Modelos e registos · ISO 27001 · Cláusula A.5.30 y A.8.13
Registo de testes de continuidade e de cópias de segurança
A prova de que as cópias podem ser restauradas e de que os serviços recuperam no tempo acordado, e não apenas de que o plano existe.
Numa frase
O registo de testes de continuidade e de cópias de segurança documenta o que foi testado, com que objetivo de tempo de recuperação, que resultado se obteve e o que se corrigiu; é a evidência dos controlos 5.30, que pede que a preparação das TIC seja planeada, implementada, mantida e testada, e 8.13, que pede que as cópias sejam testadas com regularidade.
- Onde a norma o exige
- ISO 27001 · Cláusula A.5.30 y A.8.13 As secções seguem a ISO/IEC 27001:2022; as que começam por «A.» são controlos do Anexo A, exigíveis na medida em que a declaração de aplicabilidade os inclua.
- Tipo de informação
- Boa prática Evidência dos controlos 5.30 e 8.13 do Anexo A
- Quem o preenche
- Responsável de sistemas O proprietário do serviço valida que o resultado cumpre os seus objetivos
- Quando
- Segundo o plano de testes Restauros de cópias mais frequentes; testes completos de comutação pelo menos uma vez por ano
- Durante quanto tempo se conserva
- Definido pela organização A ISO/IEC 27001 não fixa prazos: pede que se decida a conservação e a eliminação da informação documentada (7.5.3). Abranger o ciclo de certificação de três anos permite mostrar o histórico na renovação.
O que a norma exige
O que o referencial ISO 27001 exige e o que fica ao seu critério
O controlo 5.30, novo na edição de 2022, pede que a preparação das TIC para a continuidade do negócio seja planeada, implementada, mantida e testada de acordo com os objetivos de continuidade. O 8.13 pede que se mantenham cópias da informação, do software e dos sistemas e que sejam testadas com regularidade.
Um plano de continuidade que nunca foi testado é uma hipótese. O que o auditor pede é o resultado do último teste e o que mudou depois dele.
A norma não fixa o tipo de teste nem a frequência; a ISO 22301 é a referência para quem quiser um sistema de continuidade completo.
Estrutura
Campos que o modelo deve ter
- Serviço ou sistema testado e tipo de teste (restauro, comutação, simulacro de mesa)
- Objetivo: tempo de recuperação e ponto de recuperação aceitáveis
- Data, participantes e cenário
- Resultado medido face ao objetivo
- Problemas encontrados durante o teste
- Ações de melhoria, responsável e prazo
- Conclusão: aprovado ou não aprovado
Exemplo
Exemplo: restauro da base de dados de produção
Empresa, pessoas e números fictícios: o exemplo serve apenas para mostrar como fica um registo bem preenchido.
| Campo | Conteúdo |
|---|---|
| Teste | Restauro completo da base de dados da plataforma num ambiente isolado |
| Objetivo | Recuperar em menos de 4 horas, com uma perda máxima de 24 horas de dados |
| Data e participantes | 21 de maio de 2026 · responsável de infraestrutura e dois técnicos |
| Resultado | Restaurada em 5 h 10 min · dados íntegros até à cópia das 02:00 |
| Problema | O procedimento não previa a regeneração das chaves de cifragem |
| Ação | Atualizar o procedimento e repetir o teste · 30 de junho |
| Conclusão | Não aprovado · repetido a 26 de junho: 3 h 20 min, aprovado |
Na auditoria
Erros que os auditores costumam apontar
- Verifica-se que a cópia «terminou bem», nunca que pode ser restaurada.
- Não há objetivos de recuperação com que comparar o resultado.
- Os testes falhados não são registados ou não geram ações.
- O plano de continuidade não foi atualizado depois da mudança de fornecedor de nuvem.
No Kimobox
Como se gere este registo no Kimobox
- 1Os testes de recuperação e os planos de continuidade ficam documentados na plataforma.
- 2O plano de continuidade é um registo versionado, e cada teste liga-se às ações que gera.
- 3As ações daí decorrentes são atribuídas com responsável e data, com aviso em caso de atraso.
Perguntas frequentes
O que nos perguntam antes de começar
É necessário obter a certificação ISO 22301?
Não. A ISO/IEC 27001 pede a preparação das TIC para a continuidade, não um sistema completo de continuidade do negócio. A ISO 22301 é útil como guia, mas não é requisito.
Um simulacro de mesa é válido?
Como parte do plano de testes, sim: valida as funções e a comunicação. Mas não substitui o restauro real de cópias, que é o que demonstra o controlo 8.13.
Faça a gestão dos registos do referencial ISO 27001 sem modelos avulsos
Mostramos-lhe o módulo a funcionar com dados semelhantes aos seus.
Continue a explorar
Páginas relacionadas
Operacionalização
A operacionalização traduz a análise de riscos em controlos reais: acessos, cifragem, cópias de segurança e…
Modelo de declaração de aplicabilidade ISO 27001
O que deve conter a declaração de aplicabilidade da ISO 27001 (6.1.3 d): controlos necessários…
Modelo de análise de riscos de segurança ISO 27001
Como documentar a análise de riscos de segurança exigida pela ISO 27001: critérios de aceitação…
Modelo de plano de tratamento de riscos ISO 27001
O que deve incluir o plano de tratamento de riscos da ISO 27001 (6.1.3 e): opção escolhida, controlos…
Fontes
De onde vem cada dado
Referências ao texto oficial em vigor. Se uma norma for revista, esta página é atualizada e a data de revisão reflete-o.
- ISO/IEC 27001:2022 — Sistemas de gestão da segurança da informação. Requisitos ISO/IEC · 25 de outubro de 2022
- ISO/IEC 27002:2022 — Controlos de segurança da informação ISO/IEC · Fevereiro de 2022