Plano de Continuidade de Negócios para Concurso: o que cai na prova

Uma falha de energia de poucas horas pode parar um hospital, um banco ou uma secretaria inteira, e é para esse cenário que todo concurso de TI cobra o Plano de Continuidade de Negócios.

Plano de Continuidade de Negócios, ou PCN, é o conjunto de ações e processos que uma organização prepara com antecedência para manter ou retomar rapidamente suas operações críticas depois de um incidente grave, como um desastre natural, um ataque cibernético ou uma falha estrutural grande.

Neste guia você confere:

• O que é o Plano de Continuidade de Negócios?
• Conceitos-chave que toda prova de TI cobra sobre PCN:
• Qual é a diferença entre PCN e DRP?
• Como o PCN funciona na prática de um órgão público?
• Como as bancas cobram Plano de Continuidade de Negócios?
• Exercício resolvido: questão estilo banca sobre PCN, BIA e RTO.
• Erros mais comuns sobre PCN que reprovam o candidato:
• Resumo rápido de Plano de Continuidade de Negócios para revisão:
• Perguntas frequentes:

O que é o Plano de Continuidade de Negócios?

O Plano de Continuidade de Negócios reúne, em um único documento, as políticas, os procedimentos e os recursos que uma organização aciona para continuar entregando seus serviços essenciais durante e depois de um incidente grave. Ele cobre cenários como queda prolongada de energia, incêndio, falha de hardware crítico e também incidentes digitais, como um ataque que compromete a segurança da informação de um sistema essencial.

A referência internacional mais cobrada em prova sobre o tema é a norma ISO 22301 mesmo, que define os requisitos para um sistema de gestão de continuidade de negócios e organiza o PCN em um ciclo contínuo de planejamento, implementação, testes e melhoria, em vez de um documento estático que se escreve uma única vez e nunca mais se revisa.

Conceitos-chave que toda prova de TI cobra sobre PCN:

BIA: Análise de Impacto no Negócio.

BIA é a sigla de Business Impact Analysis, a etapa em que a organização identifica quais processos são críticos e estima o impacto financeiro, operacional e de imagem de cada um ficar indisponível por determinado tempo. Exemplo: um BIA pode apontar que o sistema de folha de pagamento tolera algumas horas fora do ar, enquanto um sistema de emergência médica não tolera nem alguns minutos.

RTO e RPO: os dois prazos que a banca mais confunde.

RTO, de Recovery Time Objective, é o tempo máximo tolerável para restabelecer um sistema ou processo depois de uma interrupção. RPO, de Recovery Point Objective, é o volume máximo de dados que a organização aceita perder, medido em tempo desde o último backup para concurso válido. Exemplo: um RTO de quatro horas significa que o sistema precisa voltar a funcionar em até quatro horas, enquanto um RPO de uma hora significa que, no máximo, os dados da última hora antes da falha podem ser perdidos.

Estratégias de continuidade mais citadas em prova.

Entre as estratégias mais citadas estão o site redundante, que mantém uma estrutura de backup pronta para assumir a operação, a replicação de dados entre data centers usando serviços de computação em nuvem propriamente dita e os planos de comunicação de crise, que definem quem avisa quem durante um incidente real.

Qual é a diferença entre PCN e DRP?

A diferença mais cobrada em prova é de abrangência: o PCN trata da continuidade de toda a organização, incluindo pessoas, processos e instalações, enquanto o DRP, de Disaster Recovery Plan, é a parte do plano focada especificamente em recuperar a infraestrutura de TI, como servidores, banco de dados e redes.

Em outras palavras, o DRP é um subconjunto técnico dentro do PCN, assim como a infraestrutura de redes de computadores é um subconjunto técnico da operação de TI como um todo.

Como o PCN funciona na prática de um órgão público?

Órgãos públicos aplicam o PCN para garantir que serviços essenciais, como sistemas de atendimento ao cidadão e folha de pagamento, continuem funcionando mesmo durante uma crise. Isso envolve desde a manutenção de equipes de contingência treinadas até a definição prévia de quem autoriza acionar o plano quando um incidente realmente acontece. A tabela a seguir resume as etapas do ciclo de gestão de continuidade segundo a lógica da ISO 22301.

Etapa	O que acontece
Compreensão da organização	Mapeia processos críticos e o contexto de riscos do órgão
Liderança e política	Define responsáveis e formaliza a política de continuidade
Planejamento (BIA e riscos)	Executa a Análise de Impacto no Negócio e avalia ameaças
Estratégias e soluções	Escolhe sites redundantes, backups e planos de comunicação
Planos de resposta	Documenta procedimentos de resposta e de recuperação (DRP)
Testes e melhoria contínua	Realiza simulações e revisa o plano periodicamente

Esse ciclo contínuo é parecido com a lógica de melhoria constante usada no tema de governança de TI para concurso também, em que o plano nunca é tratado como algo definitivo.

