Quanto custa a sua empresa parada

Quantos dias uma empresa poderá suportar de paralisação em seus sistemas

No fatídico dia 11 de setembro muitas empresas deixaram de existir pelo simples motivo de guardarem seus backups na torre vizinha e vice-versa. Jamais imaginariam em seus piores pesadelos que as duas torres gêmeas viriam abaixo com ataques terroristas usando aviões como armas.

Uma empresa pode vir a ser paralisada por panes de toda a sorte, fraude interna, ataque externo, acidentes e até mesmo greve de funcionários. Mas a quantos dias de parada, principalmente em seus sistemas de missão crítica, uma empresa pode suportar? Quais os prejuízos diretos e indiretos que incidirão sobre ela?

No ano passado a Telefônica teve sua rede parada por aproximadamente 40 horas deixando boa parte de São Paulo fora do ar. Especulou-se que a causa teria sido sabotagem, mas a empresa alegou falha em um roteador em Sorocaba como origem da pane. O boato de sabotagem foi reforçado pelo fato de na semana anterior à pane a empresa ter demitido 700 funcionários. Independente da causa real, o problema é que a empresa teve além de seu caixa, principalmente a sua imagem arranhada. O Procon informou que todos os clientes prejudicados têm o direito à indenização. A Prodesp, que possui um contrato de R$ 250 milhões com a Telefônica para manter a rede Intragov no ar, teve metade de sua capacidade comprometida. E tantas outras empresas ficaram off-line.

No final de janeiro o Google parou por 40 minutos no mundo todo e alegou que o motivo foi falha humana. Aliás, este ainda é o elo mais fraco e mais vulnerável da segurança da informação.

E quando você vai pagar uma conta e “o sistema está fora do ar”. Vai encher o tanque do carro ou fazer uma compra e ouve que “cartão está fora do ar”. Você volta ao posto ou a loja da próxima vez? Ou instintivamente através de uma seleção natural escolhe outro estabelecimento para minimizar o risco em ter a sua tentativa frustrada?

Por causa deste instinto natural o Google deixou a liderança, mesmo que por ínfimos 40 minutos, e seus concorrentes adoraram. E paralelo a isso teve a sua imagem de “infalível” abalada. Coitado do ser que supostamente causou a pane conforme alegado pela executiva responsável pelo serviço de busca.

Queimando o filme

Tal qual uma bola de neve a imagem tanto da operadora Telefônica quanto a de seus clientes foi abalada tal qual a do Google. O valor em dinheiro desta perda é quase intangível pois uma imagem que leva anos para ser positivamente reconhecida pode levar poucas horas para ser defenestrada. Mas para calcular as perdas diretas não é tão difícil.

Prejuízo Direto Inicial e Perdas Invisíveis

Tomando como exemplo hipotético uma empresa com 1000 funcionários que não possua um adequado plano de continuidade de negócios:

• Funcionários usuários da rede e de sistemas críticos 700 funcionários
• Média salarial destes funcionários R$ 500,00
• Horas de paralisação 48 hs

Multiplicando o número de empregados pelo valor horário médio de seu trabalho e depois multiplicando o resultado pelo número de horas paradas chega-se a aproximados R$ 100.000,00 de perda direta inicial. Com os encargos trabalhistas vai a R$ 200 mil no ralo.

Com outros desdobramentos o céu é o limite e perda direta inicial passa a alavancar as tais perdas invisíveis que os executivos e donos de empresa fingem em não ver e não conseguem apropriar em suas planilhas de custo. Mas a perda é real sim e é assim que a crise chega a uma empresa que não possui governança, gestão de riscos e conformidade.

Para cada dois dias de inoperância serão necessários de três a quatro para a regularização de todas as operações. Isto se a política de backup contemplar um backup diário de informações. Pois se o intervalo deste backup for maior a empresa poderá ir a prejuízos financeiros e de imagem ainda maiores podendo até fechar as portas.

Outras Perdas

Levando-se em conta o custo por vazamento de dados, que também não deixa de ser uma perda, estimou-se através de recente pesquisa do Ponemon Institute que as empresas perdem em média US$ 200,00 por registro vazado/perdido. Podendo chegar a US$ 6.6 milhões por cada incidente.

A fabricante de soluções de segurança McAfee divulgou que a perda mundial acarretada pelo crime cibernético foi nada mais nada menos do que US$ 1 trilhão em 2008.