APRENDER. PRATICAR. EVOLUIR.Definir os marcos antes de comparar tempos
Deteção, reconhecimento, contenção e recuperação são marcos diferentes. Numa cronologia UTC, início às 09:00, deteção às 09:12 e contenção às 09:32 significam doze minutos até detetar e vinte desde deteção até conter. O intervalo desde o início até conter é trinta e dois. Nenhum é uma média de vários incidentes. Define início, fim, relógio, coorte e tratamento de dados incompletos antes de comparar equipas ou períodos. Preserva evidência original e documenta correções de relógio. Sem esta disciplina, duas métricas com o mesmo nome podem medir atividades diferentes.
Não deixar a mediana esconder a cauda
Cinco durações de 30, 30, 30, 30 e 240 minutos têm média de 72 e mediana de 30. A mediana descreve o centro, mas não conta toda a história do incidente longo. Mostra distribuição, severidade e impacto quando isso influencia decisões. Se outro incidente está aberto há dois dias, não lhe atribuas zero como duração de resolução. Mantém a definição dos encerrados e acrescenta idade e exposição dos abertos. A comparação entre meses também precisa de contexto, porque mudança de população pode produzir melhoria aparente sem melhorar capacidade.
Confiança e impacto orientam decisões diferentes
Um indício com baixa confiança pode apontar para consequência grave e justificar validação urgente. Não reduzas automaticamente a severidade potencial porque falta confirmação, nem comuniques a hipótese como facto. Regista o que foi observado, quem avaliou, que medidas proporcionais estão autorizadas e quando haverá atualização. Para comunicação externa, prepara factos confirmados, incertezas e ações para as funções competentes decidirem. Obrigações dependem do caso e dos requisitos aplicáveis; um prazo universal inventado não resolve a decisão. A coordenação deve permitir investigação e comunicação consistente sem esperar pela causa final para agir.
Restaurar confiança além de restaurar dados
Uma cópia íntegra é necessária em muitos planos de recuperação, mas não demonstra por si que o ambiente onde será restaurada é confiável. Avalia identidades administrativas, mecanismos de implantação, acesso ao backup e condições que permitiram o incidente. Se credenciais comprometidas continuam válidas, os dados restaurados podem voltar a ficar expostos. Define critérios para escolher ativos de recuperação, verificar integridade e confirmar funcionamento com o dono do serviço. O regresso deve seguir autoridade e evidência previstas no plano. Arrancar um processo não equivale automaticamente a recuperar um serviço aceite pelo negócio.
Recuperar inclui a capacidade necessária
Um processo disponível pode continuar incapaz de cumprir o objetivo operacional. No modelo didático, há cinco minutos de preparação e 1200 itens no instante em que o processamento arranca. Entram trinta por minuto e processam-se setenta, pelo que a redução líquida é quarenta. Escoar exige trinta minutos, somando trinta e cinco desde o início da preparação. Os 1200 já incluem entradas anteriores; não as contes duas vezes. Taxas constantes e ausência de retries são pressupostos, não garantias. Compara o resultado com o critério de negócio e avalia capacidade, procura e integridade antes de declarar recuperação.
Fechar com evidência e aprender sem dupla contagem
Um tabletop pode demonstrar entendimento de papéis sem provar tempo de recuperação ou execução técnica. Usa o resultado para escolher o próximo exercício e atribuir correções verificáveis. Antes de reabrir uma ligação contida, confirma critérios pendentes, sessões, monitorização e autorização, considerando também continuidade. Depois liga a aprendizagem ao risco e ao programa de controlos. Se duas equipas registam a mesma consequência total, reconciliam-se os cenários para evitar somar a perda duas vezes. Mantém dependências e ações locais visíveis: corrigir a agregação não conclui o tratamento nem elimina responsabilidades partilhadas.
Um health check fica verde aos cinco minutos, mas o exercício exige fila eliminada até aos 25. Com capacidade líquida de 40 itens por minuto e 1200 pendentes, a previsão é 35 minutos: faltam dez face ao objetivo.
Armadilhas comuns
Chamar média a um único caso; imputar zero a incidentes abertos; confundir backup íntegro com ambiente confiável; ignorar novas entradas; considerar um tabletop prova de cumprimento do RTO.
Tópicos relacionados: Métricas de incidentes · BIA, RTO e RPO · Recuperação e melhoria
Recuperação exige confiança, capacidade e aceitação demonstradas. As métricas apoiam a coordenação quando preservam marcos, população, incerteza e a consequência para o serviço.
Referência: Incident Response Recommendations and Considerations · CISM current outline before November 3, 2026