Como as bancas cobram Plano de Continuidade de Negócios?

O padrão mais comum é apresentar um cenário, como a indisponibilidade de um sistema por determinado tempo, e perguntar se a situação envolve RTO, RPO ou BIA, testando se o candidato sabe separar prazo de recuperação de volume de dados perdido. Outro padrão clássico é trocar PCN por DRP em uma afirmativa, pedindo que o candidato identifique o erro de abrangência.

Questões também cobram a relação entre continuidade de negócios e firewall para concurso e outros controles de segurança, já que um incidente de segurança grave é um dos principais gatilhos que ativam um plano de continuidade na vida real.

Exercício resolvido: questão estilo banca sobre PCN, BIA e RTO.

Questão (estilo múltipla escolha, adaptada ao padrão das bancas, sem vínculo com edital ou ano específico): Um órgão público identificou, em sua Análise de Impacto no Negócio, que o sistema de atendimento ao cidadão precisa voltar a funcionar em, no máximo, duas horas após uma falha. Esse prazo de duas horas corresponde a qual conceito?

• A) RPO, pois define o volume de dados que pode ser perdido.
• B) DRP, pois é o documento que recupera a infraestrutura de TI.
• C) BIA, pois é a etapa que identifica processos críticos.
• D) RTO, pois define o tempo máximo tolerável para restabelecer o sistema.
• E) PCN, pois é o plano geral de continuidade da organização.

Resolução por eliminação: a alternativa A erra porque RPO mede dados perdidos, não tempo de retomada. A alternativa B erra porque DRP é o documento técnico de recuperação, não a métrica de prazo em si. A alternativa C erra porque BIA é a análise que gera o prazo, não o prazo propriamente dito. A alternativa E erra porque PCN é o plano completo, mais amplo do que uma métrica isolada. Resta a alternativa D, já que o prazo máximo tolerável para restabelecer um sistema é exatamente a definição de RTO. Gabarito: D.

Erros mais comuns sobre PCN que reprovam o candidato:

• Confundir RTO com RPO, trocando tempo de recuperação por volume de dados perdido.
• Tratar PCN e DRP como sinônimos, ignorando que o DRP é a parte técnica de TI dentro do plano mais amplo.
• Achar que o plano de continuidade é escrito uma única vez, sem testes nem revisão periódica.
• Ignorar que o BIA é a etapa que justifica os prazos de RTO e RPO, respondendo de forma mecânica sem entender a lógica entre as etapas.
• Esquecer a ligação entre continuidade de negócios e DNS para concurso e outros serviços de infraestrutura que também precisam de redundância.

Resumo rápido de Plano de Continuidade de Negócios para revisão:

Termo	O que lembrar
PCN	Plano completo de continuidade de toda a organização
DRP	Parte técnica do PCN focada em recuperar a infraestrutura de TI
BIA	Análise que identifica processos críticos e seus impactos
RTO	Tempo máximo tolerável para restabelecer um sistema
RPO	Volume máximo de dados que se aceita perder
ISO 22301	Norma que organiza a gestão de continuidade em ciclo contínuo

Vale revisar na sequência governança de TI para concurso e SEI para concurso também, dois temas de gestão pública que costumam aparecer na mesma prova de informática.

Perguntas frequentes:

PCN é a mesma coisa que plano de backup?

Não, o backup é apenas um dos recursos usados dentro de um PCN: o plano de continuidade é muito mais amplo e trata de pessoas, processos, comunicação e infraestrutura, não só da cópia dos dados.

Toda empresa precisa ter um PCN certificado pela ISO 22301?

Não, a certificação formal é mais comum em organizações grandes ou que lidam com serviços essenciais, mas qualquer organização pode usar a lógica da norma como referência para estruturar seu próprio plano, mesmo sem buscar a certificação.

RTO e RPO podem ser iguais a zero?

Na prática, um RTO ou RPO igual a zero é extremamente raro e caro de manter, porque exigiria redundância total e instantânea; a maioria das organizações define prazos pequenos, mas maiores que zero, de acordo com a criticidade real de cada sistema.

Qual é a relação entre PCN e governança de TI?

A governança de TI é quem decide prioridades e aprova investimentos, incluindo quanto investir em continuidade de negócios, enquanto o PCN é o plano operacional que efetivamente é executado quando um incidente grave acontece.

Esse tema cai só em prova para cargos de TI?

Não, provas administrativas gerais também costumam cobrar o conceito básico de PCN, principalmente a diferença entre PCN e DRP e a ideia geral de continuidade dos serviços públicos durante uma crise.

Plano de Continuidade de Negócios é tema recorrente mesmo fora de provas específicas de TI.

Saber separar PCN de DRP, e entender BIA, RTO e RPO, garante pontos tanto em provas de analista e técnico em TI quanto em concursos administrativos que tocam no tema de forma mais leve. Conheça os cursos do Portal Concursos e continue a revisão de informática com conteúdo direcionado ao estilo das bancas.