grande geração de dados. O conceito de backup também foi evoluindo a passos largos. Naquela época ainda não existia o conceito de “Nuvem”. As cópias de redundância, ou cópias de segurança, eram geradas em meio físico, ou seja, em fitas ou em disco rígido. Essas cópias eram levadas para fora da empresa em local seguro e distante do CPD. Daí a expressão Off-site, ou fora do site (Site – internacionalmente aceito como local ou lugar).

Sala de Segurança Off-site!

Essa evolução estimulou o surgimento de empresas especializadas em guardar essas fitas ou esses meios físicos, contendo as cópias de segurança. Surgiram normas e regulamentação para disciplinar a prestação do serviço de armazenagem e transporte das fitas. Todo um conjunto de processos evoluiu junto com esse setor, desde veículos, rastreabilidade, sistemas de gestão dos acervos, maletas onde são transportadas as mídias até os locais para a guarda em si. Para as salas de guarda, foi desenvolvido um padrão onde a qualidade do ar deve ser controlada para evitar contaminações por micro-organismos, aumentando indefinidamente a vida útil das fitas. Essa infraestrutura sofisticada com monitoramento de temperatura, umidade e filtragem do ar, possui altos padrões de segurança, com controle de acesso digital, CFTV, alarmes, etc. Verdadeiros ambientes inteligentes, conectados e a prova de intempéries e intrusão. Esse ambiente pode ser classificado como uma Sala de segurança, especificamente, criada para proteger as fitas de Backup.

A segurança se manteve na vanguarda, surgindo então os padrões de construção das salas de segurança, que devem atender a requisitos especiais, visando métodos construtivos, com paredes e portas anti-chamas, sistemas de combate a incêndio e o mínimo ou, mesmo, nenhuma instalação que possa produzir problemas externos, tais como dutos de água, esgoto, eletricidade (exceto iluminação); devem ter sistemas de ar condicionado com filtragem do ar e pressão positiva do ambiente para evitar entrada de material particulado do ar exterior para o interior da sala. Além de todos esses cuidados construtivos, uma série de requisitos operacionais devem ser observados, como registro gráfico dos índices para auditoria, procedimentos operacionais com EPI específicos, etc. Toda essa infraestrutura deve ter o padrão mais crítico de redundância e contingências para todos os sistemas e processos, atingindo os maiores níveis de regulação possíveis.

As melhores Salas de segurança devem atender aos mesmos requisitos do padrão TIER, da Norma T.I.A. 942 da Associação das Indústrias de Telecomunicações. Essa norma classifica a infraestrutura dos ambientes de CPD, apenas a infraestrutura, considerando o padrão TIER 1 como mais simples até o nível 4, que é o mais rigoroso. Basicamente são previstas redundâncias e contingências com níveis acima de 99,1 % de performance, para todos os sistemas envolvidos na infraestrutura dos Datacenters e das Salas de segurança.

Com a evolução dos Datacenters e o crescimento dos serviços via web, surgiu com força o mercado de Cloud Computing, ou seja, a “Nuvem”, e os SaaS (Software as a Service), projetando todo tipo de soluções para as empresas, como máquinas virtuais, espaço para armazenagem de dados on-line via web, servidores remotos, etc…
Algumas empresas de Off-site evoluíram para Datacenters, oferecendo todo tipo de serviços de T.I., incluindo o gerenciamento dos Backups.

Estrategia 3-2-1

A estratégia 3-2-1 é um conceito bem difundido e aceito como uma das “melhores práticas” na gestão dos Backups – Mantenha três cópias dos dados, em dois tipos de mídias diferentes e, pelo menos, uma Off-site!

Quem é a BIA?

Na verdade não é quem, e sim o que! B.I.A., na sigla em inglês “Business Impact Analysis” ou Análise do Impacto no Negócio ou Empresa, em tradução livre, nada mais é que uma parte importante do DRP (Desaster Recovery Plan), que avalia quais as principais rotinas do negócio que devem ser priorizadas em caso de perdas de dados, quais os riscos e consequências dessas perdas , e o tempo que se leva para refazer as rotinas ou colocar o negócio em funcionamento novamente. A BIA, entre outras coisas, vai definir quais as principais rotinas e o tempo em que elas devem ser restabelecidas.
Para a segurança das informações da empresa, será necessário elaborar um DRP bem construído e com rotinas de testes de recuperação de dados. Para um bom DRP, será preciso definir uma boa B.I.A. que mostre uma radiografia da empresa e possibilite a elaboração de políticas sérias e transparentes, para que os CEOs possam deliberar sobre prioridades de investimentos em segurança dos dados.

Três dicas para manter as Melhores práticas na Gestão de Segurança dos Dados!

1.Faça um estudo de B.I.A;

2. Mantenha uma política de Backups segundo a estratégia 3-2-1;

3. Crie um DRP validado, com testes periódicos;

 
 
Resta saber:

Backup em Nuvem ou Backup Off-site?

Pensando na segurança da informação e nos processos tecnológicos da sua empresa, é fundamental: conhecer a fundo o seu negócio, sob o ponto de vista de sistemas e dados; planejar o que fazer quando um “desastre” acontecer… e eles acontecem!; garantir que o plano funcione da maneira que foi planejado; e, principalmente, ter a estratégia e a política mais acertada para suas contingências e segurança dos dados e arquivos digitais. As melhores-práticas recomendam que se tenha todas as redundâncias, garantindo, assim, a tranquilidade necessária para manter o foco nos assuntos do Corebusiness!

Rio de Janeiro, 26 de Agosto de 2019.
Laert Perlingeiro Goulart.

Fontes:

https://securityinformationnews.com/2013/09/11/11-de-setembro-e-a-seguranca-da-informacao

https://searchdisasterrecovery.techtarget.com/feature/Using-a-business-impact-analysis-BIA-template-A-free-BIA-template-and-guide

https://www.carbonite.com/blog/article/2016/01/what-is-3-2-1-backup

https://www.ipm.com.br/blog/historia-da-computacao-em-nuvem-como-surgiu-a-cloud-computing

https://pt.wikipedia.org/wiki/Padrão_TIER

SOBRE O AUTOR

“Laert Perlingeiro Goulart, é Engenheiro Civil formado pela Universidade Católica de Petrópolis, atuou como empresário da construção civil até 2005 quando tornou-se executivo de uma empresa de Logística, onde atuou ate 2017. Hoje é executivo de uma empresa de T.I. voltada para tecnologia de gestão de documentos, arquivos digitais e backup. Nas horas vagas gosta de tirar fotos e apreciar uma boa cerveja artesanal e compartilha isso no seu Instagram @laert.goulart“