O Ensaio É o Risco
O que um exercício de recuperação demonstra, e o que apenas encena
Corre-se um exercício de continuidade. Conclui dentro da sua janela. É assinado, arquivado e contado para a obrigação que o exigiu. A organização regista-se como pronta a recuperar. Esta forma — o exercício que passa, e a prontidão inferida da sua passagem — é tratada como o sistema a funcionar exatamente como previsto. Merece um olhar mais atento, porque o momento em que um exercício manual é assinado é também o momento em que é mais provável não ter demonstrado nada daquilo que se lhe credita.
Aquilo em que o exercício é avaliado
Um exercício é avaliado, quase em todo o lado, por ter sido corrido. O cenário foi executado? Os passos foram seguidos? A janela fechou com as caixas assinaladas? São perguntas sobre a atividade. Nenhuma é a pergunta a que a atividade existe para responder: o sistema recupera, de forma repetível, sem depender das pessoas específicas que por acaso estavam na sala?
A nota e a afirmação afastam-se então, em silêncio. A nota regista que o exercício foi concluído. A afirmação — feita mais tarde, num documento para o conselho ou no processo de um regulador — regista que a organização está pronta a recuperar. São afirmações diferentes. Só a primeira foi testada.
O exercício bem-sucedido que nada prova
Considere-se um ensaio de recuperação feito à mão e dado como bem-sucedido. O que, exatamente, ficou estabelecido? Que naquele dia, com aquelas pessoas, sob um cenário conhecido de antemão, uma sequência com forma de recuperação pôde ser levada até ao fim. É um facto real. É um facto sobre a disponibilidade e a perícia das pessoas presentes. Não é, por si só, um facto sobre o sistema.
O operador experiente que pressente o passo errado antes de ser dado, o colega que improvisa em torno da lacuna que o runbook nunca previu — a presença deles é o que o exercício realmente mediu. Mude-se as pessoas, mova-se a hora, altere-se o cenário, e o mesmo exercício pode devolver um resultado diferente. Um ensaio que tem êxito prova que os ensaiadores estavam disponíveis. A recuperabilidade do sistema infere-se daí, não se demonstra por isso.
O ensaio é o perigo
Há um segundo custo, e é o que quase nunca se nomeia. Um exercício manual de recuperação não é uma observação neutra do sistema. Toca na produção. Faz failover, reencaminha, restaura a partir de cópias, percorre os caminhos que são perigosos precisamente por serem tão raramente usados. Quanto mais manual e mais ambicioso o teste, mais o teste é, ele próprio, uma operação capaz de causar a indisponibilidade que era suposto ensaiar.
Isto produz uma inversão silenciosa. O exercício encomendado para reduzir o risco operacional torna-se, durante as horas em que corre à mão, uma fonte de risco operacional. As organizações pressentem-no, mesmo quando não o nomeiam. É por isso que os exercícios mais consequentes tendem a correr com menor frequência, com o âmbito mais estreito, e agendados para a janela mais tranquila que se consiga encontrar. A raridade lê-se como prudência. É, pelo menos com igual frequência, uma admissão de que o teste é perigoso — e um teste demasiado perigoso para repetir é demasiado infrequente para ser prova do que quer que seja.
A pergunta sem caixa para assinalar
O movimento diagnóstico não é avaliar o exercício com mais rigor. É perguntar para que serve o exercício. Duas perguntas separam um ensaio que produz prova de um que produz um registo:
- O resultado descreve o sistema, ou as pessoas que por acaso o correram?
- O teste é suficientemente seguro para se repetir com a frequência de que a afirmação depende — ou é raro por ser perigoso?
Nenhuma das perguntas tem uma caixa no relatório do exercício, porque o relatório foi construído para captar a conclusão, não o que fica estabelecido. As perguntas ficam fora do formulário. É precisamente por isso que raramente se fazem, e por que a lacuna que exporiam permanece confortável.
Um exercício avaliado pela conclusão mede a presença. Se o sistema recupera — de forma repetível, segura, sem as pessoas específicas que estavam na sala — é uma pergunta à parte. O exercício nunca foi pontuado por ela. A prontidão foi presumida na mesma.