Fórum de discussão

Fiquei com algumas dúvidas quanto ao processo de certificação para empresas.

A norma exige que exista um processo de liberação, porem como dito no curso esse processo é mais comum em empresas de desenvolvimento, onde existe uma esteira para desenvolvimento, homologação, aceite e produção.

No caso de empresas que atuam apenas com infraestrutura é financeiramente inviável investir em ambientes de homologação e realizar testes em ambiente produtivo é um risco a estabilidade do ambiente, nesses casos quais são os caminhos para atender a normal?

Com relação ao processo de continuidade, entendo que ele deva contemplar um ambiente de DR para que seja efetivo, mas não consegui identificar até que ponto a norma exige a continuidade? Se o meu plano contempla redundância elétrica e redundância logica dos equipamentos seria o suficiente para atender o requisito? Caso não seja, qual o caminho para esse caso?

Todos os processos, todos os requisitos da norma, precisam ser atendidos, não existe nada opcional. Tudo tem que ser adaptado para o seu cenário de acordo com o escopo de certificação. Sem isto, não tem certificação. Sua empresa tem liberação de servidores, de componentes quando ocorre uma mudança, então este processo tem que ser definido.

Você mesmo acabou de dizer que fazer teste em ambiente produtivo é um risco. Como é que vocês fazem liberação em produção sem testar? Você aceitam o risco? A norma existe justamente pra que o provedor de serviço não opere em um nível alto de risco. Então, algum ambiente de teste controlado tem que existir antes de liberar algo em definitivo para o cliente. Na auditoria de certificação o auditor vai puxar as ultimas mudanças que vocês realizaram e vai querer ver os procedimentos de testes realizados. Se notar que não se faz testes e nem se tem um ambiente controlado para isto, é uma não conformidade. E dependendo do risco, pode ser uma não conformidade maior que auditor não recomende a certificação.

Sobre a continuidade, você não precisa ter ambiente redundante. Cada organização adota sua estratégia de continuidade conforme os seus requisitos. A norma exige saber quais são os riscos de interrupção de serviço e qual seria o plano para recuperação. O plano de recuperação tem que ser aderente aos requisitos acordados. Se o requisito for recuperar o serviço em 24 horas, tem que ter um plano descrevendo como você recupera o serviço em 24 horas.